Risk Exchange用HPE Mist Access Assuranceプラグイン

本書では、HPE Mist Access Assurance v1.0.0プラグインをNetskope Cloud ExchangeプラットフォームのRisk Exchangeモジュールで設定する方法について説明します。このプラグインは、HPE Mistプラットフォームのアクセスポイントページからデバイス（アクセスポイント）レコードを取得します。HPE Mistでのラベルの追加/削除、NACデバイスの追加/更新、NACデバイスの削除アクションをサポートしています。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
• アカウントを持つHPE Mistインスタンス。
• 以下のホストへの接続：https://api.mist.com および構成されたNAC APIベースURL。
• Secret Managerの構成については、このドキュメントを参照してください。Azure Key Vault Secrets Managerをセットアップするには、このドキュメントを参照してください。

HPE Mist Access Assuranceプラグインのサポート

このプラグインは、HPE Mistプラットフォームの［Access Points］ページからデバイス（アクセスポイント）レコードを取得します。HPE Mistにおけるラベルの追加/削除、NACデバイスの追加/更新、およびNACデバイスの削除アクションをサポートしています。

マッピング

マッピングは、取得したデバイスの詳細を表示するために使用されます。プラグインの構成中にマッピングされたフィールドは、データが取得された後に［レコード］ページに表示されます。プラグインの構成中に使う推奨マッピングを次に示します。

デバイスのマッピングを取得する

権限

この権限は、プラグイン設定に必要です：Network Adminアクセスレベルで生成されたトークン。

{
  "grant_type": "client_credentials",
  "client_id": "<Client ID>",
  "client_secret": "<Client Secret>"
}

パフォーマンスマトリックス

以下は、これらの仕様を備えた大規模なCloud Exchangeスタックで50万台のデバイスをプルする際に実行されたパフォーマンスマトリックスです。

ユーザーエージェント

netskope-ce-7.0.0-cre-hpe-mist-access-assurance-v1.0.0

ワークフロー

1. HPE Mist APIトークンを取得します。
2. HPE Mist Access Assuranceプラグインを構成します。
3. HPE Mist Access Assuranceのビジネスルールを構成します。
4. HPE Mist Access AssuranceのRisk Exchangeアクションを構成します。
5. HPE Mist Access Assuranceプラグインを検証します。

動画を見る

再生ボタンをクリックして動画をご覧ください。

HPE Mist APIトークンを取得します

1. HPE Mistプラットフォームにログインします。

2. APIトークンを生成するには、Organization > Settingsに移動します。

   

3. API Tokenに移動してCreate Tokenをクリックしてください。

   

4. 名前を入力し、トークンのアクセスレベルを選択して、Generateをクリックします。

   

5. Site Namesを取得するには、Organization > Site Configurationに移動し、デバイスを取得するサイトの名前をメモします。組織内のすべてのサイトから取得する場合は、空白のままにします。

HPE Mist Access Assuranceプラグインを構成します

1. Cloud Exchange で、 Settings > Plugin Storeに移動します。HPE Mist Access Assurance v1.0.0 (CRE)プラグインを検索して選択してください。

   

2. 構成名を入力し、必要に応じて同期間隔を変更してください。

   

3. Nextをクリックして、設定パラメータを入力してください。

   • NAC API Base URL: Juniper NAC APIのベースURL。最後に/v1を追加しないでください。［アクセスポイントの取得］がいいえに設定されている場合に必須です。［NACデバイスの追加/更新］または［NACデバイスの削除］アクションを実行するために必要です。
   • NAC Client ID: Juniper NAC APIのクライアントID。「アクセスポイントの取得」がいいえに設定されている場合に必須です。「NACデバイスの追加/更新」または「NACデバイスの削除」アクションを実行するために必要です。
   • NAC Client Secret: Juniper NAC APIのクライアントシークレット。「アクセスポイントの取得」が「いいえ」に設定されている場合に必須です。「NACデバイスの追加/更新」または「NACデバイスの削除」アクションを実行するために必要です。
   • MIST Org ID: 環境プレフィックス付きのMist組織ID。S_xxxxxxxの例。Fetch Access PointsがNoに設定されている場合、必須となります。NACデバイスの追加/更新またはNACデバイスの削除アクションを実行するために必要です。
   • Netskope Account ID: NetskopeアカウントID。この値を取得するには、Netskopeサポートにコンタクトしてください。「デバイス（アクセスポイント）のプル」がいいえに設定されている場合は必須です。「NACデバイスの追加/更新」または「NACデバイスの削除」アクションを実行するために必要です。
   • Fetch Access Points: Select Yesを選択して、トークン認証を使用し、HPE Mist APIからデバイス（アクセスポイント）のレコードを取得します。これにより、必要なクレデンシャルのフィールドが表示されます。Select いいえを選択すると、デバイス（アクセスポイント）のプルを完全にスキップしてNACワークフローのみを使います。この場合、デバイスはプルされず、代わりにNAC構成フィールドが必須になります。
   • Base URL: https://api.mist.comのようなHPE Mist APIエンドポイントのベースURL。
   • API Token: 以前にHPE Mistダッシュボードから生成されたAPIトークン。
   • Organization ID: デバイスを取得するHPE Mist組織ID。Mistインスタンスの組織IDを取得するには、Organizations > Settingsに移動します。
   • Site Names: デバイスの取得元となるHPE Mistサイト名のコンマ区切りリスト。空白のままにすると、構成済みの「組織」ID配下のすべてのサイトからデバイスを取得します。サイト名を取得するには、Organization > Site Configuration に移動してください。
   • Fetch Labels: Select Yes to update each Device record with its WX Tag labels. Select No to skip pulling labels.

   

   

4. Nextをクリックし、Entityドロップダウンから必要なエンティティを選択します。必要に応じてフィールドマッピングを提供します。Add New Entityをクリックして新しいエンティティを作成できます。

   

   

   必要に応じて、フィールドラベル、データ型、正規化、および集計戦略を指定し、Saveをクリックします。

   

   次のフィールドのマッピングを指定してください：

   

   

   

   推奨されるマッピングについては、「マッピング」セクションを参照してください。

5. Saveをクリックしてください。

   

HPE Mist Access AssuranceのRisk Exchangeビジネスルールを構成する

1. Risk ExchangeでBusiness Rulesに移動し、 Add Business Ruleをクリックします。
2. ソースとフィルター条件を設定してください。

   

3. Saveをクリックしてください。

   

HPE Mist Access AssuranceのRisk Exchangeアクションを設定します

CRE HPE Mist Access Assuranceは、次のアクションタイプをサポートしています：

• Add/Remove Label：このアクションを使用して、HPE Mist Access Assuranceインスタンスからプルされたデバイスに対して、ラベルを追加または削除できます。
• Add/Update NAC Devices：このアクションは、HPE Mist Access Assuranceプラットフォーム上のNACデバイスを追加または更新するために使うできます。
• Delete NAC Devices: このアクションは、HPE Mist Access AssuranceプラットフォームのNACデバイスを削除するために使うことができます。
• No Action：このアクションに対しては何も実行されません。ユーザーは、このアクションを使用してTicket OrchestratorでUBAアラートを生成し、アラートの生成トグルを有効にできます。

Add/Remove a Label

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから必要なビジネスルールとプラグイン設定を選択します。アクションで Add/Remove Label を選択し、次のパラメータを入力します。
   • Label Action: デバイスをラベルに追加するか、ラベルから削除するか。Select Label Actionを静的フィールドドロップダウンから選択します。
   • Site ID: ラベルが属するMistサイトID。[Source Field] ドロップダウンから Site ID を選択します。
   • Label Name: デバイスを追加するラベル名（指定されたSite IDとOperationの下に存在しない場合は自動的に作成されます）、またはデバイスを削除するラベル名。Select ラベル名のソースフィールドを1つ以上選択するか、カンマ区切りの固定リストを指定すると、デバイスを複数のラベルに一度に追加または削除できます。各ラベル名は64文字以内にしてください。HPE Mistでは、それを超える部分が切り捨てられます。
   • Operation: ラベルの操作を照合します。ラベルを見つけるには、既存のラベル自体の操作と完全に一致する必要があります。操作が異なる同名のラベルはそのまま残され、そのラベルの変更や重複の作成は行われず、アクションは失敗します。新しいラベルが作成されるときに、そのまま使用されます。「Static Field」ドロップダウンから Operation を選択します。
   • Device Unique ID: ラベルを追加または削除するデバイスの一意のID。静的またはソースフィールドのドロップダウンから選択します。
3. 取得したレコードに対して操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

NACデバイスの追加/更新

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから必要なビジネスルールとプラグイン設定を選択します。アクションで Add/Update NAC Devices を選択し、次のパラメータを入力します。
   • Netskope Device UUID: NACに送信するNetskopeデバイスUUID。[Source Field] ドロップダウンから [Netskope デバイス UUID] のみを Select。
   • MAC Address: NACで追加または更新するデバイスのMACアドレス。Select a MACアドレスのソースフィールドを選択するか、コンマで区切られたMACアドレスを提供します。必須：MACアドレスのないレコードは失敗としてマークされます。
   • Hostname: デバイスのホスト名。Select ホスト名のソースフィールドを選択するか、静的な値を入力します。
   • Username/Email: デバイスユーザーのユーザー名または電子メール。Select a ユーザー名／電子メールのソースフィールドを選択するか、静的な値を指定します。
   • OS: デバイスのオペレーティングシステム。Select OSソースフィールドを選択するか、静的値を指定します。
   • OS Version: デバイスのオペレーティングシステムのバージョン。Select an OSバージョンソースフィールドを選択するか、静的値を指定します。
   • Device Make: デバイスのメーカー。デバイスメーカーのソースフィールドを選択するか、静的な値を指定します。
   • Device Model: デバイスのモデル。Select デバイスモデルのソースフィールドを選択するか、静的な値を指定します。
   • Labels: デバイスと一緒に送信するラベル。Select 1つ以上のラベルソースフィールドを選択するか、カンマで区切られた静的ラベルのリストを指定します。
   • Connection Type: Connection type of the device, sent to NAC as ether_type. Select Wired or Wireless from the Static or Source Field dropdown, or leave it blank to let NAC default it to wireless.
3. 取得したレコードに対して操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

NACデバイスを削除します

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンから必要なビジネスルールとプラグイン設定を選択します。アクションで Delete NAC Devices を選択し、このパラメータを入力します。
   Netskope Device UUID: NACから削除するNetskopeデバイスUUID。 静的またはソースフィールドのドロップダウンから選択します。
3. 取得したレコードに対して操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

No Action

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. Select それぞれのドロップダウンから、必要なビジネスルールと構成を選択します。アクションには No Action を選択します。
3. 取得したレコードに対して操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

HPE Mist Access Assuranceプラグインの検証

Cloud Exchangeで検証する

HPE Mistから取得したデバイスを確認するには、Loggingに移動し、CRE HPE Mist Access Assuranceプラグインのログを検索してください。

Cloud Exchangeで取得・保存されたレコードを確認するには、Risk ExchangeのRecordsに移動します。プラグイン構成でマッピングを追加する際に使うエンティティタイプをSelectします。

アクション検証

実行されたラベルの追加/削除アクションのログ：

実行されたNACデバイスの追加/更新アクションのログ：

実行されたNACデバイスの削除アクションのログ：

HPE Mistで検証します

HPE Mistダッシュボードにログインし、Access Points ページに移動します。また、デバイスをプルしたサイトを選択します。

HPE Mistに表示されているデバイス・レコードが、Cloud Exchangeに取り込まれたレコードと一致することを確認します。

Add/Remove Labelアクションを検証するには、Site > Wireless > Labelsページに移動し、ラベルを追加または更新したサイトを選択してください。

HPE Mist Access Assuranceプラグインのトラブルシューティング

CRE HPE Mist Access Assuranceプラグインを構成できません

認証失敗（401 Unauthorized）

検証中またはプラグインの実行中にプラグインから401 Unauthorizedエラーがレポートされた場合、次のいずれかが原因である可能性があります：

• 構成済みのクレデンシャル（APIキー）が正しくないか、期限切れになっています。
• NACクライアントIDまたはクライアントシークレットが正しくありません。

What to do:

1. プラグイン構成の関連するクレデンシャルフィールド（トークン認証のAPIキー）を再確認してください。
2. NACデバイスの追加/更新またはNACデバイスの削除アクション中にエラーが発生した場合は、NAC Client IDとClient Secretを再確認してください。
3. 必要に応じてHPE MistダッシュボードまたはJuniper NACコンソールからAPIトークンを再生成し、プラグイン構成を更新してください。
4. トークン生成については、HPE Mistでの設定を参照してください。

リソースが見つかりません（404 Not Found）

プラグインが404 Not Foundエラーを報告する場合、次の理由が考えられます：

• HPE Mist API用に構成されたベースURLが正しくありません。
• 「組織」IDが存在しないか、構成済みの「クレデンシャル」でアクセスできません。
• 設定されたサイト名が、設定された組織の下のサイトに解決されません。

What to do:

1. プラグイン設定のベースURLを確認してください。HPE Mist APIエンドポイント（https://api.mist.comなど）と一致していることを確認してください。
2. HPE MistダッシュボードでOrganizations > Settingsを確認して、組織IDを検証します。
3. HPE Mistダッシュボードの Organization > Site Configuration を確認して、サイト名を確認してください。設定された名前が、構成された組織下のサイトと完全に一致していることを確認してください。

CEでデバイスの詳細を取得できません

• レコードテーブルにデバイスの詳細が表示されない場合は、以下のいずれかの理由が考えられます。
  • HPE Mistプラットフォームにデバイスが存在しません。
  • CRE HPE Mist Access Assuranceプラグインの設定中に、HPE Mistの全フィールドのマッピングは提供されません。
  • プラグインのライフサイクル中にエラーが発生しました。
• 上記の問題を解決するには、以下の手順に従ってください。
  • デバイスが HPE Mistプラットフォーム に存在することを確認します。
  • プラグインの設定時には、必要なマッピングを必ず指定してください。
  • エンティティに作成されたフィールドがマッピングに従っていることを確認してください。
  • ロギングページでプラグインからのログを確認し、エラーがあるかどうかを確認してください。

既知の動作

ラベルの追加中に無効なデバイス一意IDが提供された場合、ラベルは正常に作成されますが、どのデバイスにも割り当てられません。エラーや警告は表示されず、ログには成功メッセージが表示されます。