Terraform を介して Azure インフラストラクチャをオンボーディングします。

Overview

このガイドは、Azure サブスクリプションまたはテナントをNetskope DSPM ( Netskope One DSPMとも呼ばれます) にオンボーディングするのに役立ちます。 Terraform。 これにより、DSPMはデータストアのアクティビティを検出、スキャン、分類することができます。

Prerequisites

始める前に、以下のツールがインストールされていること、およびログインしていることを確認してください。

• Terraform CLI
• Azure CLI

最新バージョンのツールを使用するには、 ターミナルで以下のコマンドを実行してください。

terraform -version  
az version

インフラ接続の手順

このワークフローはNetskope DSPMで開始し、ローカル マシンのターミナルでアクションを続行し、 DSPMに戻って終了してセットアップを完了します。

• In the Netskope DSPM console:

  1. Administration > Infrastructure Connectionsへ移動してください。

  2. Azure タブ> に移動し、 Add Infrastructure > をクリックします。

     • 単一のサブスクリプションを登録するには、 Add Subscription Select 。
     • Azureテナント全体（ルート管理グループ）をオンボーディングするには、 Add Tenant Select 。

  3. Capabilities タブ>  Select発見と分類のニーズに基づいてトグルを調整してください。

     以下の表は、利用可能な機能とそれに含まれる権限について説明しています。

     Toggle デスクリプション	Details
     新しいデータストアを自動検出する	新たに作成されたデータストア(例:SQL Server、ストレージアカウント)を自動検出し、DSPMが常にあなたの資産を認識できるようにします。Auto-Discovery Roleを設定します。
     データストアのスナップショットへのアクセスを承認する	ディスクボリューム上のデータストアのスナップショットベースのスキャンと、管理対象外のデータストアの検出を可能にします。Data Store Snapshot Roleを設定します。
     新しいサブスクリプションを自動検出	テナント内で新しく追加されたサブスクリプションの自動検出とオンボーディングを可能にし、アカウントリストの正確性を維持します。

     (Azure Tenant Onboarding) Auto-Discover New Subscriptions: この機能により、テナント内の新しいサブスクリプションの自動検出が有効になります。 Netskope One DSPMを有効にすると、テナントに新しいサブスクリプションが追加されると同時に、自動的に検出してオンボーディングします。

  4. Next > をクリックして、以下の値を入力してください。

     • For Subscription: 購読者名とIDを入力してください。
     • For Tenant: Enter the Tenant Name and ID.

     Field	Value
     Tenant Name	任意の値（これはNetskope DSPM内でインフラストラクチャ接続を識別するためのものです）。
     Tenant ID	Azureコンソールから以下を取得してください。
     Netskope DSPMサービスアカウントの役割	デフォルト値はNetskope DSPM_Roleになります。この値は、オンボーディングされたテナントごとに一意である必要があります。

  5. Terraform >  Select Download Templateをクリックしてください。

  6. このウィンドウを閉じずに、  Add Infrastructure モーダルを開いたままにして、後で戻ってきてください。

• In the Terminal on your local machine:

  1. Terraform テンプレートの ZIP ファイル パスに移動します (例:cd C:\Users\User\Downloads )

  2. unzip コマンドを実行します (例:unzip file_name.zip )

     • 展開したorgフォルダ内に、必要なTerraformファイルがあります。

  3. In the org folder, run terraform init to initialize.

     • 「バックエンドを初期化しています」というメッセージが表示され、その後に成功メッセージが表示されます。

  4. terraform applyを実行してスクリプトを開始します。

     • ログインしていないか、Azure クレデンシャルが正しく設定されていない場合、Terraform は警告を表示します。

  5. 組織フォルダーに作成されたリソースの出力（ Application ID 、 Application Secret, 、 Tenant ID 値を含む）が表示されたら、 Yes と入力してください。

     • 完了すると、 Apply complete! Resources: XX added, 0 changed, 0 destroyedというメッセージが表示されます。

  6. このウィンドウを閉じずに、出力値を表示したままにして、後で戻って確認してください。

• In the Netskope Console:

  1. Return to the Add Infrastructure Modal > Copy and paste the output values into the Summary Info fields.

     Netskope DSPMフィールド	対応する英数字
     アプリケーションID	application_id
     アプリケーションシークレット	secret
     Tenant ID	tenant_id

     

  2. Save >をクリックI’ve already run the templateをクリック 。

Azure サブスクリプションまたはテナントが接続されました。Netskope DSPM Netskopeストアの検出を開始できます。

Reference: Azure Permissions & Roles

Terraformテンプレートは、UIで選択した機能に基づいて、必要なロールを自動的に構成します。

All permission details documented here apply equally to:

• Azureポータルを介した手動構成
• Terraformによるデプロイメント
• あらゆる展開方法のトラブルシューティングとデバッグ

{
    "properties": {
        "roleName": "Netskope One DSPM Core Role",
        "description": "",
        "assignableScopes": [
            "/subscriptions/<AZURE SUBSCRIPTION ID>"
        ],
        "permissions": [
            {
                "actions": [
                    "Microsoft.Authorization/roleAssignments/read",
                    "Microsoft.Authorization/roleDefinitions/read"
                ],
                "notActions": [],
                "dataActions": [],
                "notDataActions": []
            }
        ]
    }
}

役割検証のための権限を付与する

Netskope DSPMは、アプリ/サービスプリンシパルに割り当てられたロールを検証し、自動的な設定ミス分析を実行するために、 Application.Read.All権限を必要とします。Terraformはアプリを作成しますが、この権限はAzureポータルで手動で付与する必要があります。

1. App registrationsに移動 > Terraform スクリプトによって作成されたNetskope DSPM appを検索します ( ターミナル出力からアプリケーション ID を使用して検索します)。
2. API permissions > Select Microsoft Graphに行って。
3. Application (1)に移動 > Application.Read.All権限をマーク > Update permissionsをクリックします。
4. 警告を削除するには、 Grant admin consent for Default Directory Select 。

権限に関する問題のトラブルシューティング

デプロイ後にエラーが発生した場合は、Terraformが選択した機能に対応するロールを正しく割り当てたことを確認してください。

• “Cannot discover and scan data store snapshots due to missing permissions.”
  • 修正:オンボーディングを再実行し、 Authorize Data Store Snapshots Accessが有効になっていることを確認するか、 Netskope One DSPM Data Store Snapshot Roleを手動で割り当ててください。
• “Netskope encountered an error while scanning data warehouse ‘XYZ’: Missing required Azure permissions…”
  • 修正方法：エラーログで不足している権限を特定し、Terraformテンプレートが最新の状態であることを確認してください。
• “Insufficient privileges to complete the operation…”
  • Fix: Ensure the Terraform script ran without errors regarding Azure AD Graph permissions (Application.Read.All).