Overview
Netskope DSPMアプリケーション( Netskope One DSPMとも呼ばれる)は、データストアをスキャンするためにシームレスな接続が必要です。しかし、よくあるセキュリティ慣行により、企業は内部ネットワークと外部アプリケーション間の適切なファイアウォールの退出を拒否する傾向があります。 これらの制限は Netskope DSPM の運用に影響を及ぼし、サブスクリプションの全リターン価値を減少させます。
この問題を解決するために、Netskope DSPMは、データストアと並行してデプロイできる1つまたは複数のサイドカーで構成される柔軟なコレクションアーキテクチャを提供します。これらのサイドカーは必要なメタデータを収集し、Netskope DSPMアプリケーションに転送します。この中央管理コンソール内では、データストアのホスト場所に関係なく、すべてのデータストアから得られるインサイトに基づいてアクションを実行できます。
前提条件
以下の要件を満たしていることを確認してください。
- Netskope DSPM Tenant: サイドカーで収集されたメタデータを受信するには、Netskope DSPMがホストされているテナントが必要です。
- Required Toolsets: ターミナルで以下のツールの最新バージョンが実行されていることを確認してください。
terraform --version(バージョン1.3.2以降)gcloud --version(バージョン435.0.1または同等品)
- DLP Appliance Connectivity: サイドカーは、分類活動を行うためにローカルのDLPアプライアンスとの接続を必要とし、使うあなたのDLPプロファイルやルールを行います。 サイドカーをデプロイする前に、以下の点を確認してください。
- DLPアプライアンスは導入されており、サイドカーが設置される同じネットワーク内(または追加のピアリングや複雑なルーティングを避けるために直接接続されたネットワーク内)でアクセス可能です。
- サイドカーとDLPのアプライアンスは、HTTPS(ポート443)を介して通信できなければなりません。
- 必要なREST API v1キーとライセンスキーを生成または取得しました。
Architecture
Netskope DSPMメインアプリケーションと並行して1つ以上のサイドカーをデプロイできる、柔軟なアーキテクチャです。 これらのサイドカーはデータ ストアに直接接続してサンプルを収集し、ローカルの DLP アプライアンスがサンプルをスキャンします。 その後、サイドカーは分類結果をNetskope DSPMアプリケーションにアップロードします。
単一のサイドカーは、インストールされた環境内の複数のデータストアを効率的にスキャンできる。通常は、VPCやVNetなどの分離されたネットワークごとに1つのサイドカーをデプロイしますが、拡張性と冗長性を高めるために複数のサイドカーをインストールすることもできます。このような高可用性構成では、Netskope DSPMアプリケーションが、指定されたプール内のすべての正常なサイドカー間でスキャン操作の負荷分散を自動的に行います。
次の図は、Netskope DSPMのリソースとお客様の環境との関係を示しています。
送信出力の設定
NetskopeはNetskope DSPMアプリケーションをホストおよび管理しているため、外部への通信を許可するようにファイアウォールまたはセキュリティグループの設定を更新する必要があります。ポート 443 で次のグループを使用するホワイトリストを構成します。
-
Required for Core ConnectivityサイドカーがDSPMプラットフォームと通信できるようにするには、これらのアドレスを追加します。テナント名に
[TENANT]を代入します:住所 [TENANT].goskope.comsidecar-[tenant].goskope.comnetskope-dspm-release.s3.us-west-2.amazonaws.com995750983908.dkr.ecr.us-west-2.amazonaws.com
サイドカープールの設定
サイドカーとNetskope DSPMでホストされているテナント間の関係を設定するには、サイドカー管理UI内で生成された固有の認証トークンをサイドカーに提供する必要があります。
-
Netskope DSPMアプリケーションにログインしてください。
-
Administration > Sidecar menuへ移動してください。
-
Add Sidecar Poolをクリックしてください。
-
On the Details tab, complete the following field:
Field Value 名前 サイドカープールを表現するのに適切な値。 -
Saveをクリックしてください。
-
サイドカー認証トークンのモーダルウィンドウの下部にあるCopyクリックすると、生成されたトークンがクリップボードに保存されます。
-
モーダルを閉じるには、 Xボタンをクリックしてください。
このトークンをサイドカーにまだ関連付けていないため、サイドカープールは右上のShow Inactive Sidecarsアイコンをクリックしたときにのみ表示され、「バージョン」、「ステータス」、「DLPステータス」の列は「今」の時点では空になっています。
Google Cloud のセットアップ クレデンシャル
この手順により、Terraform は gcloud CLI を使用して、Google Cloud アカウント内にユーザーに代わってリソースを作成できるようになります。
Terraformの認証に関する詳細は、 Google CloudプロバイダーのTerraform Registryページをご覧ください。
ターミナルプロンプトまたはコマンドシェルで次のように入力します。 gcloud auth application-default login そして、ブラウザから認証を完了してください。
以下のコマンドを実行することで、この手順が正常に完了したことを確認できます。
gcloud auth list
コマンドの出力に、あなたのGCPユーザーアカウントが表示されるはずです。
GCP構成の設定
-
必要なTerraformスクリプトをダウンロードするには、以下のURLをブラウザウィンドウにコピーしてください。
https://netskope-dspm-release.s3.us-west-2.amazonaws.com/gcp-sidecar-dlp.zip
-
ローカルシステムフォルダ内のNetskope DSPM Terraformスクリプトを抽出すると、「
deploy」というフォルダが作成されます。
Terraformスクリプトを実行する
-
上記の抽出で作成された
deployフォルダに移動してください。 -
そのディレクトリから、以下のコマンドを実行してTerraform環境を初期化してください。
terraform init
初期化が成功すると、「Terraform の初期化が正常に完了しました！」のようなメッセージが表示されます。 -
インストールに必要なすべての前提条件となる構成情報が揃っていることを確認するには、次のコマンドを実行します。
terraform plan
-
指示が表示されたら、以下の変数を入力してください。
これらの詳細情報が手元にない場合、またはエラーが発生した場合は、先に進む前に、ドキュメントの冒頭にある「前提条件」セクションを再度ご確認ください。Variable Details region コンテナを起動する Google Cloud リージョン (例: us-west1project コンテナを起動するGoogle Cloudプロジェクト。
netskope_dspm_host テナントのURLからプロトコルを除いたもの。
例えば、テナントにアクセスされた場合https://example.goskope.com、値はexample.goskope.comになります。sidecar_pool_token 既存のサイドカートークン、または上記の「サイドカープールの登録」セクションで生成された新しいトークン。 -
Terraformのインストールを開始するには、デプロイフォルダから次のコマンドを実行してください。
terraform apply
-
スクリプトが開始され、以下の動作を実行します。
-
Prompt you to input. 上記の表に記載されているのと同じ6つの設定詳細を順番に入力してください。
-
Check for errors. エラーが発生した場合は、画面の指示に従って修正および再開してください。
-
Outputs a resource modification list. スクリプトによって作成されるリソースの詳細については、以下のセクションを展開してください。
-
Prompt you to confirm before executing. 確認するには、
yesと入力してください。スクリプトが正常に完了し、GCPリソースが正しくプロビジョニングされると、出力は次の例のようになります。Apply complete! Resources: 1 added, 0 changed, 1 destroyed. Outputs: ids = "i-0dc55679d6d318d76" ssh_ip = [ "XXX.XXX.XXX.XXX", ]
-
-
サイドカー接続の検証
サイドカーをデプロイする際には、サイドカーがテナントにアクセスできることを確認する必要があります。サイドカーからの接続を確認するには、以下の手順に従ってください。
- Netskope DSPMアプリケーションにログインしてください。
- Administration > Sidecarへ移動してください。
- 該当するサイドカーについて、以下を検証してください。
- The Version column is populated.
- The Status indicator is green.
- DLP Status列は、DLP アプライアンスへの正常な接続を示します。
新たに稼働しているサイドカーがNetskope DSPMアプリケーションと通信するのに数分かかる場合があります。
サイドカーのアップグレード
Netskope DSPMアプリケーションとの互換性を維持するために、サイドカーを定期的にアップグレードする必要がある場合があります。
サイドカーのデプロイメントをアップグレードするには、 deployフォルダーから次のコマンドを実行して、以前のインスタンスを削除するだけです。
terraform destroy
コンテナが削除されたら、上記の「Terraformスクリプトの実行」セクションの手順を繰り返してください。
SSLプロキシ環境の設定（オプション）
組織が SSL プロキシ経由でアウトバウンド トラフィックをルーティングする場合は、次の手順を実行して、サイドカーがNetskope DSPMプラットフォームと通信できるようにする必要があります。
-
サイドカーのIPアドレスに接続するためのSSHクライアント
-
Helmチャートフォルダ内で、
values.yamlファイルを開きます。 -
httpsProxyの値のエントリをファイルの最下部に追加します。例：httpsProxy: https://192.168.1.17
-
Helmチャートを再デプロイする
デプロイが完了すると、サイドカーは指定されたプロキシ経由で直ちに通信を開始します。
次のステップ:サイドカーをDLPアプライアンスにリンク
展開後、新たに展開したサイドカーをDLPアプライアンスに接続してデータ分類を有効にしなければなりません。
詳細な手順については、「 DLP アプライアンスをサイドカープールにリンク」をご覧ください。