顧客データプライバシープロキシ（CDPP）は、個人識別情報（PII）データに対する高度な技術的プライバシー制御を実現するための、強力かつシンプルな方法です。 CDPPは、アップロードされたログに含まれるユーザーデータ、送信元IPアドレス、URL情報などの個人情報（PII）を暗号化することができます。
以下の図は、CDPPのワークフローを示しています。
この機能はすべてのテナントで利用可能ですが、デフォルトでは無効になっています。この機能を有効にするには、 support@netskope.comクリックしてください。
注記
Netskopeは、CDPPモードでのみ動作する専用の仮想アプライアンスまたは物理アプライアンスでCDPPを有効にすることを推奨します。
Netskope UIでPII設定を有効にする
個人情報保護設定を有効にするには：
- テナントUIでSettings > Security Cloud Platform > CDPP for Applianceに移動し、 Editをクリックします。
- トグルスイッチを有効にして、保護したいフィールドを選択してください。
- Saveをクリックしてください。
PII設定を有効にする コマンドラインインターフェース
CDPPサービスを有効にするには、 set pii-privacy-proxy enable trueを実行し、 request key generate pii-privacy-proxyを実行して暗号化キーを生成する必要があります。暗号化キーはデータを暗号化し、ポート 443 (デフォルト) でリッスンするリバース プロキシの自己署名証明書を使用します。
手順ごとの詳細なコマンドは以下のとおりです。
- 設定モードに入るには
configureを入力してください。 - CDPPを有効にするには
set pii-privacy-proxy enable trueを入力してください。 - 設定を有効にするには、
saveを入力してください。 - 設定モードを終了するには、
exitを入力してください。 - 設定を有効にするために必要な暗号化キーを生成するには、
request key generate pii-privacy-proxyを入力してください。 - 設定シェルを終了するには、
exitを入力してください。
CPPサービスを無効にするには、 set pii-privacy-proxy enable falseを入力してください。
追加のコマンドは 環境の要件に合わせて設定を調整できます。たとえば、443 以外のポートに移動したり、 リバースプロキシ用の実際の証明書/キーを使用したりできます。
注記
CDPPはイベントフィールドの暗号化および復号キーをローカルで作成・保存することが可能です。CDPPで自分専用の鍵管理者を使うして暗号化鍵や復号鍵を作成・保存したい場合は、KMIPを有効にしてください。 詳細については、 「KMIP CLI コマンドによる個人情報保護」を参照してください。
マルチノード展開
複数のOPLPおよびCDPPシステムを導入することで、規模を拡大したり、地理的な分散を実現したりすることができる。
OPLPとCDPPは基本的にステートレスであるため、複製やバックアップが必要なデータがなく、そのため、すべてに同じ暗号化キーをインストールする必要があります。これは、最初のシステムから鍵をエクスポートし、後続のシステムにインポートすることによって実現されます。nsshell のpii-privacy-proxy importおよびpii-privacy-proxy export操作コマンドは この目的のために使用されます。
個人情報保護のためのKMIP CLIコマンド
PII プライバシー プロキシの標準機能では、ローカルに作成および保存されたイベント フィールドの暗号化に対称暗号化キーを使用することのみが許可されます。 鍵管理相互運用プロトコル（KMIP）との統合により、OPLPはKMIPを介して鍵マネージャから鍵を取得できます。KMIPは、鍵管理サーバー上の暗号鍵のメッセージ形式を定義する標準化された通信プロトコルです。KMIPでは、入力ログファイルからのイベントにPIIプライバシーを適用できます。 イベントには、プライバシー上の理由から暗号化できる src_ip (送信元 IP アドレス)、user (ユーザー名)、電子メール (ユーザーの電子メール アドレス) などのフィールドがあります。
KMIP サーバー設定が有効になっている場合、OPLP は外部キー マネージャーから取得した対称キーを使用してデータを暗号化および復号化します。
これらの新しい CLI コマンドは、OPLP 上で実行されている KMIP クライアント サービスによって使用される KMIP サーバー パラメーターを構成するために追加されました。
To configure KMIP parameters:
- Linuxシェルプロンプトで
nsshellと入力すると、Netskope設定シェルに入ります。nsadminユーザーとしてログインしていることを確認してください。 - 設定モードに入るには
configureを入力し、その後、以下のいずれかのコマンドを入力してください。set kmip-server ca-certCA証明書をバッファにコピー＆ペーストし、Enterキーを押してから、Ctrl+Dを押して終了します。
CA証明書を指定します KMIPサーバー証明書を検証する際に
set kmip-server client-certCA証明書をバッファにコピー＆ペーストし、Enterキーを押してから、Ctrl+Dを押して終了します。
クライアント証明書を指定します KMIPサーバーとのやり取り中
set kmip-server client-keyCA証明書をバッファにコピー＆ペーストし、Enterキーを押してから、Ctrl+Dを押して終了します。
KMIPサーバーとの対話中に使用されるクライアントキーを指定します
set kmip-server enable: KMIP を介して既存のキーマネージャとの統合を可能にしますset kmip-server host<hostname or IP address>KMIPサーバーのホスト名またはIPアドレスを指定します。set kmip-server port <port>KMIPサーバーのポートを指定します（デフォルトのポート番号である5696が推奨されます）。
- 設定を有効にして必要なオブジェクトを作成するには、
saveを入力してください。 - 設定モードを終了するには、
exitを入力してください。 - 設定シェルを終了するには、
exitを入力してください。
ログコレクタープロセスがKMIP経由で外部キーマネージャに接続し、処理対象イベント内のプライベートフィールドを暗号化するためのキーを取得するには、上記に挙げたKMIPコマンドを設定する必要があります。その他のオプションコマンドは以下のとおりです。
set kmip-key-cache enableHSMから取得したキーのメモリ内キャッシュを有効にします。ログファイルから重要なオブジェクトを取得するリクエスト数を制限するため、キャッシュはデフォルトで有効になっています。set kmip-key-cache ttl <time in seconds>キャッシュ内のキーの有効期限を設定します。kmip-key-cachingが有効になっている場合、時間が指定されていないため、デフォルトの時間は1時間に設定されます。
注記
Netskope現在、HAプロキシを介して4つのnsdetokenizerインスタンスを実行しており、detokenizerプロセスの数は設定できません。 これまでnsdetokenizerに適用されていた設定が、今後はHAプロキシにも適用されます。
注記
KMIP 設定を有効にしても、CDPP は以前に暗号化されたローカル キーを使用したデータを引き続き復号化できます。