CloudFormation を介して AWS インフラストラクチャをオンボーディングします

AWS組織全体、または特定の組織単位（OU）をオンボーディングするには、このワークフローに従ってください。

• In the Netskope DSPM Console:

  1. Administration > Infrastructure Connectionsへ移動してください。

  2. クリックAdd Infrastructure > SelectAWS > Add Account。 

  3. Capabilities タブ> Select発見と分類のニーズに基づいてトグルを調整してください。

     Toggle デスクリプション	Details
     新しいアカウントの自動検出	新しいアカウントの作成時にDSPM自動的に検出できるようにします。
     新しいデータストアを自動検出する	DSPMが新しいデータストアが作成されると同時に自動的に検出できるようにします。
     EBS/EFSをスキャンし、管理対象外のデータストアを自動検出する	ディスクボリューム上のデータストアを検索します。 大規模環境ではパフォーマンスへの影響が懸念されるため、デフォルトでは無効になっています。
     Ingest Tags	フィルタリングとポリシー消費のために、接続されている各データ ストアから AWS タグを取得します。
     データストアのスナップショットへのアクセスを承認する	スナップショットベースのオンボーディングに必要な IAM 権限を CloudFormation または Terraform テンプレートに追加します。これらのテンプレートは次のステップで作成されます。
     AWS Inventory を有効にする	このオプションを切り替えると、 DSPM が S3データストア用のAWS S3 Inventory機能を使うことができます。 有効化されると、DSPMは個別のAPI呼び出しを行ってファイルメタデータを取得するのではなく、専用のインベントリバケットにバケットメタデータを保存します。これにより 大容量バケットのAPIコスト 大幅に削減されます。Note: このトグルは追加のAWS権限が必要なため、デフォルトで無効になっています。インフラストラクチャレベルで有効化されると、使う S3 インベントリオプションが個別の S3 データストアを接続する際に利用可能になります。詳細については、「 Connect AWS S3 to DSPM」をご覧ください。

  4. SelectCloudFormation > 以下の値を入力> Nextをクリックします。 

     Field	Value
     組織名	Netskope DSPMで接続を識別するのに役立つ名前であれば何でも構いません。
     組織ID	AWS の組織コンソールからこれを入手してください。 ルートレベルまたはOUレベルでオンボーディングを行うことで、リンクされているすべてのアカウントを含めることができます。
     Netskope One DSPMサービスアカウントの役割	デフォルト値はNetskope_Roleです。この名前は、登録する組織ごとに一意である必要があります。

  5. Click Download Template

     • これにより、YAMLファイル（例： CloudFormationTemplateOrg.yaml ）がローカルマシンにダウンロードされます。

     

  6. このウィンドウを閉じずに、 Add Infrastructure モーダルを開いたままにして、後で戻ってきてください。

• In the AWS Console:

  1. 組織のAWS管理アカウントにログインしてください。

  2. CloudFormationサービス> に移動し、 StackSets ダッシュボード> Select Create stacksetをクリックします。

  3. In the Choose a template step, under Permissions > Choose Service-managed permissions.

  4. Under Prerequisite – Prepare template > select Template is ready.

  5. Under Specify template > Choose Upload a template file > Click Choose file.

     

  6. Netskope DSPM からダウンロードした YAML ファイルをここにアップロードします>クリックNext 。

  7. In the Specify StackSet details step, enter a name (e.g., NetskopeDSPM-Org-Role) and a description for your StackSet > Click Next.

  8. In the Configure StackSet options step, click Next.

  9. 「展開オプションの設定」ステップで、 Deployment targetsの下で、組織全体に展開するか、特定の OU に展開するかを選択します。

  10. 少なくとも1つの領域Select （例： us-east-1 ） >クリックNext

      IAMロールはグローバルですが、この手順はAWSによって必須となっています。

  11. レビュー手順で、設定を確認し、確認ボックスにチェックを入れて、 Submitをクリックします。

  12. StackSet Operationsタブにデプロイが成功したと表示されるまでお待ちください。

      「操作」タブでStackSetを監視し、その後「スタックインスタンス」で完了を確認できます。これにより、組織内のすべてのアカウントに必要なDSPM IAMロールが展開されます。

      

• Deploy the DSPM Role in the Management Account

  StackSetは、StackSetがデプロイされている管理アカウントにリソースを作成しません。DSPMロールは標準のCloudFormationスタックである管理アカウントで別途展開する必要があります。このステップがなければ、ターゲットアカウントにDSPMロールが存在せず、オンボーディングが完了できません。

  1. AWS 管理アカウントで、 CloudFormation >に移動し、 Create stack > With new resources (standard)をクリックします。

  2. Under Specify template > Choose Upload a template file > Upload the same YAML file you used for the StackSet.

  3. Next >をクリックしてスタック名を入力します (例: NetskopeDSPM-MgmtAccount-Role ) >クリックしてNextをクリックします。

  4. On the Configure stack options page, click Next.

  5. Reviewページで、確認ボックスにチェックを入れてCreate stackをクリックします。

  6. スタックの状態がCREATE_COMPLETEに変わるまで待ちます。

• In the Netskope Console:

  1. 開いたままにしておいたNetskope DSPMのブラウザタブに戻ってください。

  2. Saveをクリックしてください。

     

     AWSコンソールで作業中にNetskope DSPMセッションの有効期限が切れた場合でも、簡単に復旧できます。CloudFormation スタックがCREATE_COMPLETEになったら。
     
     1. Netskope DSPMに再度ログインします。 >新しいAdd Infrastructureワークフローを開始しますManually Configured > Select > と入力します。 Organization Name > Nextクリックします。
     2. AWS コンソールで、作成した CloudFormation スタックのロールのRole ARNを見つけてコピーします。
     3. このRole ARN Netskope DSPMの概要情報に貼り付けます。 > Saveをクリックします。

     AWS 組織インフラストラクチャは今接続されており、 Netskope DSPM分析のために組織全体のアカウントとデータ ストアの検出を開始できます。