Helm を介して DSPM サイドカーをデプロイする

Overview

Netskope DSPMアプリケーション（ Netskope One DSPMとも呼ばれる）は、データストアをスキャンするためにシームレスな接続を必要とします。しかしながら、 セキュリティ対策として、企業は内部ネットワークと外部アプリケーション間の適切なファイアウォール出口を拒否する傾向があります。 このような制限は、 Netskope DSPMの運用に影響を与え、サブスクリプションの完全なリターン価値を低下させます。

この問題を解決するために、Netskope DSPMは、データストアと並行してデプロイする1つまたは複数のサイドカーで構成される、柔軟なコレクションアーキテクチャを提供します。これらのサイドカーは必要なメタデータを収集し、Netskope DSPMアプリケーションに転送します。この中央管理コンソールでは、データストアのホスト場所に関係なく、すべてのデータストアから得られるインサイトに基づいてアクションを実行できます。

これらの手順では、独自のKubernetesクラスター内でサイドカーを実行するために必要なすべてのリソースをプロビジョニングする方法について説明します。 

前提条件

DLP Appliance Connectivity

サイドカーは、分類活動を行うためにローカルのDLPアプライアンスとの接続を必要とし、使うあなたのDLPプロファイルやルールを行います。 サイドカーをデプロイする前に、以下の点を確認してください。

• DLPアプライアンスは導入されており、サイドカーが設置される同じネットワーク内(または追加のピアリングや複雑なルーティングを避けるために直接接続されたネットワーク内)でアクセス可能です。
• サイドカーとDLPのアプライアンスは、HTTPS(ポート443)を介して通信できなければなりません。
• 必要なREST API v1キーとライセンスキーを生成または取得しました。

Architecture

Netskope DSPMメインアプリケーションと並行して1つ以上のサイドカーをデプロイできる、柔軟なアーキテクチャです。 これらのサイドカーはデータ ストアに直接接続してサンプルを収集し、ローカルの DLP アプライアンスがサンプルをスキャンします。 その後、サイドカーは分類結果をNetskope DSPMアプリケーションにアップロードします。

単一のサイドカーは、インストールされた環境内の複数のデータストアを効率的にスキャンできる。通常は、VPCやVNetなどの分離されたネットワークごとに1つのサイドカーをデプロイしますが、拡張性と冗長性を高めるために複数のサイドカーをインストールすることもできます。このような高可用性構成では、Netskope DSPMアプリケーションが、指定されたプール内のすべての正常なサイドカー間でスキャン操作の負荷分散を自動的に行います。

次の図は、Netskope DSPMのリソースとお客様の環境との関係を示しています。

送信出力の設定

NetskopeはNetskope DSPMアプリケーションをホストおよび管理しているため、外部への通信を許可するようにファイアウォールまたはセキュリティグループの設定を更新する必要があります。ポート 443 で次のグループを使用するホワイトリストを構成します。

• Required for Core ConnectivityサイドカーがDSPMプラットフォームと通信できるようにするには、これらのアドレスを追加します。テナント名に [TENANT] を代入します:

  住所
  [TENANT].goskope.com
  sidecar-[tenant].goskope.com
  netskope-dspm-release.s3.us-west-2.amazonaws.com
  995750983908.dkr.ecr.us-west-2.amazonaws.com

サイドカープールの設定

サイドカーとNetskope DSPMでホストされているテナント間の関係を設定するには、サイドカー管理UI内で生成された固有の認証トークンをサイドカーに提供する必要があります。

1. Netskope DSPMアプリケーションにログインしてください。

2. Administration > Sidecar menuへ移動してください。

3. Add Sidecar Poolをクリックしてください。

4. On the Details tab, complete the following field:

   Field	Value
   名前	サイドカープールを表現するのに適切な値。

5. Saveをクリックしてください。

6. サイドカー認証トークンのモーダルウィンドウの下部にあるCopyクリックすると、生成されたトークンがクリップボードに保存されます。

   

7. モーダルを閉じるには、 Xボタンをクリックしてください。

このトークンをサイドカーにまだ関連付けていないため、サイドカープールは右上のShow Inactive Sidecarsアイコンをクリックしたときにのみ表示され、「バージョン」、「ステータス」、「DLPステータス」の列は「今」の時点では空になっています。

Helm Chartをインストールする

1. 以下のURLから、適切な操舵チャートパッケージをダウンロードしてください。

   https://netskope-dspm-release.s3.us-west-2.amazonaws.com/helm-dspm-sidecar-dlp.zip

2. パッケージの内容を展開してください。 

3. 展開したnetskopeディレクトリに移動してください。

4. Netskope DSPMをインストールするには、以下のコマンドを実行し、以下のパラメータを置き換えてください。 

Note: 以下のコマンドを使用することで、多くのデプロイメントパラメータをカスタマイズできます。このコマンドを実行する前に、 values.yamlファイルの内容を確認して、デプロイメント パラメータとそのデフォルト値について理解しておくことをお勧めします。デフォルト設定を変更したい場合は、以下のコマンドに---set <variable>=<value>フラグを追加してください。

helm upgrade --install netskope netskope --namespace netskope --create-namespace --values netskope/values.yaml \
--set image.tag=dlp-latest \
--set sidecarName=Netskope-DSPM-Sidecar \
--set image.pullPolicy=Always \
--set daseraMainApplicationHost=... \
--set sidecarPoolToken=... \
--set sidecarCount=... \
--set httpsProxy=...

パラメータ	Value
daseraMainApplicationHost	テナントのURLからプロトコルを除いたもの。 例えば、テナントにアクセスされた場合https://example.goskope.com 、値はexample.goskope.comになります。
sidecarPoolToken	既存のサイドカートークン、または上記の「サイドカープールの登録」セクションで生成された新しいトークン。
sidecarCount	（オプション）アプリケーションと連携してデプロイするサイドカーの数。空欄のままにした場合、デフォルト値は1になります。
httpsProxy	(任意)もし組織が送信トラフィックをSSLプロキシ経由でルーティングしているなら、HTTPSアドレスを入力してサイドカートラフィックを指定プロキシ経由で強制します。 例えば、https://1.2.3.4:5000

インストールが完了すると、Helm Chart には次の例のような出力が表示されます。

Deployment complete!

Please visit the Sidecar Adminstration page at https://example.goskope.com/platform-settings/sidecar to confirm the sidecars were successfully registered.

作成されたリソース

Helm Chartは、デプロイされるたびに、以下のデプロイと管理を行います。

• Netskope DSPMサイドカー用のポッド（1つ以上）

kubectlコマンドを実行すると、各ポッドの詳細情報を表示できます。

サイドカー接続の検証

サイドカーをデプロイする際には、サイドカーがテナントにアクセスできることを確認する必要があります。サイドカーからの接続を確認するには、以下の手順に従ってください。

1. Netskope DSPMアプリケーションにログインしてください。
2. Administration > Sidecarへ移動してください。
3. 該当するサイドカーについて、以下を検証してください。
   • The Version column is populated.
   • The Status indicator is green. 
   • DLP Status列は、DLP アプライアンスへの正常な接続を示します。

新たに稼働しているサイドカーがNetskope DSPMアプリケーションと通信するのに数分かかる場合があります。

サイドカーのアップグレード

Netskope DSPMアプリケーションインスタンスまたはテナントとの互換性を維持するために、サイドカーを定期的にアップグレードする必要がある場合があります。

Helm 経由でデプロイされたサイドカーをアップグレードするには、Helm チャートを再デプロイする必要があります。 上記の「Helm チャートのインストール」セクションの手順に従ってください。

SSLプロキシ環境の設定（オプション）

組織が SSL プロキシ経由でアウトバウンド トラフィックをルーティングする場合は、次の手順を実行して、サイドカーがNetskope DSPMプラットフォームと通信できるようにする必要があります。

1. サイドカーのIPアドレスに接続するためのSSHクライアント

2. Helmチャートフォルダ内で、 values.yamlファイルを開きます。

3. httpsProxy の値のエントリをファイルの最下部に追加します。例：

   httpsProxy: https://192.168.1.17

4. Helmチャートを再デプロイする

デプロイが完了すると、サイドカーは指定されたプロキシ経由で直ちに通信を開始します。

次のステップ:サイドカーをDLPアプライアンスにリンク

展開後、新たに展開したサイドカーをDLPアプライアンスに接続してデータ分類を有効にしなければなりません。

詳細な手順については、「 DLP アプライアンスをサイドカープールにリンク」をご覧ください。