Overview
Netskope DSPMアプリケーション（ Netskope One DSPMとも呼ばれる）は、データストアをスキャンするためにシームレスな接続を必要とします。しかしながら セキュリティ対策上、企業は内部ネットワークと外部アプリケーション間の適切なファイアウォール出口を拒否する傾向があります。 このような制限は、 Netskope DSPMの運用に影響を与え、サブスクリプションの完全なリターン価値を低下させます。
この問題を解決するために、Netskope DSPMは、データストアと並行してデプロイする1つまたは複数のサイドカーで構成される柔軟なコレクションアーキテクチャを提供します。これらのサイドカーは必要なメタデータを収集し、Netskope DSPMアプリケーションに転送します。この中央管理コンソール内では、データストアのホスト場所に関係なく、すべてのデータストアから得られるインサイトに基づいてアクションを実行できます。
前提条件
DLP Appliance Connectivity: サイドカーは、分類活動を行うためにローカルのDLPアプライアンスとの接続が必要です。使う あなたのDLPプロファイルとルールを。 サイドカーをデプロイする前に、以下の点を確認してください。
- DLPアプライアンスは導入されており、サイドカーが設置される同じネットワーク内(または追加のピアリングや複雑なルーティングを避けるために直接接続されたネットワーク内)でアクセス可能です。
- サイドカーとDLPのアプライアンスは、HTTPS(ポート443)を介して通信できなければなりません。
- 必要なREST API v1キーとライセンスキーを生成または取得しました。
Architecture
Netskope DSPMメインアプリケーションと並行して1つ以上のサイドカーをデプロイできる、柔軟なアーキテクチャです。 これらのサイドカーはデータ ストアに直接接続してサンプルを収集し、ローカルの DLP アプライアンスがサンプルをスキャンします。 その後、サイドカーは分類結果をNetskope DSPMアプリケーションにアップロードします。
単一のサイドカーは、インストールされた環境内の複数のデータストアを効率的にスキャンできる。通常は、VPCやVNetなどの分離されたネットワークごとに1つのサイドカーをデプロイしますが、拡張性と冗長性を高めるために複数のサイドカーをインストールすることもできます。このような高可用性構成では、Netskope DSPMアプリケーションが、指定されたプール内のすべての正常なサイドカー間でスキャン操作の負荷分散を自動的に行います。
次の図は、Netskope DSPMのリソースとお客様の環境との関係を示しています。
Azure Container Instances の詳細については、 Microsoft Azure のナレッジベースをご覧ください。
送信出力の設定
NetskopeはNetskope DSPMアプリケーションをホストおよび管理しているため、外部への通信を許可するようにファイアウォールまたはセキュリティグループの設定を更新する必要があります。ポート 443 で次のグループを使用するホワイトリストを構成します。
-
Required for Core ConnectivityサイドカーがDSPMプラットフォームと通信できるようにするには、これらのアドレスを追加します。テナント名に
[TENANT]を代入します:住所 [TENANT].goskope.comsidecar-[tenant].goskope.comnetskope-dspm-release.s3.us-west-2.amazonaws.com995750983908.dkr.ecr.us-west-2.amazonaws.com
サイドカープールの設定
サイドカーとNetskope DSPMでホストされているテナント間の関係を設定するには、サイドカー管理UI内で生成された固有の認証トークンをサイドカーに提供する必要があります。
-
Netskope DSPMアプリケーションにログインしてください。
-
Administration > Sidecar menuへ移動してください。
-
Add Sidecar Poolをクリックしてください。
-
On the Details tab, complete the following field:
Field Value 名前 サイドカープールを表現するのに適切な値。 -
Saveをクリックしてください。
-
サイドカー認証トークンのモーダルウィンドウの下部にあるCopyクリックすると、生成されたトークンがクリップボードに保存されます。
-
モーダルを閉じるには、 Xボタンをクリックしてください。
このトークンをサイドカーにまだ関連付けていないため、サイドカープールは右上のShow Inactive Sidecarsアイコンをクリックしたときにのみ表示され、「バージョン」、「ステータス」、「DLPステータス」の列は「今」の時点では空になっています。
Azure構成の設定
-
必要な Azure Resource Manager (ARM) テンプレートをダウンロードするには、以下の URL をブラウザのウィンドウにコピーしてください。
https://netskope-dspm-release.s3.us-west-2.amazonaws.com/NetskopeDSPM-SidecarOnACI-ARM-dlp.json
-
カスタムテンプレートを設定するアカウントで、Azureコンソールにログインしてください。
-
使う 検索ボックスを開いて、 Deploy a Custom Templateに移動します。
-
Build your own template in the editorをクリックしてください。
-
Load fileをクリックし、Netskope DSPM のカスタムサイドカーテンプレート JSON ファイルを選択します。
-
テンプレートJSONファイルの内容が今表示されます。 ページ下部のSaveをクリックしてください。
-
Project detailsの下に、以下の値を入力してください。
Field Value Subscription Pre-populated リソースグループ Any value -
Under Instance details, enter the following values:
Field Value NetskopeDSPMHostName テナントのURLからプロトコルを除いたもの。
例えば、テナントにアクセスされた場合https://example.goskope.com、値はexample.goskope.comになります。sidecarPoolToken 既存のサイドカートークン、または上記の「サイドカープールの登録」セクションで生成された新しいトークン。 vnetName 選択したリソースグループ内の Azure 仮想ネットワークを表示します。Vnet 名は、 Nameというタイトルの左側の列に表示されます。例えば、以下の例の example-virtual-network。subnetName 通常はデフォルトです。仮想ネットワーク／サブネットが複数ある場合は、適切な名前を入力していることを確認してください。サブネット委任フィールドは、下図のようにコンテナグループへの委任を有効にする必要があります。
-
Review + createをクリックしてください。
-
上記で入力した情報が表示された検証画面が表示されます。
-
Createをクリックしてください。
-
デプロイの進行状況が表示されます。完了まで数分かかる場合があります。
-
完了したら、「デプロイメントの詳細」セクションを展開し、 Resource nameをクリックしてサイドカーコンテナインスタンスの詳細を表示できます。
-
左側のメニューで、 Settings > Containersを選択してコンテナグループの詳細を表示します。
-
Netskope DSPMサイドカー用のコンテナ1個。
-
分類エンジン用のコンテナが1つ。
-
-
Logs tabをクリックすると、サイドカーがデータストアの認証、実行、スキャンを行う方法についての詳細が表示されます。
サイドカー接続の検証
サイドカーをデプロイする際には、サイドカーがテナントにアクセスできることを確認する必要があります。サイドカーからの接続を確認するには、以下の手順に従ってください。
- Netskope DSPMアプリケーションにログインしてください。
- Administration > Sidecarへ移動してください。
- 該当するサイドカーについて、以下を検証してください。
- The Version column is populated.
- The Status indicator is green.
- DLP Status列は、DLP アプライアンスへの正常な接続を示します。
新たに稼働しているサイドカーがNetskope DSPMアプリケーションと通信するのに数分かかる場合があります。
SSLプロキシ環境の設定（オプション）
組織が SSL プロキシ経由でアウトバウンド トラフィックをルーティングする場合は、次の手順を実行して、サイドカーがNetskope DSPMプラットフォームと通信できるようにする必要があります。
-
サイドカーのIPアドレスに接続するためのSSHクライアント
-
Helmチャートフォルダ内で、
values.yamlファイルを開きます。 -
httpsProxyの値のエントリをファイルの最下部に追加します。例：httpsProxy: https://192.168.1.17
-
Helmチャートを再デプロイする
デプロイが完了すると、サイドカーは指定されたプロキシ経由で直ちに通信を開始します。
次のステップ:サイドカーをDLPアプライアンスにリンク
展開後、新たに展開したサイドカーをDLPアプライアンスに接続してデータ分類を有効にしなければなりません。
詳細な手順については、「 DLP アプライアンスをサイドカープールにリンク」をご覧ください。