Overview
DSPMシングルアプライアンスは、サイドカーとDLPの両方のサービスを1つの仮想マシンにまとめます。この統合モデルは、プロセスを単一のイメージ、単一のCLIコマンド、および単一のライセンスキーにまで簡素化することで、導入を容易化します。
これは、ほとんどのお客様にとって標準的な導入経路です。展開後、アプライアンスはNetskopeテナントに自動登録し、自動的にサイドカープールを作成します。手動のプール作成、トークン管理、DLPアプライアンスリンクは不要です。
高度なデプロイとしてDLPアプライアンスとサイドカーを個別にデプロイする必要がある大規模スキャンシナリオの場合:
詳細については、DSPMサイドカー管理の概要とDSPM用DLPアプライアンスのデプロイを参照してください。
アプライアンスがDSPMアーキテクチャにどのように適合するかの概要については、DSPMアーキテクチャをご覧ください。ファイアウォールおよびエグレスの要件については、DSPMホスト型インスタンスのファイアウォール設定をご覧ください。
前提条件
シングルアプライアンスを導入する前に、以下の要件を満たしていることを確認してください。
-
Network Planning: 単一のアプライアンスには、NetskopeコントロールプレーンへのアウトバウンドHTTPS（ポート443）接続が必要です。アプライアンスが以下に到達できることを確認してください。
- Your tenant hostname:
<tenant>.goskope.com(replace<tenant>with your actual tenant name) config-<tenant>.goskope.comcallhome-<tenant>.goskope.com- 該当するゲートウェイドメインとNetskope IP
- Your tenant hostname:
-
Networking Considerations:
-
NetskopeのIPアドレスとAmazon S3(例:
*.s3-us-west-1.amazonaws.com)が許可リストに登録されていることを確認してください。tenant.goskope.comがテナントホスト名の場合、config-tenant.goskope.comとcallhome-tenant.goskope.comの IP アドレスも許可してください。 -
また、以下のゲートウェイドメインを許可リストに追加する必要があります。
dlpappliancegw.sv5.goskope.com dlpappliancegw.bom3.goskope.com dlpappliancegw.am2.goskope.com dlpappliancegw.sjc1.goskope.com dlpappliancegw.fr4.goskope.com dlpappliancegw.ruh1.goskope.com dlpappliancegw.mel2.goskope.com dlpappliancegw.sjc2.goskope.com dlpappliancegw.zur2.goskope.com dlpappliancegw.lon3.goskope.com dlpappliancegw.sin2.goskope.com dlpappliancegw.dfw3.goskope.com dlpappliancegw.fra2.goskope.com
– DLPで使うDRMの場合、Microsoft AIP エンドポイントの許可リストも必須です。
– すべての統合サービスはHTTPS(TCP 443)を通じてアプライアンスに到達できなければなりません。
– DLPアプライアンスからのトラフィックのSSL傍受 isn’t 推奨されます。 プロキシが設定されている場合は、該当する証明書をインポートしてください。
– 非同期リクエストシナリオ isn’t サポートされたネットワークロードバランサーの背後に複数のDLPアプライアンスを展開すること。
出口およびポート要件の完全なリストについては、「 DSPM-Hosted Instancesのファイアウォール設定」を参照してください。
-
-
Appliance Sizing: 特に推奨がない限り、中型のアプライアンスを展開してください。 小型サイズは、概念実証テストのみを目的としています。
AWS GCP Azure VM（ESXi/Hyper-V/KVM） 同時リクエスト Min Disk Small c5ad.4xlarge n2-standard-16 Standard-F16s_v2 16 cores / 32 GB 480 rps (burst 576) 351 GB Medium c5ad.8xlarge n2-standard-32 Standard-F32s_v2 32 cores / 64 GB 1280 rps (burst 1536) 351 GB Large c5ad.16xlarge n2-standard-64 Standard-F64fs_v2 64 cores / 128 GB 2880 rps (burst 3456) 351 GB AWSの地域で c5ad が利用できない場合、使う c5a。 最適なパフォーマンスを確保するために、使う SSDs すべてのインスタンスで対応します。 ESXiは、作成後の動的なサイズ変更をサポートしていません。
サイズが合わないアプライアンスを展開すると、シングルアプライアンスは資源の拡大・縮小に対応していません。 適切な規模で再配置する必要があります。
展開プロセス
以下の手順は、ライセンスキーを取得し、アプライアンスイメージをダウンロードし、DSPM環境に接続するエンドツーエンドのプロセスを概説します。
ステップ1：ライセンスキーを取得する
アプライアンスの設定は、DLPの権利を検証するためのライセンスキーを使います。 Netskopeコンソールは自動的に生成します。
- Netskopeコンソールにログインしてください。
- DSPM > Administration > Sidecarに移動します。
- この画面に表示されているLicense Key値をコピーしてください。
ステップ2:シングルアプライアンスイメージのダウンロード
ダウンロード方法は、ターゲットとなるデプロイプラットフォームによって異なります。使う DSPM UIのウィザードで画像を割り当てたりダウンロードしたりします。
-
DSPM > Administration > Sidecarへ移動してください。
-
New Deployment > Standard Deployment をクリックします。ウィザードは、Platform > Assign / Download > Deployment の3つのステップで開きます。
- ウィザードの上部にはNote: 現在の単一アプライアンス情報が表示され、DLPバージョン、サイドカーバージョン、イメージサイズ、リリース日などが含まれます。
-
ターゲットのプラットフォームSelect 。 ウィザードはあなたの選択に基づいて調整されます。
AWS (AMI) の場合:
- AMI Select 。
- Assignをクリックしてください。
- Account IDを入力してRegionを選択してください。
- Submitをクリックしてください。
Azure (VM イメージ) の場合:
- VM Image Select 。
- Downloadをクリックしてください。
- 検証のためにSHA-1ハッシュをコピーしてください。
- 画像ファイルをダウンロードしてください。
ESXiの場合：
- ESXi Select 。
- Downloadをクリックしてください。
- 検証のためにSHA-1ハッシュをコピーしてください。
.ovaファイルをダウンロードしてください。
GCP（マシンイメージ）の場合：
- Machine Image Select 。
- Assignをクリックしてください。
- Account IDを入力してRegionを選択してください。
- Submitをクリックしてください。
Hyper-Vの場合：
- Hyper-V Image Select 。
- Downloadをクリックしてください。
- 検証のためにSHA-1ハッシュをコピーしてください。
- 画像ファイルをダウンロードしてください。
KVMの場合：
- KVM Image Select 。
- Downloadをクリックしてください。
- 検証のためにSHA-1ハッシュをコピーしてください。
- QCOW2イメージファイルをダウンロードしてください。
ステップ3：単一アプライアンスのデプロイ
選択したプラットフォームの手順に従って、ステップ2で割り当てまたはダウンロードした仮想マシンインスタンスを使うしてください。
AWS:
- EC2コンソールにアクセスし、「インスタンスの起動」をクリックします。
- AMIの「シングルアプライアンス」画像は My AMIs > Shared with meで見つけてください。
- 前提条件のサイジングテーブルに従ってインスタンスタイプを設定してください。
- ストレージを gp3 を使う最低 351 GB に設定します。
- SSHキーペアは不要です。必要に応じてネットワークグループとセキュリティグループを設定してください。アプライアンスは公開されるべきではありません。
- Select キーペアなしでインスタンスを起動します。
Azure:
デプロイ中に、Azure から「OS プロビジョニングがタイムアウトしました」という通知が表示される場合があります。これは想定内のことなので、無視しても問題ありません。インスタンスの状態が「実行中」になっていることを確認し、準備が整っていることを確認してください。
- ダウンロードしたファイルからVHDを抽出します：
tar -xvf {downloaded_vhd_tar_file} -C {path} - リソースグループの下にストレージアカウントを作成してください。
- ストレージアカウントの下にコンテナを作成します。
- ストレージアカウントのページで、 Security + Networking > Shared access signatureに移動します。
- すべての権限を有効にし、今 Start Time 24時間前、今後24時間 End Time 設定してください。
- Generate SAS and connection stringをクリックしてSAS tokenをコピーします。
- AzCopyがインストールされていない場合はインストールしてください。
- 注: アップロードするには AzCopy を使用します。 Azureポータル経由で大容量ファイルをアップロードすることは信頼性が低く、ファイル破損の原因となる可能性があります。
- VHDファイルをアップロードしてください：
azcopy copy "{local_path}.vhd" "https://{account_name}.blob.core.windows.net/{container_name}/{vhd_name}.vhd?{SAS_TOKEN}" --blob-type PageBlob - Azure のイメージに移動します。
- サブスクリプションを > 選択してください。ストレージから OS Type: Linux > Select VHD > Account Type: Premium SSD > 暗号化: プラットフォーム管理を設定。
- Review + createをクリックしてください。
- イメージからインスタンスを作成します。Select 最低 351 GB Premium SSD disk。
- ネットワークを設定し、仮想マシンを作成します。
vSphere (ESXi):
vSphereにアップロードする前に、 .ovaイメージをローカルシステムにダウンロードしてください（vSphereは、URLがサポートされる最大長を超える場合、直接URLインポートをサポートしていません）。
- ホスト、クラスター、またはデータセンターを右クリックし、「OVFテンプレートのデプロイ」を選択します。
- ローカルファイル>アップロードファイルSelect、
.ovaファイルを選択し、「次へ」をクリックします。 - VM名を入力し、デプロイ場所を選択して、「次へ」をクリックします。
- Select 計算リソースをクリック。
- 詳細を確認し、ライセンス契約に同意する場合は、「次へ」をクリックしてください。
- データストアおよび仮想ディスクフォーマット(例:Thin Provision)をSelect、「次へ」をクリックします。
- 送信元ネットワークを宛先ネットワークポートにマッピングし、「次へ」をクリックします。
- 必要に応じてテンプレート設定をカスタマイズし、「次へ」をクリックしてください。
- 概要を確認し、必要に応じて「展開後に電源を入れる」にチェックを入れ、「完了」をクリックします。
GCP:
- Compute Engine > VMインスタンスに移動し、「インスタンスの作成」をクリックします。
- マシン構成で名前を入力し、「汎用」で「N2」を選択してください。
- 「マシンタイプ」では、「前提条件」にあるサイジング表に従って選択してください。
- 「OSとストレージ」で「変更」をクリックし、プロジェクトに共有されている「シングルアプライアンス」イメージを選択して、サイズを最小351GBに設定します。
- 必要に応じてネットワークグループとセキュリティグループを設定し、「作成」をクリックします。
Hyper-V:
- Hyper-Vマネージャーを開きます。
- 「操作」ペインで、「仮想マシンのインポート」をクリックします。
- 「次へ」をクリックし、エクスポートされたVMファイルの最上位フォルダを参照します。次にフォルダ> Select をクリックします。
- リストからVM Select 、「次へ」をクリックします。
- 「既存の固有IDを使う仮想マシンをその場で登録する」を選択します。
- 内容を確認し、「完了」をクリックしてください。
- インスタンスを起動する前に、VMを右クリックして「設定」>「ネットワークアダプタ」を選択し、適切なネットワークスイッチを選択してください。
- アクションペインからVMを始めるか、右クリック>始める。
KVM:
- テンプレートディレクトリを作成し、展開します。
mkdir single-appliance-templatetar -xvf single-appliance.tar - QCOW2ディスクイメージを抽出します。
tar -xzvf netskope-single-appliance-kvm-qcow2-*.qcow2.tar.gz -C /home/ubuntu/single-appliance-template/ - 使うをデプロイ
virt-install:sudo virt-install --name single-appliance --ram 65536 --vcpus 32 --os-variant ubuntu24.04 --disk path=/home/ubuntu/single-appliance-template/<image_file>.qcow2,size=452 --import --network default --check path_in_use=off virt-installコンソールに接続したら、Ctrl+Cを押して終了してください。起動プロセスはバックグランドで続きます。- VMの状態を確認する：
sudo virsh list --all - ネットワークを確認してください:
sudo virsh net-list - IPアドレスの検索:
sudo virsh net-dhcp-leases default - SSH経由で接続する：
sudo ssh nsadmin@{IP}
ステップ4:アプライアンスを接続し、テザーで繋ぐ
インスタンスを作成したら、Netskopeに接続して必要な設定とプロファイルをダウンロードさせてください。
-
インスタンスにユーザー
nsadminとして、デフォルトパスワードnsapplianceでSSH接続します。ssh nsadmin@<instance_ip>
-
Select アプライアンスというキャラクターです。 初回ログイン時に、アプライアンスはペルソナ選択ウィザードを表示します。アプライアンスをシングルアプライアンス(DLP+サイドカー結合)として構成するSelect DSPM。
この選択肢は一度だけ表示され、確認後に変更することはできませcan’t 。代替案として DLPは、アプライアンスを使う用の独立したDLPアプライアンスとして設定し、サイドカーを別々に配置するものです。初期化が完了するまでお待ちください。DSPMを選択すると、アプライアンスはサイドカーコンポーネントをインストールします。
-
デフォルトのパスワードをすぐに変更してください。
nsappliance> auth change-password
-
DNSを設定する（DHCP経由でDNSが提供されない場合）：
nsappliance> configure nsappliance(config)> set dns primary x.x.x.x nsappliance(config)> set dns secondary x.x.x.x nsappliance(config)> save nsappliance(config)> exit
-
使う DHCP ではなく手動でネットワークインターフェースを設定する必要がある場合は:
nsappliance> configure nsappliance(config)> set interface v4 dhcp enable false nsappliance(config)> set interface v4 static enable true nsappliance(config)> set interface v4 static ip x.x.x.x nsappliance(config)> set interface v4 static gw x.x.x.x nsappliance(config)> set interface v4 static netmask x.x.x.x nsappliance(config)> set dns primary x.x.x.x nsappliance(config)> set dns secondary x.x.x.x nsappliance(config)> save nsappliance(config)> exit
-
自動DHCP設定に戻すには：
nsappliance> configure nsappliance(config)> set interface v4 dhcp enable true nsappliance(config)> set dns primary x.x.x.x nsappliance(config)> set dns secondary x.x.x.x nsappliance(config)> save nsappliance(config)> exit
進める前に、アプライアンスでDNS解決が正常に動作しているか確認してください。
-
-
REST API v1トークンを持っていることを確認してください。既にお持ちの場合は、次のステップに進んでください。トークンを生成するには、 Settings > Tools > Rest API v1に移動してGenerate New Tokenをクリックしてください。
-
ステップ1で取得したライセンスキーを適用してください。
nsappliance> configure nsappliance(config)# set system licensekey <license-key> nsappliance(config)# save nsappliance(config)# exit
-
テザリングの状態を確認してください。値
callhome_reachableはtrueでなければならず、tenant-urlとserialには値が入力されている必要があります。nsappliance> status tethering
callhome_reachableの値はtrueでなければならず、tenant-urlとserialには -
DSPM UIウィザード(Step 3: Deployment)に戻り、ライセンスキーが適用したものと一致しているか確認し、 Doneをクリックします。
テザリングが成功すると、アプライアンスは初期化を完了し、リクエストの処理を開始します。ESXiのようなオンプレミスプラットフォームでは初期化時間が短くなることがあります。サイドカープールは自動的に作成され、 DSPM > Administration > Sidecarに表示されます。サイドカープールの管理の詳細については、 DSPMサイドカー管理概要をご覧ください。
Step 5: Configure a Proxy (Optional)
もし組織が送信トラフィックをプロキシ経由でルーティングしているなら、使う アプライアンス CLIを設定してください。
-
プロキシの詳細を設定します。
nsappliance> configure nsappliance(config)# set management-plane upstream-proxy-server hostname 10.10.10.10 nsappliance(config)# set management-plane upstream-proxy-server port 8000 nsappliance(config)# set management-plane upstream-proxy-server username <USERNAME> nsappliance(config)# set management-plane upstream-proxy-server password <PASSWORD> nsappliance(config)# set management-plane upstream-proxy-server trusted-ca
-
PEM形式のサーバーCA証明書（秘密鍵は含まない）をコピーして貼り付けてください。
-
Press
Ctrl-Dwhen done. -
保存して再起動する：
nsappliance(config)# save nsappliance(config)# exit nsappliance> restart dlpaas all
-
信頼できる認証局（CA）を設定する：
nsappliance> configure nsappliance(config)# set management-plane upstream-proxy-server trusted-ca
-
PEM形式のサーバーCA証明書（秘密鍵は含まない）をコピーして貼り付けてください。
<PASTE PEM Formatted CA CHAIN>
-
Press
Ctrl-Dwhen done.<Press Ctrl-D>
-
保存して再起動する：
nsappliance(config)# save nsappliance(config)# exit nsappliance> restart dlpaas all
ステップ6：アップグレードスケジュールを設定する
展開後、シングルアプライアンスの自動アップグレードスケジュールを設定してください。
- DSPM > Administration > Sidecarへ移動してください。
- 自動生成されたプール名をクリックしてください。
- プールの詳細パネルで、 UpgradeタブをクリックしてからEdit Scheduleをクリックします。
- リリース後にアップグレードを適用するタイミングを選択します（ Within the first week after release 、 Within the second week after release 、またはWithin the third week after release ）。
- Select 曜日と始める時間(アプライアンスの現地時間帯)を指す。
- Save Scheduleをクリックしてください。
展開中または展開後に問題が発生した場合は、「 DSPMによるトラブルシューティング」を参照してください。