DSPMシングルアプライアンスの展開

Overview

DSPMシングルアプライアンスは、サイドカーとDLPの両方のサービスを1つの仮想マシンにまとめます。この統合モデルは、プロセスを単一のイメージ、単一のCLIコマンド、および単一のライセンスキーにまで簡素化することで、導入を容易化します。

これは、ほとんどのお客様にとって標準的な導入経路です。展開後、アプライアンスはNetskopeテナントに自動登録し、自動的にサイドカープールを作成します。手動のプール作成、トークン管理、DLPアプライアンスリンクは不要です。

DLPアプライアンスとサイドカーを別々に導入する高度な導入方式が必要な大規模スキャン・シナリオについては、「DSPMサイドカー管理の概要」および「DSPM用DLPアプライアンスの導入」をご覧ください。

アプライアンスがDSPMアーキテクチャにどのように適合するかの概要については、DSPMアーキテクチャをご覧ください。ファイアウォールおよびエグレスの要件については、DSPMホスト型インスタンスのファイアウォール設定をご覧ください。

前提条件

シングルアプライアンスを導入する前に、以下の要件を満たしていることを確認してください。

Network Planning:

単一のアプライアンスには、NetskopeコントロールプレーンへのアウトバウンドHTTPS（ポート443）接続が必要です。アプライアンスが以下に到達できることを確認してください。
- Your tenant hostname: <tenant>.goskope.com (replace <tenant> with your actual tenant name)
- config-<tenant>.goskope.com
- callhome-<tenant>.goskope.com
- 該当するゲートウェイドメインとNetskope IP
Networking Considerations:
- NetskopeのIPアドレスとAmazon S3(例:*.s3-us-west-1.amazonaws.com)が許可リストに登録されていることを確認してください。tenant.goskope.comがテナントホスト名の場合、 config-tenant.goskope.comとcallhome-tenant.goskope.comの IP アドレスも許可してください。
- また、以下のゲートウェイドメインを許可リストに追加する必要があります。
```
dlpappliancegw.sv5.goskope.com
dlpappliancegw.bom3.goskope.com
dlpappliancegw.am2.goskope.com
dlpappliancegw.sjc1.goskope.com
dlpappliancegw.fr4.goskope.com
dlpappliancegw.ruh1.goskope.com
dlpappliancegw.mel2.goskope.com
dlpappliancegw.sjc2.goskope.com
dlpappliancegw.zur2.goskope.com
dlpappliancegw.lon3.goskope.com
dlpappliancegw.sin2.goskope.com
dlpappliancegw.dfw3.goskope.com
dlpappliancegw.fra2.goskope.com
```
  – DLPでDRMを使う場合は、Microsoft AIPエンドポイントを許可リストに追加してください。
  – すべての統合サービスは、HTTPS（TCP 443）経由でアプライアンスに接続できる必要があります。
  – DLPアプライアンスからのトラフィックのSSLインターセプト is notを推奨します。プロキシを使用する場合は、該当する証明書をインポートしてください。
  – ネットワークロードバランサーの背後に複数のDLPアプライアンスを配置すること is notは、非同期リクエストのシナリオでサポートされています。
  
  イーグレスおよびポートの要件の完全な一覧については、DSPMホスト型インスタンスのファイアウォール設定をご覧ください。

Appliance Sizing:

特に推奨がない限り、中型のアプライアンスを展開してください。小型サイズは、概念実証テストのみを目的としています。

	AWS	GCP	Azure	VM（ESXi/Hyper-V/KVM）	同時リクエスト	Min Disk
Small	c5ad.4xlarge	n2-standard-16	Standard-F16s_v2	16 cores / 32 GB	480 rps (burst 576)	351 GB
Medium	c5ad.8xlarge	n2-standard-32	Standard-F32s_v2	32 cores / 64 GB	1280 rps (burst 1536)	351 GB
Large	c5ad.16xlarge	n2-standard-64	Standard-F64fs_v2	64 cores / 128 GB	2880 rps (burst 3456)	351 GB

AWSの地域で c5ad が利用できない場合、使う c5a。最適なパフォーマンスを確保するために、使う SSDs すべてのインスタンスで対応します。 ESXiは、作成後の動的なサイズ変更をサポートしていません。

サイズが合わないアプライアンスを展開すると、シングルアプライアンスは資源の拡大・縮小に対応していません。適切な規模で再配置する必要があります。

展開プロセス

以下の手順は、ライセンスキーを取得し、アプライアンスイメージをダウンロードし、DSPM環境に接続するエンドツーエンドのプロセスを概説します。

ステップ1：ライセンスキーを取得する

アプライアンスの設定は、DLPの権利を検証するためのライセンスキーを使います。 Netskopeコンソールは自動的に生成します。

Netskopeコンソールにログインしてください。
DSPM > Administration > Sidecarに移動します。
この画面に表示されているLicense Key値をコピーしてください。

ステップ2:シングルアプライアンスイメージのダウンロード

ダウンロード方法は、ターゲットとなるデプロイプラットフォームによって異なります。使う DSPM UIのウィザードで画像を割り当てたりダウンロードしたりします。

DSPM > Administration > Sidecarへ移動してください。
New Deployment > Standard Deployment をクリックします。ウィザードは、Platform > Assign / Download > Deployment の3つのステップで開きます。
- ウィザードの上部にはNote: 現在の単一アプライアンス情報が表示され、DLPバージョン、サイドカーバージョン、イメージサイズ、リリース日などが含まれます。
ターゲットのプラットフォームSelect 。ウィザードはあなたの選択に基づいて調整されます。

AWS (AMI) の場合:

AMI Select 。
Assignをクリックしてください。
Account IDを入力してRegionを選択してください。
Submitをクリックしてください。

AMIは、数分以内にAMIカタログの「自分と共有されているもの」セクションに表示されます。

Azure (VM イメージ) の場合:

VM Image Select 。
Downloadをクリックしてください。
検証のためにSHA-1ハッシュをコピーしてください。
画像ファイルをダウンロードしてください。

ESXiの場合：

ESXi Select 。
Downloadをクリックしてください。
検証のためにSHA-1ハッシュをコピーしてください。
.ovaファイルをダウンロードしてください。

GCP（マシンイメージ）の場合：

Machine Image Select 。
Assignをクリックしてください。
Account IDを入力してRegionを選択してください。
Submitをクリックしてください。

マシーンイメージは数分以内にGCPプロジェクトに共有されます。

Hyper-Vの場合：

Hyper-V Image Select 。
Downloadをクリックしてください。
検証のためにSHA-1ハッシュをコピーしてください。
画像ファイルをダウンロードしてください。

KVMの場合：

KVM Image Select 。
Downloadをクリックしてください。
検証のためにSHA-1ハッシュをコピーしてください。
QCOW2イメージファイルをダウンロードしてください。

ステップ3：単一アプライアンスのデプロイ

選択したプラットフォームの手順に従って、ステップ2で割り当てまたはダウンロードした仮想マシンインスタンスを使うしてください。

アプライアンスを展開した後、初期化プロセスが始まります。アプライアンスはネットワークやシステムの状態によりますが、初期化には45〜60分かかります。この間、アプライアンスは必要なコンポーネントをダウンロードし展開します。初期化が完了したら、アプライアンスを接続してテザリングできます。

AWS:

EC2コンソールにアクセスし、「インスタンスの起動」をクリックします。
AMIの「シングルアプライアンス」画像は My AMIs > Shared with meで見つけてください。
前提条件のサイジングテーブルに従ってインスタンスタイプを設定してください。
ストレージを gp3 を使う最低 351 GB に設定します。
SSHキーペアは不要です。必要に応じてネットワークグループとセキュリティグループを設定してください。アプライアンスは公開されるべきではありません。
Select キーペアなしでインスタンスを起動します。

Azure:

デプロイ中に、Azure から「OS プロビジョニングがタイムアウトしました」という通知が表示される場合があります。これは想定内のことなので、無視しても問題ありません。インスタンスの状態が「実行中」になっていることを確認し、準備が整っていることを確認してください。

ダウンロードしたファイルからVHDを抽出します：
tar -xvf {downloaded_vhd_tar_file} -C {path}
リソースグループの下にストレージアカウントを作成してください。
ストレージアカウントの下にコンテナを作成します。
ストレージアカウントのページで、 Security + Networking > Shared access signatureに移動します。
すべての権限を有効にし、今 Start Time 24時間前、今後24時間 End Time 設定してください。
Generate SAS and connection stringをクリックしてSAS tokenをコピーします。
AzCopyがインストールされていない場合はインストールしてください。
- 注: アップロードするには AzCopy を使用します。 Azureポータル経由で大容量ファイルをアップロードすることは信頼性が低く、ファイル破損の原因となる可能性があります。
VHDファイルをアップロードしてください：
azcopy copy "{local_path}.vhd" "https://{account_name}.blob.core.windows.net/{container_name}/{vhd_name}.vhd?{SAS_TOKEN}" --blob-type PageBlob

To deploy manually:

AzureでImagesに移動します。
サブスクリプション>を選択し、OS Typeを設定します：Linux >。ストレージからVHD >を選択し、Account Typeを設定します：Premium SSD >。Encryptionを設定します：プラットフォームで管理。
Review + createをクリックしてください。
イメージからインスタンスを作成します。最小351 GBのPremium SSDディスクを選択してください。
ネットワークを設定し、仮想マシンを作成します。

To deploy using Terraform:

Terraformスクリプトパッケージ：singleApplianceFromImage.zipをダウンロードするか、次のURLをブラウザーウィンドウにコピーしてください：
https://netskope-dspm-release.s3.us-west-2.amazonaws.com/azure/terraform/singleApplianceFromImage.zip
抽出によって作成されたディレクトリ（例：cd singleApplianceFromImage）に移動します。
そのディレクトリから次のコマンドを実行して、Terraform環境を初期化します：
terraform init
初期化に成功すると、「Terraform has been successfully initialized!」というメッセージが表示されます。表示されます。
前提条件となる構成の詳細を検証するには、次のコマンドを実行してください。
terraform plan
指示が表示されたら、以下の変数を入力してください。

パラメータ	Value
`subscription_id`	単一のアプライアンスがデプロイされる対象のAzureサブスクリプションID
`resource_group_name`	単一のアプライアンスがデプロイされる既存のリソースグループの名前
`image_id`	VMのデプロイ元となる単一アプライアンスイメージ（管理対象イメージまたは共有イメージギャラリーのバージョン）のリソースID
`subnet_id`	単一のアプライアンスのネットワークインターフェイスを接続する既存のサブネットのリソースID
`network_security_group_id`	単一アプライアンスのネットワークインターフェースに関連付けるネットワークセキュリティグループのリソースID

Terraformのインストールを開始するには、デプロイメントディレクトリから次のコマンドを実行します。
terraform apply
スクリプトが実行され、次のアクションを実行します：
- 入力を求めます。上表に記載されている順序で構成の詳細を入力してください。
- エラーをチェックします。エラーが発生した場合は、画面の指示に従って修正し、再開してください。
- 実行前に確認するよう促します。yesと入力して確認してください。
- インスタンス・タイプStandard_F32s_v2と351 GBのボリュームを使用して、Netskope-DSPM-Single-Applianceという名前のインスタンスを作成します。

vSphere (ESXi):

vSphereにアップロードする前に、 .ovaイメージをローカルシステムにダウンロードしてください（vSphereは、URLがサポートされる最大長を超える場合、直接URLインポートをサポートしていません）。

ホスト、クラスター、またはデータセンターを右クリックし、「OVFテンプレートのデプロイ」を選択します。
ローカルファイル>アップロードファイルSelect、.ovaファイルを選択し、「次へ」をクリックします。
VM名を入力し、デプロイ場所を選択して、「次へ」をクリックします。
Select 計算リソースをクリック。
詳細を確認し、ライセンス契約に同意する場合は、「次へ」をクリックしてください。
データストアおよび仮想ディスクフォーマット(例:Thin Provision)をSelect、「次へ」をクリックします。
送信元ネットワークを宛先ネットワークポートにマッピングし、「次へ」をクリックします。
必要に応じてテンプレート設定をカスタマイズし、「次へ」をクリックしてください。
概要を確認し、必要に応じて「展開後に電源を入れる」にチェックを入れ、「完了」をクリックします。

GCP

To deploy manually:

Compute Engine > VM Instancesに移動し、Create Instanceをクリックしてください。
Machine Configurationで名前を入力し、General PurposeでN2を選択します。
Machine Typeでは、前提条件のサイジングテーブルに従って選択します。
OS and StorageでChangeをクリックし、プロジェクトに共有されているSingle Applianceイメージを選択して、サイズを最小351 GBに設定します。
ネットワークおよびセキュリティグループを適切に設定し、Createをクリックします。
インスタンスは約30分後に準備完了になります。

To deploy using Terraform:

Terraformスクリプトパッケージ：singleApplianceFromImage.zipをダウンロードするか、次のURLをブラウザーウィンドウにコピーしてください：
https://netskope-dspm-release.s3.us-west-2.amazonaws.com/gcp/terraform/singleApplianceFromImage.zip
パッケージを解凍し、ディレクトリ（例：cd singleApplianceFromImage）に移動してください。
そのディレクトリから次のコマンドを実行して、Terraform環境を初期化します：
terraform init
初期化に成功すると、「Terraform has been successfully initialized!」というメッセージが表示されます。表示されます。
インストールに必要なすべての構成詳細が利用可能であることを検証するには、次のコマンドを実行します：
terraform plan
指示が表示されたら、以下の変数を入力してください。

パラメータ	Value
`project_id`	単一アプライアンスをデプロイするGCPプロジェクトID
`source_image`	プロジェクトns-prod-eng-dlp-imageのSingle Applianceイメージの名前
`subnetwork`	単一アプライアンスを接続する既存のサブネットワークの名前。これに基づき、親VPCネットワークが推測されます。

Terraformのインストールを開始するには、デプロイメントディレクトリから次のコマンドを実行します。
terraform apply
スクリプトが実行され、次のアクションを実行します：
- 入力を求めます。上表に記載されている順序で構成の詳細を入力してください。
- エラーをチェックします。エラーが発生した場合は、画面の指示に従って修正し、再開してください。
- 実行前に確認するよう促します。yesと入力して確認してください。
- インスタンス・タイプn2-standard-32と351 GBのボリュームを使用して、netskope-dspm-single-applianceという名前のインスタンスを作成します。

Hyper-V:

Hyper-Vマネージャーを開きます。
「操作」ペインで、「仮想マシンのインポート」をクリックします。
「次へ」をクリックし、エクスポートされたVMファイルの最上位フォルダを参照します。次にフォルダ> Select をクリックします。
リストからVM Select 、「次へ」をクリックします。
「既存の固有IDを使う仮想マシンをその場で登録する」を選択します。
内容を確認し、「完了」をクリックしてください。
インスタンスを起動する前に、VMを右クリックして「設定」>「ネットワークアダプタ」を選択し、適切なネットワークスイッチを選択してください。
アクションペインからVMを始めるか、右クリック>始める。

KVM:

テンプレートディレクトリを作成し、展開します。
mkdir single-appliance-template
tar -xvf single-appliance.tar
QCOW2ディスクイメージを抽出します。
tar -xzvf netskope-single-appliance-kvm-qcow2-*.qcow2.tar.gz -C /home/ubuntu/single-appliance-template/
使うをデプロイ virt-install:
sudo virt-install --name single-appliance --ram 65536 --vcpus 32 --os-variant ubuntu24.04 --disk path=/home/ubuntu/single-appliance-template/<image_file>.qcow2,size=452 --import --network default --check path_in_use=off
virt-installコンソールに接続したら、Ctrl+Cを押して終了してください。起動プロセスはバックグランドで続きます。
VMの状態を確認する： sudo virsh list --all
ネットワークを確認してください: sudo virsh net-list
IPアドレスの検索: sudo virsh net-dhcp-leases default
SSH経由で接続する： sudo ssh nsadmin@{IP}

ステップ4:アプライアンスを接続し、テザーで繋ぐ

インスタンスを作成したら、Netskopeに接続して必要な設定とプロファイルをダウンロードさせてください。

初期化が完了する前にアプライアンスにSSH接続すると、アプライアンスは「初期化中」と表示します。接続を切断し、少なくとも15分待ってから再度お試しください。アプライアンスがペルソナ選択画面を表示するまで、次の試みの間は数分空けてください。

インスタンスにユーザーnsadminとして、デフォルトパスワードnsapplianceでSSH接続します。
```
ssh nsadmin@<instance_ip>
```
Select アプライアンスというキャラクターです。初回ログイン時に、アプライアンスはペルソナ選択ウィザードを表示します。アプライアンスをシングルアプライアンス(DLP+サイドカー結合)として構成するSelect DSPM。

この選択肢は一度だけ表示され、確認後に変更することはできませcan’t 。代替案として DLPは、アプライアンスを使う用の独立したDLPアプライアンスとして設定し、サイドカーを別々に配置するものです。

初期化が完了するまでお待ちください。DSPMを選択すると、アプライアンスはサイドカーコンポーネントをインストールします。
デフォルトのパスワードをすぐに変更してください。
```
nsappliance> auth change-password
```

DNSを設定する（DHCP経由でDNSが提供されない場合）：

nsappliance> configure
nsappliance(config)> set dns primary x.x.x.x
nsappliance(config)> set dns secondary x.x.x.x
nsappliance(config)> save
nsappliance(config)> exit

使う DHCP ではなく手動でネットワークインターフェースを設定する必要がある場合は:

nsappliance> configure
nsappliance(config)> set interface v4 dhcp enable false
nsappliance(config)> set interface v4 static enable true
nsappliance(config)> set interface v4 static ip x.x.x.x
nsappliance(config)> set interface v4 static gw x.x.x.x
nsappliance(config)> set interface v4 static netmask x.x.x.x
nsappliance(config)> set dns primary x.x.x.x
nsappliance(config)> set dns secondary x.x.x.x
nsappliance(config)> save
nsappliance(config)> exit

自動DHCP設定に戻すには：

nsappliance> configure
nsappliance(config)> set interface v4 dhcp enable true
nsappliance(config)> set dns primary x.x.x.x
nsappliance(config)> set dns secondary x.x.x.x
nsappliance(config)> save
nsappliance(config)> exit

進める前に、アプライアンスでDNS解決が正常に動作しているか確認してください。

REST API v1トークンを持っていることを確認してください。既にお持ちの場合は、次のステップに進んでください。トークンを生成するには、 Settings > Tools > Rest API v1に移動してGenerate New Tokenをクリックしてください。

ステップ1で取得したライセンスキーを適用してください。

nsappliance> configure
nsappliance(config)# set system licensekey <license-key>
nsappliance(config)# save
nsappliance(config)# exit

テザリングの状態を確認してください。値callhome_reachableはtrueでなければならず、 tenant-urlとserialには値が入力されている必要があります。
```
nsappliance> status tethering
```
callhome_reachableの値はtrueでなければならず、 tenant-urlとserialには
DSPM UIウィザード(Step 3: Deployment)に戻り、ライセンスキーが適用したものと一致しているか確認し、 Doneをクリックします。

テザリングが成功すると、アプライアンスは初期化を完了し、リクエストの処理を開始します。ESXiのようなオンプレミスプラットフォームでは初期化時間が短くなることがあります。サイドカープールは自動的に作成され、 DSPM > Administration > Sidecarに表示されます。サイドカープールの管理の詳細については、 DSPMサイドカー管理概要をご覧ください。

Step 5: Configure a Proxy (Optional)

もし組織が送信トラフィックをプロキシ経由でルーティングしているなら、使うアプライアンス CLIを設定してください。

明示的なプロキシ

暗黙的プロキシ（カスタムCAを使用したSSL傍受プロキシ）

プロキシの詳細を設定します。

nsappliance> configure
nsappliance(config)# set management-plane upstream-proxy-server hostname 10.10.10.10
nsappliance(config)# set management-plane upstream-proxy-server port 8000
nsappliance(config)# set management-plane upstream-proxy-server username <USERNAME>
nsappliance(config)# set management-plane upstream-proxy-server password <PASSWORD>
nsappliance(config)# set management-plane upstream-proxy-server trusted-ca

PEM形式のサーバーCA証明書（秘密鍵は含まない）をコピーして貼り付けてください。
Press Ctrl-D when done.

保存して再起動する：

nsappliance(config)# save
nsappliance(config)# exit
nsappliance> restart dlpaas all

信頼できる認証局（CA）を設定する：

nsappliance> configure
nsappliance(config)# set management-plane upstream-proxy-server trusted-ca

PEM形式のサーバーCA証明書（秘密鍵は含まない）をコピーして貼り付けてください。
```
<PASTE PEM Formatted CA CHAIN>
```
Press Ctrl-D when done.
```
<Press Ctrl-D>
```

保存して再起動する：

nsappliance(config)# save
nsappliance(config)# exit
nsappliance> restart dlpaas all

ステップ6：アップグレードスケジュールを設定する

展開後、シングルアプライアンスの自動アップグレードスケジュールを設定してください。

DSPM > Administration > Sidecarへ移動してください。
自動生成されたプール名をクリックしてください。
プールの詳細パネルで、 Upgradeタブをクリックします。
Edit Scheduleをクリックしてください。
リリース後にアップグレードを適用するタイミングを選択します（ Within the first week after release 、 Within the second week after release 、またはWithin the third week after release ）。
Select 曜日と始める時間(アプライアンスの現地時間帯)を指す。
Save Scheduleをクリックしてください。

即時アップグレードをトリガーするには、UpgradeタブのUpgrade Nowをクリックしてください。

展開中または展開後に問題が発生した場合は、「 DSPMによるトラブルシューティング」を参照してください。