Terraformを経由したAWSインフラストラクチャのオンボード

Overview

Terraformを使用して、AWSアカウントとAWS組織の両方をインフラストラクチャ接続としてNetskope DSPMにオンボーディングするには、以下の手順に従ってください。これらの接続により、DSPMはデータストアを検出し、スキャンと分類を実行できます。

このプロセスは、よりきめ細かく、機能に基づいたIAM権限を提供するために更新されました。ダウンロードしたTerraformテンプレートにはインラインコメントが含まれており、選択した機能に必要な権限のみをデプロイします。

Prerequisites:

始める前に、必要なツールがマシンにインストールされ、設定されていることを確認してください。

テンプレートの権限概要

ダウンロードするTerraformテンプレートは、Netskopeのユーザーインターフェースで選択した機能に基づいて動的に生成されます。このセクションでは、テンプレートがAWS環境に自動的に作成する権限について説明し、完全な透明性を提供します。

権限の種類	ポリシーと許可	目的
基本権限 (常に含まれています)	• `IAMReadOnlyAccess` (マネージドポリシー) • `AWSOrganizationsReadOnlyAccess` (マネージドポリシー、組織のみ) • Netskope および EC2 の信頼ポリシー	基本的な読み取り専用アクセスを提供し、 Netskopeその役割を引き受けることを可能にします。
オプションの権限 (機能に基づく)	• 「タグの取り込み」がポリシー - `tag:GetResources` (カスタム権限) の場合 • 「新しいデータストアの自動検出」がポリシーの場合 - 5 管理ポリシー (S3、Redshift、RDS、EC2、DynamoDB ReadOnly) - 3 カスタムポリシー (EFS、Redshift クレデンシャル、Athena/Glue) • 「 EBS/EFS のスキャンとアンマネージドデータストアの自動検出」がポリシーの場合 - 一時スキャン環境の作成および削除に関するカスタム EC2 ポリシー。 • 「データストアスナップショットアクセスの承認」が有効になっている場合: - 「管理対象外データストア」からのすべてのアクセス許可 - スナップショットのスキャンに関する 8 つのカスタム RDS および KMS ポリシー。 • AWS Inventory を有効にする場合: - `s3:PutInventoryConfiguration` (カスタム権限)。AWSインベントリの有効化がオンになっている場合に必須です。DSPMが顧客バケット上のS3インベントリを設定し、メタデータを専用のインベントリバケットに保存できるようにします。インベントリバケットは、サーバー側の暗号化を使用する AWS S3 マネージドキー (SSE-S3) です。	UIで選択した各機能に対して、特定の権限を追加します。

インフラ接続の手順

以下の手順に従って、AWSインフラストラクチャをNetskope DSPMアプリケーションにオンボーディングしてください。設定に応じて、 「個人用AWSアカウント」または「AWS組織」のいずれかを選択して進んでください。

個人用AWSアカウント

AWS組織

Netskope DSPMにオンボーディングしたいAWSアカウントごとに、このプロセスを繰り返してください。

このワークフローはNetskope DSPMで開始され、ターミナルでのアクションを続行し、 DSPMに戻って終了してセットアップを完了します。

In the Netskope DSPM Console:

Administration > Infrastructure Connectionsへ移動してください。
Add Infrastructure > をクリックしてAWS > Add Account Select 。

Capabilities タブ> Select発見と分類のニーズに基づいてトグルを調整してください。

Toggle デスクリプション	Details
新しいアカウントの自動検出	新しいアカウントの作成時にDSPM自動的に検出できるようにします。
新しいデータストアを自動検出する	DSPMが新しいデータストアが作成されると同時に自動的に検出できるようにします。
EBS/EFSをスキャンし、管理対象外のデータストアを自動検出する	ディスクボリューム上のデータストアを検索します。大規模環境ではパフォーマンスへの影響が懸念されるため、デフォルトでは無効になっています。
Ingest Tags	フィルタリングとポリシー消費のために、接続されている各データストアから AWS タグを取得します。
データストアのスナップショットへのアクセスを承認する	スナップショットベースのオンボーディングに必要な IAM 権限を CloudFormation または Terraform テンプレートに追加します。これらのテンプレートは次のステップで作成されます。
AWS Inventory を有効にする	このオプションを切り替えると、 DSPM が S3データストア用のAWS S3 Inventory機能を使うことができます。有効化されると、DSPMは個別のAPI呼び出しを行ってファイルメタデータを取得するのではなく、専用のインベントリバケットにバケットメタデータを保存します。これにより大容量バケットのAPIコスト大幅に削減されます。Note: このトグルは追加のAWS権限が必要なため、デフォルトで無効になっています。インフラストラクチャレベルで有効化されると、使う S3 インベントリオプションが個別の S3 データストアを接続する際に利用可能になります。詳細については、「 Connect AWS S3 to DSPM」をご覧ください。

Select Terraform > 以下の値を入力 > Nextをクリックします。

Field	Value
組織名	Netskope DSPMで接続を識別するのに役立つ名前であれば何でも構いません。
組織ID	AWS の組織コンソールからこれを入手してください。ルートレベルまたはOUレベルでオンボーディングを行うことで、リンクされているすべてのアカウントを含めることができます。
アカウントID	AWS の組織コンソールからこれを入手してください。
Netskopeサービスアカウントの役割	デフォルト値は`Netskope_Role`です。この名前は、登録する組織ごとに一意である必要があります。

Click Download Template
- これは.zipファイルをダウンロードします。
このウィンドウを閉じずに、 Add Infrastructure モーダルを開いたままにして、後で戻ってきてください。

In your Terminal:
1. ファイルをダウンロードしたディレクトリ（例： cd ~/Downloads ）に移動します。
2. ファイルを解凍します（例： unzip file_name.zip ）。
3. .tfファイルを含む新しいフォルダに移動します。
4. ディレクトリを初期化するには、 terraform initを実行してください。
5. terraform applyを実行してリソースを作成します。
6. 計画を確認し、 yesと入力して実行を承認してください。
7. Wait for the Apply complete! message.
In the Netskope Console:
1. 開いたままにしておいたNetskope DSPMのブラウザタブに戻ってください。
2. Saveをクリックしてください。
  
  もしNetskopeのDSPMセッションが端末内で作業中に切れても、簡単に復旧できます。terraform applyが完成したら:
  
  1. Netskope DSPM > にログインして新しい Add Infrastructure ワークフローを始める > Select Manually Configured > de を Account Name > Nextをクリックします。
  2. AWSコンソールで、CloudFormationスタックで作成したロールの Role ARN を見つけてコピーします。
  3. このRole ARNをNetskope DSPM >のサマリー情報に貼り付け Saveをクリックします。

Netskope DSPMにオンボーディングしたいAWS組織ごとに、このプロセスを繰り返してください。組織の会員単位に関する変更はすべて自動的に処理されます。

このワークフローはNetskope DSPMで開始され、ターミナルでのアクションを続行し、 DSPMに戻って終了してセットアップを完了します。

In the Netskope DSPM Console:

Administration > Infrastructure Connectionsへ移動してください。
Add Infrastructure > をクリックしてAWS > Add Organization Select 。

Capabilities タブ> Select発見と分類のニーズに基づいてトグルを調整してください。

Toggle デスクリプション	Details
新しいアカウントの自動検出	新しいアカウントの作成時にDSPM自動的に検出できるようにします。
新しいデータストアを自動検出する	DSPMが新しいデータストアが作成されると同時に自動的に検出できるようにします。
EBS/EFSをスキャンし、管理対象外のデータストアを自動検出する	ディスクボリューム上のデータストアを検索します。大規模環境ではパフォーマンスへの影響が懸念されるため、デフォルトでは無効になっています。
Ingest Tags	フィルタリングとポリシー消費のために、接続されている各データストアから AWS タグを取得します。
データストアのスナップショットへのアクセスを承認する	スナップショットベースのオンボーディングに必要な IAM 権限を CloudFormation または Terraform テンプレートに追加します。これらのテンプレートは次のステップで作成されます。
AWS Inventory を有効にする	このオプションを切り替えると、 DSPM が S3データストア用のAWS S3 Inventory機能を使うことができます。有効化されると、DSPMは個別のAPI呼び出しを行ってファイルメタデータを取得するのではなく、専用のインベントリバケットにバケットメタデータを保存します。これにより大容量バケットのAPIコスト大幅に削減されます。Note: このトグルは追加のAWS権限が必要なため、デフォルトで無効になっています。インフラストラクチャレベルで有効化されると、使う S3 インベントリオプションが個別の S3 データストアを接続する際に利用可能になります。詳細については、「 Connect AWS S3 to DSPM」をご覧ください。

Select Terraform > 以下の値を入力 > Nextをクリックします。

Field	Value
アカウント名	Netskope DSPMで接続を識別するのに役立つ名前であれば何でも構いません。
アカウントID	AWS の組織コンソールからこれを入手してください。
Netskopeサービスアカウントの役割	デフォルト値は`Netskope_Role`です。この名前は、登録する組織ごとに一意である必要があります。

Click Download Template
- これは.zipファイルをダウンロードします。
このウィンドウを閉じずに、 Add Infrastructure モーダルを開いたままにして、後で戻ってきてください。

In your Terminal:
1. ファイルをダウンロードしたディレクトリ（例： cd ~/Downloads ）に移動します。
2. ファイルを解凍します（例： unzip file_name.zip ）。
3. .tfファイルを含む新しいフォルダに移動します。
4. ディレクトリを初期化するには、 terraform initを実行してください。
5. terraform applyを実行してリソースを作成します。
6. 計画を確認し、 yesと入力して実行を承認してください。
7. Wait for the Apply complete! message.
In the Netskope Console:
1. 開いたままにしておいたNetskope DSPMのブラウザタブに戻ってください。
2. Saveをクリックしてください。
  
  もしNetskopeのDSPMセッションが端末内で作業中に切れても、簡単に復旧できます。terraform applyが完成したら:
  
  1. Netskope DSPM > にログインして新しい Add Infrastructure ワークフローを始める > Select Manually Configured > de を Organization Name > Nextをクリックします。
  2. AWSコンソールで、Terraformスクリプトが作成したロール(例: Netskope_Role)を見つけて、その Role ARNをコピーします。
  3. このRole ARNをNetskope DSPM >のサマリー情報に貼り付けSaveをクリックします。

トラブルシューティング

エラー	Cause	Fix
「権限が不足しているため、AWSタグを取り込むことができません。」	初期設定時に「タグの取り込み」機能は選択されませんでした。	DSPM から「タグの取り込み」を有効にしてテンプレートを再ダウンロードし、 `terraform apply`再実行してください。
「Netskope でスキャン中にエラーが発生しました...必要な AWS 権限が不足しています: ec2:DeleteSnapshot」	「EBS/EFSのスキャンと管理対象外データストアの自動検出」機能は選択されませんでした。	この機能を有効にしたテンプレートを再ダウンロードして、 `terraform apply`を再実行してください。
「RDSスナップショットのKMS復号化に失敗しました」	「データストアのスナップショットへのアクセスを許可する」機能は選択されていませんでした。	この機能を有効にしたテンプレートを再ダウンロードして、 `terraform apply`を再実行してください。

次のステップ

AWSインフラストラクチャが接続されたので、 Auto-Discover New Data Storesを有効にしている場合は、 Data Stores Inventoryに進んで検出されたリソースを表示できます。