Terraform経由でAWS EC2でDSPMサイドカーを展開

Overview

Netskope DSPM（ Netskope One DSPMとも呼ばれる）アプリケーションは、データストアをスキャンするためにシームレスな接続を必要とします。しかしながらセキュリティ対策として、企業は内部ネットワークと外部アプリケーション間の適切なファイアウォール出口を拒否する傾向があります。このような制限は、 Netskope DSPMの運用に影響を与え、サブスクリプションの完全なリターン価値を低下させます。

この問題を解決するために、Netskope DSPMは、データストアと並行してデプロイできる1つまたは複数のサイドカーで構成される柔軟なコレクションアーキテクチャを提供します。これらのサイドカーは必要なメタデータを収集し、Netskope DSPMアプリケーションに転送します。この中央管理コンソール内では、データストアのホスト場所に関係なく、すべてのデータストアから得られるインサイトに基づいてアクションを実行できます。

前提条件

Before deploying sidecars, you must have a DLP appliance available in the same network. For prerequisites and deployment instructions, see DSPM Sidecar Administration Overview and Deploy the DLP Appliance for DSPM

以下の要件を満たしていることを確認してください。

Netskope DSPM Tenantサイドカーで収集されたメタデータを受信するには、Netskope DSPMでホストされたテナントが必要です。
Sidecar AMINetskope DSPMサイドカーAMIを組織と共有する必要があります。CSMに連絡してこのAMIをリクエストし、以下を提供してください:
- お客様のAWSアカウント番号。
- インスタンスをデプロイするAWSリージョン。
Required Toolsets：ターミナルで次のツールの最新バージョンを実行していることを確認してください。
- terraform --version (バージョン1.3.2以降)
- aws --version (バージョン2.8.2以降)
- git --version (バージョン2.38.x以降)
DLP Appliance Connectivity: サイドカーは、分類活動を行うためにローカルのDLPアプライアンスとの接続が必要です。使うあなたのDLPプロファイルとルールを。サイドカーをデプロイする前に、以下の点を確認してください。
- DLPアプライアンスは導入されており、サイドカーが設置される同じネットワーク内(または追加のピアリングや複雑なルーティングを避けるために直接接続されたネットワーク内)でアクセス可能です。
- サイドカーとDLPのアプライアンスは、HTTPS(ポート443)を介して通信できなければなりません。
- 必要なREST API v1キーとライセンスキーを生成または取得しました。

Architecture

Netskope DSPMメインアプリケーションと並行して1つ以上のサイドカーをデプロイできる、柔軟なアーキテクチャです。これらのサイドカーはデータストアに直接接続してサンプルを収集し、ローカルの DLP アプライアンスがサンプルをスキャンします。その後、サイドカーは分類結果をNetskope DSPMアプリケーションにアップロードします。

DLP アプライアンスの統合は、現在、OCI ベースのサイドカーデプロイメントではサポートされていません。

単一のサイドカーは、インストールされた環境内の複数のデータストアを効率的にスキャンできる。通常は、VPCやVNetなどの分離されたネットワークごとに1つのサイドカーをデプロイしますが、拡張性と冗長性を高めるために複数のサイドカーをインストールすることもできます。このような高可用性構成では、Netskope DSPMアプリケーションが、指定されたプール内のすべての正常なサイドカー間でスキャン操作の負荷分散を自動的に行います。

次の図は、Netskope DSPMのリソースとお客様の環境との関係を示しています。

送信出力の設定

サイドカーをインストールする環境に、既に制限のないパブリックインターネットアクセスがある場合は、この手順をスキップできます。

NetskopeはNetskope DSPMアプリケーションをホストおよび管理しているため、外部への通信を許可するようにファイアウォールまたはセキュリティグループの設定を更新する必要があります。ポート 443 で次のグループを使用するホワイトリストを構成します。

Required for Core ConnectivityサイドカーがDSPMプラットフォームと通信できるようにするには、これらのアドレスを追加します。テナント名に [TENANT] を代入します:

住所
[TENANT].goskope.com
sidecar-[tenant].goskope.com
netskope-dspm-release.s3.us-west-2.amazonaws.com
995750983908.dkr.ecr.us-west-2.amazonaws.com

住所
`[TENANT].goskope.com`
`sidecar-[tenant].goskope.com`
`netskope-dspm-release.s3.us-west-2.amazonaws.com`
`995750983908.dkr.ecr.us-west-2.amazonaws.com`

サイドカープールの設定

サイドカーとNetskope DSPMでホストされているテナント間の関係を設定するには、サイドカー管理UI内で生成された固有の認証トークンをサイドカーに提供する必要があります。

既にサイドカープールトークンをお持ちの場合は、このセクションをスキップできます。それ以外の場合は、以下の手順に従って新しいトークンを取得してください。

Netskope DSPMアプリケーションにログインしてください。
Administration > Sidecar menuへ移動してください。
Add Sidecar Poolをクリックしてください。
On the Details tab, complete the following field:

Field Value
名前サイドカープールを表現するのに適切な値。
Saveをクリックしてください。
サイドカー認証トークンのモーダルウィンドウの下部にあるCopyクリックすると、生成されたトークンがクリップボードに保存されます。
モーダルを閉じるには、 Xボタンをクリックしてください。

Field	Value
名前	サイドカープールを表現するのに適切な値。

このトークンをサイドカーにまだ関連付けていないため、サイドカープールは右上のShow Inactive Sidecarsアイコンをクリックしたときにのみ表示され、「バージョン」、「ステータス」、「DLPステータス」の列は「今」の時点では空になっています。

上記で生成されたトークンはサイドカープール内の各サイドカーごとに発行されます。

AWS構成の設定

ターミナルプロンプトまたはコマンドシェルでaws configureと入力し、以下の入力値を指定してください。
```
AWS Access Key ID :
AWS Secret Access Key :
Default region name [us-west-2]:
Default output format [json]:
```
AWS CLI が PATH 環境変数に指定されている必要があることに注意してください。
必要なTerraformスクリプトをダウンロードするには、以下のURLをブラウザウィンドウにコピーしてください。
```
https://netskope-dspm-release.s3.us-west-2.amazonaws.com/aws-sidecarFromAMI-dlp.zip
```
Netskope DSPM Terraformスクリプトをローカルシステムフォルダに展開してください。これにより、複数の設定ファイル（ main.tf 、 variables.tfなど）を含む新しいフォルダ（例： aws-sidecarFromAMI ）が作成されます。

Terraformスクリプトを実行する

上記の抽出で作成されたフォルダ（例： cd aws-sidecarFromAMI ）に移動します。
そのディレクトリから、以下のコマンドを実行してTerraform環境を正常に初期化してください。
```
terraform init
```
初期化が成功すると、「Terraform の初期化が正常に完了しました！」のようなメッセージが表示されます。
インストールに必要なすべての前提条件となる構成情報が揃っていることを確認するには、次のコマンドを実行します。
```
terraform plan
```

指示が表示されたら、以下の変数を入力してください。

これらの詳細情報が手元にない場合、またはエラーが発生した場合は、先に進む前に、ドキュメントの冒頭にある「前提条件」セクションを再度ご確認ください。

パラメータ	Value
ami_id	貴社と共有されているNetskope DSPMサイドカーイメージの AMI ID。この値は、AMIカタログの「マイAMI」セクションで確認できます。すべてのフィルターをクリアし、所有者＝「自分と共有」でフィルターをかけます。
host_security_group_ids	関連付けたいAWSセキュリティグループを自分で選択します。`[ ]`と二重引用符でグループを囲みます。 Netskope DSPMサイドカーを起動するサブネットと同じネットワークにセキュリティグループが属していることを確認してください。そうでない場合、デプロイは失敗します。
host_subnet_id	これは、Netskope DSPMサイドカーを起動するためのサブネットです。これにより、サイドカーのVPCとアベイラビリティゾーンが決定されます。
key_name	サイドカーにインストールするSSHキーの名前。パッチやセキュリティアップデートをインストールするには、管理者がSSH経由でサイドカーに接続する必要があります。既に設定済みの場合は、ドロップダウンリストから同じものを選択してください。そうでない場合は、AWS EC2 コンソール内で新しいキーペアを設定してください。
netskope_main_application_host	テナントのURLからプロトコルを除いたもの。例えば、テナントにアクセスされた場合`https://example.goskope.com` 、値は`example.goskope.com`になります。
instance_type	サイドカー用にデプロイするEC2インスタンスの種類。Netskopeの標準的な推奨は、アカウントチームからの別の指示がない限り `m5.2xlarge` を使うことです。
sidecar_token	既存のサイドカートークン、または上記の[Configure Sidecar Pool]セクションで生成された新しいトークン。
existing_role_arn	（オプション）インスタンスにアタッチする既存のIAMロールのARN。指定した場合、新しいロールは作成されず、代わりにDSPMポリシーがこのロールにアタッチされます。

Terraformのインストールを開始するには、同じディレクトリから次のコマンドを実行します。
```
terraform apply
```
スクリプトが開始され、以下の動作を実行します。
- Prompt you to input. 上の表に記載されている順番に、構成の詳細を指定してください。
- Check for errors. エラーが発生した場合は、画面の指示に従って修正および再開してください。
- Outputs a resource modification list. スクリプトによって作成されるリソースの詳細については、以下のセクションを展開してください。
- Prompt you to confirm before executing. 確認するには、 yesと入力してください。
スクリプトが正常に完了し、AWSリソースが正しくプロビジョニングされると、出力は次の例のようになります。
```
Apply complete! Resources: 1 added, 0 changed, 1 destroyed.

Outputs:

ids = "i-0dc55679d6d318d76"
ssh_ip = [
"XXX.XXX.XXX.XXX",
]
```

作成されたリソース

コンソール出力には、以下のリソースが一覧表示されます。

リソースタイプ	リソース名
AWS::EC2::Instance	netskope-dspm-sidecar

Netskopeの推奨インスタンスタイプでは、各サイドカーインスタンスはm5.2xlarge EC2 インスタンス (8CPU/32GB に相当)としてデプロイされます。

サイドカー接続の検証

サイドカーをデプロイする際には、サイドカーがテナントにアクセスできることを確認する必要があります。サイドカーからの接続を確認するには、以下の手順に従ってください。

Netskope DSPMアプリケーションにログインしてください。
Administration > Sidecarへ移動してください。
該当するサイドカーについて、以下を検証してください。
- The Version column is populated.
- The Status indicator is green.
- DLP Status列は、DLP アプライアンスへの正常な接続を示します。

新たに稼働しているサイドカーがNetskope DSPMアプリケーションと通信するのに数分かかる場合があります。

これらの値が更新されない場合は、構成（サイドカープールトークン、テナントホスト名、ネットワークアクセス、DLP接続）を再確認し、必要に応じて再デプロイしてください。さらなるトラブルシューティングのガイダンスについては、「 DLPによるDSPMのトラブルシューティング」をご覧ください。

回転式サイドカートークン

これらの手順は、セキュリティ対策としてセキュリティトークンを定期的にローテーションする必要がある場合、または無効なトークンが原因でサイドカーがNetskope DSPMアプリケーションと通信できない場合に適用されます。これらの手順は、サイドカープール内の個々のサイドカーごとに繰り返されます。

Netskope DSPMで新しいトークンを生成する

Netskope DSPMインスタンスにログインしてください。
Go to Administration > Sidecar to open the Sidecar Administration screen.
トークンをローテーションしたいサイドカープール登録については、 Generate New Token アイコンをクリックしてください。
The Generate New Token modal is displayed. Read and then click Confirm.
生成されたトークンをクリップボードに保存するには、 「新しいトークンを生成」モーダルの下部にあるCopyクリックしてください。
モーダルを閉じます。

AWSで新しいトークンを適用する

以下の手順を完了するには、CLI（コマンドラインインターフェース）へのアクセスが必要です。

Log in to the AWS EC2 Console. The EC2 dashboard is displayed.
左側のメニューで、 Instances > Instances screenに移動します。インスタンスダッシュボードが表示されます。
インスタンスの一覧から、トークンの更新が必要な Netskope One DSPM サイドカーに対応するInstance ID ハイパーリンクをクリックします。インスタンス概要画面が表示されます。
Click Connect. The Connect to instance screen is displayed.
ユーザー名としてubuntu入力し、 Connect ボタンを押して、サイドカーへのSSHセッションを開始してください。
AWS CLIが表示されます。
コマンドを入力してください ./tokenrotate.sh
画面の指示に従って新しいトークンを入力してください。
既存の Helm デプロイメントを削除するには、コマンドhelm uninstall netskope -n netskopeを入力してください。
コマンド./helm.shを入力して Helm を再デプロイし、新しいトークンを使用します

SSLプロキシ環境の設定（オプション）

組織が SSL プロキシ経由でアウトバウンドトラフィックをルーティングする場合は、次の手順を実行して、サイドカーがNetskope DSPMプラットフォームと通信できるようにする必要があります。

サイドカーのIPアドレスに接続するためのSSHクライアント
Helmチャートフォルダ内で、 values.yamlファイルを開きます。
httpsProxy の値のエントリをファイルの最下部に追加します。例：
```
httpsProxy: https://192.168.1.17
```
Helmチャートを再デプロイする

デプロイが完了すると、サイドカーは指定されたプロキシ経由で直ちに通信を開始します。

次のステップ:サイドカーをDLPアプライアンスにリンク

展開後、新たに展開したサイドカーをDLPアプライアンスに接続してデータ分類を有効にしなければなりません。

詳細な手順については、「 DLP アプライアンスをサイドカープールにリンク」をご覧ください。