Microsoft Entra IDをDSPMと統合する

Overview

Netskope DSPMをMicrosoft Entra ID(旧Azure AD)と自動同期させる設定が可能です。これにより、どの従業員をインポートするかを制御し、Entra ID属性(デフォルトおよびカスタムの両方)をNetskope DSPMフィールドにマッピングし、これらの従業員固有の値を活用してポリシーを発動できます。

この同期処理は、一度限りの作業として実行することも、Netskope DSPMのデータを定期的に更新するようにスケジュール設定することも可能です。

Examples of alerts possible via this feature include:

• マーケティング部門の誰も、個人情報（PII）を返すクエリを実行していないことを確認してください。
• 大量のレコードを選択する特定のユーザータイプを特定する。
• 業績改善計画（PIP）の対象となっている従業員、または退職を申し出た従業員の行動を注意深く監視する。
• 退職した従業員によるデータ使用が検出された際に、セキュリティチームに自動的に通知します。

Entra IDに関する詳細はこちらをご覧ください。

ステップ1：初期同期の設定

1. Adminロールを持つ任意のユーザーとしてNetskope DSPMにログインしてください。
2. User Identity > Employee Managementへ移動してください。
3. 画面右上のConnect to Directory Serviceをクリックしてください。
4. ディレクトリ構成モーダルが表示され、 「ディレクトリを選択」から始まります。続行するには、 Microsoft Entra IDアイコンをクリックしてください。

ステップ2：ディレクトリ統合の設定

この手順を完了するには、 Netskope DSPM専用の Entra ID サービスプリンシパルアプリ登録を構成する必要があります。 。

権限を付与する

次に、アプリ登録に以下の権限を付与する必要があります。

• Application.Read.All
• Group.Read.All
• User.Read
• User.Read.All

クレデンシャルを提供する

今、Entra IDへのアクセス場所や方法について Netskope DSPM プラットフォームに提供してください。 Provide Credentialsタブに、以下の情報を入力してください。

• Name: これはNetskope DSPM内でのみ有効で、任意のフレンドリー名を設定できます。
• Tenant ID: アプリ登録の概要ページ「 ディレクトリ(テナント)ID 欄」からコピーしてください。
• Client ID: アプリ登録概要ページの「アプリケーション（クライアント）ID」欄からコピーしてください。
• Client Secret: Create a client secret and [provide its value].
• Application ID: Copy from the App registration overview page Object ID field.

同期スケジュールの設定

これには、Netskope DSPMをEntra IDと定期的に同期するようにオプションで設定することも含まれます。これにより、Netskope DSPMは常に最新の従業員データ（新たに発見されたEntra ID従業員を含む）で更新されます。

• Entra IDを定期的に同期したくない場合は、 Sync Enabledトグルをオフにしてください。
• それ以外の場合は、お好みのリズムとタイミングを設定してください。
• Nextボタンをクリックしてください。「マッピング」タブが表示されます。

ステップ3:Netskope DSPMフィールドにEntra ID属性をマッピングする

Entra ID属性とNetskope DSPMフィールド間のマッピングはMappingタブで定義できます。発見されたEntra ID属性ごとに、Netskope DSPMディレクトリのフィールド名が自動的に入力されます。別のソースEntra ID属性を選択することで、これらのマッチングを上書きできます。

Best practice when mapping between systems:

• Map all Expected Database Usernames: Entra IDディレクトリにデータベースユーザー名フィールドまたは想定されるDBユーザー名フィールドが含まれている場合は、それを想定されるユーザー名フィールドにマッピングすることをお勧めします。「期待される DB ユーザー名」の Entra ID 属性には、考えられるすべてのユーザー名の組み合わせ (カンマ区切り) を含めます。例: gwashington, washington, george 。このようにして、ユーザー名はNetskope DSPM内で以下の下流活動に活用できます:
  • Netskope DSPMがデータストアをスキャンする際に検出するユーザー名と、ディレクトリ内の従業員をリンクさせます。
  • 当該関連従業員に対する過剰権限分析。
  • ポリシー条件内でデータベース名や従業員ユーザー名が一致すると、アラートとタスクが作成されます。
• Be sure to map employee status: このようにすることで、Netskope DSPM内でその価値を活用し、退職した従業員の継続的な活動を警告するなど、アラートやタスクの作成をトリガーすることも可能です。
• Remove unnecessary mappings: Netskope DSPM宛先フィールドが必須でない場合 (赤いアスタリスクでマークされています)、または 条件で の場合は、 Deleteアイコンをクリックしてマッピングを完全に削除することをお勧めします。
• Do not map your Entra ID attributes more than once.

マッピングの設定が完了したら、 Nextボタンをクリックしてください。

ステップ4：特定の従業員を含める／除外する

マッピング設定後、使う「Include/Exclude Users」タブで、どの従業員を同期するかを定義します Netskope DSPM。

Entra ID内では、よくあるまたは共有特性に基づいてユーザーをグループ化できます。 さらに、Netskope DSPMで全従業員、または特定のEntra IDグループ内の従業員だけをインポートするように設定できます。(例えば、データベースアクセス権を持つすべての従業員を「Data Owners」というEntra IDグループに整理し、Netskope DSPMでその特権を持つ従業員だけをインポートするように設定するなどです。)

従業員グループをEntra IDから同期するには、手動同期（「グループを同期」を選択）またはCSVアップロードによる同期の2つの方法があります。 手動同期では最大50,000のEntra IDグループをサポートし、CSVアップロードでは無制限のEntra IDグループをサポートします。1000人未満のグループの場合は手動同期を、1000人以上のグループの場合はCSVファイルによるアップロードをお勧めします。

ステップ5：同期された従業員の確認と管理

Entra IDグループのアップロードが正常に完了すると、「成功」バナーが表示され、アップロードされたすべてのグループは自動的に従業員管理ページにインポートされ、同期されます。

完了するとEntra ID設定モードは自動終了し、含まれているEntra IDの従業員は Netskope DSPMの Employee Management 画面、特に All Employees タブ内に表示されます。

• これには、マッピングによって追加された新しい列も含まれます。
• Entra IDから同期された従業員は、 Netskope DSPM プラットフォームによって発見されたデータベースユーザーとは別に管理されます。

今後、Netskope DSPMの従業員管理画面に表示される従業員は、対応するEntra IDグループの設定を反映し、定期的な同期のたびに更新されます。（Entra IDグループに関する詳細はこちらをご覧ください。）

同期動作とメンテナンス

同期スケジュールの詳細は、従業員管理画面の上部に表示されます。設定のいずれかの部分を変更するには、 Editアイコンをクリックして、Entra ID設定モーダルを再度表示します。

• Updates: ソースEntra ID内で行われた変更は、同期が実行されるたびにNetskope DSPM内で利用可能になります。
• Deletions: Entra ID内で従業員を削除した場合、対応するレコードはNetskope DSPMに残りますが、画面上ではその状況を示すように表示されます。
• Removal: Entra IDとの連携を今後利用したくない場合は、 Deleteアイコンをクリックして削除できます。なお、この操作を行うと、Entra IDから以前移行されたすべての従業員が削除されるため、ポリシーの発動など、プラットフォームの他の部分に影響を与える可能性があります。

制限事項

現時点での制限事項は以下のとおりです。

• Microsoft Entra IDは1つだけ使用できます。
• 単一のデータベースのユーザー名属性をマッピングできます。