Overview
Netskope DSPM （ Netskope One DSPMとも呼ばれる）を使用すると、個々のGCPプロジェクトまたはGCP組織の下にあるプロジェクトをオンボーディング、接続、およびスキャンできます。 これらの操作には、データストアへのプログラムによるアクセスが必要であり、適切なIAMロールとAPI権限を設定することでそれが可能になります。
お使いの環境に応じて、以下のGCP OrganizationまたはIndividual GCP Projectいずれかを選択して進んでください。モジュール型の「機能ブロック」アプローチを使用してアクセス許可を構成し、使用する予定の特定のデータ ストアと機能に必要なアクセスのみを付与できるようにすることをお勧めします。
GCP をオンボーディングすることもできます 同じ権限モデルで Terraform をオンボーディングできます。 詳細については、 「Terraform を使用した GCP インフラストラクチャのオンボード」を参照してください。
GCP組織
GCP 組織のオンボーディングを行う場合は、このセクションを使用してください。 Netskope DSPMは、お客様が付与した権限の範囲内で、その組織に属する現在および将来のすべてのメンバープロジェクトを管理します。
ステップ1：Netskope DSPMサービスアカウントを作成する（必須）
-
IAM & Admin > Service Accountsへ移動してください。
-
サービスアカウントを作成するプロジェクトSelect （既存のメンバープロジェクトであればどれでも構いません）。
-
Create service accountをクリックしてください。
-
サービスアカウントの詳細に以下を入力してください。
Field Value サービスアカウント名 任意の値を指定できます。識別しやすくするため、名前に「Netskope DSPM」を含めることをお勧めします。 サービスアカウントデスクリプション Any value -
Create and continueをクリックしてください。
- 現時点では、役割を割り当てないでください。
-
Doneをクリックしてください。
ステップ2：カスタムIAMロール（組織スコープの機能ブロック）を作成する
次に、組織レベルでカスタムIAMロールを作成し、Netskope DSPMが必要とする権限を機能ごとにグループ化します。これらの役割は後ほどサービスアカウントに割り当てます。
1. DSPMサービス利用ロール（必須）
この役割により、 Netskope DSPM組織全体で GCP サービスと API を使用できるようになります。
In your GCP Console:
-
IAM & Admin > Rolesへ移動してください。
-
Create Role > をクリックしてください。以下を入力してくださいRole details :
Field Value Title Netskope One DSPMサービスの使用状況 ID CustomRoleXXX（XXXは任意の数値） -
Add permissionsをクリックし、 Service Usage Adminでフィルタリングして、
serviceusage.services.enableを選択します。
-
AddクリックしてからCreateクリックしてください。
Purpose: 組織全体でDSPM操作に必要な GCP API を有効にして使用します。
2. GCS データストアの権限
Netskope DSPMで組織内のプロジェクト全体にわたるクラウドストレージ（GCS）バケットをスキャンしたい場合は、コアロールを拡張するか、別のストレージロールを作成してください。
Netskope One DSPMのサービス使用ロールを拡張するには：
-
上記で作成したカスタムロールを編集します。
-
Storage Adminでフィルタリングして追加します。
storage.buckets.get,storage.buckets.getIamPolicy,storage.buckets.list,storage.buckets.listEffectiveTags,storage.buckets.listTagBindings,storage.multipartUploads.list,storage.multipartUploads.listParts,storage.objects.get,storage.objects.list.
-
Saveをクリックしてください。
Purpose: 分類のためのバケットの発見とオブジェクトの読み取り。GCSのスキャンを予定していない場合は、この手順をスキップしてください。
3. BigQuery接続ロール
Netskope DSPM組織全体のBigQueryデータに接続してスキャンできるようにするには、組織レベルでカスタムBigQueryロールを作成してください。
-
IAM & Admin > Roles > Create role > へ移動し、以下を記入してくださいRole details :
Field Value Title Netskope One DSPM BigQuery接続ユーザー ID CustomRoleXXX（XXXは任意の数値） -
Add permissionsをクリックし、 BigQuery Connection Userでフィルタリングして、リストされているすべての権限を選択します。
-
Createをクリックしてください。
-
このプロジェクト内のBigQuery APIページに移動してEnableをクリックしてください。
Purpose: BigQueryのテーブルとビューに接続し、スキャンを実行します。必要ない場合はスキップしてください BigQuery。
4. その他のデータストアおよび機能ロール
有効化するデータストアと機能によっては、組織レベルで以下の事前定義されたIAMロールを利用することも可能です（カスタム作成は不要です）。
- Cloud Spanner:
Cloud Spanner Viewer,Cloud Spanner Database Reader - Data Catalog:
Data Catalog Viewer(Used when you enable Ingest Policy Tag Taxonomy). - Organization-level project discovery:
Organization Viewer(組織階層を表示し、メンバー プロジェクトを発見するために使います)。
ステップ3：サービスアカウントを組織プリンシパルに昇格させ、役割を割り当てる
Netskope DSPMサービスアカウントを組織レベルのプリンシパルに昇格させ、必要な機能ブロックに基づいて適切な役割を割り当てます。
GCPコンソールで：
- IAM & Admin > IAMへ移動してください。
- セレクターで所属組織を選択してください。
- Grant access （または「プリンシパルを追加」）をクリックします。
- 手順1で作成したサービスアカウントの電子メールを入力します。
- Assign rolesの下に、必要に応じて役割を追加してください。
| 機能ブロック | 目的と割り当てるべき役割 |
|---|---|
| Core Roles （必須） | Netskope DSPM必要なサービス、発行通知、および読むログを使用できるようにする役割を追加します。 • Netskope One DSPM Service Usage (カスタムロール) • Pub/Sub Admin (または同等の発行者ロール) • Logs Viewer |
| GCS roles （クラウドストレージをスキャンする際） | ステップ 2.2 で GCS のアクセス許可を設定した場合は、サービス アカウントが以下を受け取るようにしてください。 • ストレージ アクセス許可を持つ拡張 Netskope One DSPM Service Usageロール、または• 作成した場合は専用のストレージ カスタム ロール。 |
| BigQuery Roles （BigQueryをスキャンする際） | If you are scanning BigQuery, assign: • Netskope One DSPM BigQuery Connection User (Custom role)• BigQuery Data Viewer• BigQuery Job User• BigQuery Metadata Viewer• BigQuery Read Session User• BigQuery Resource Viewer |
| Cloud Spanner Roles (when scanning Spanner) | • Cloud Spanner Viewer • Cloud Spanner Database Reader |
| Cloud SQL Roles （Cloud SQLをスキャンする際） | • Cloud SQL Admin (Required for Snapshot Scans)• Cloud SQL Client• Cloud SQL Viewer |
| Data Catalog Role （ポリシータグを取り込む際） | • Data Catalog Viewer |
| Organization‑level discovery （プロジェクトを発見する際） | • Organization Viewer |
- Saveをクリックしてください。
ステップ4：サービスアカウントキーを生成する
Netskope DSPMサービスアカウントのJSONキーを生成してダウンロードし、GCP組織への認証に使用します。
- IAM & Admin > Service Accountsへ移動してください。
- サービスアカウントが存在するプロジェクトSelect 、作成したサービスアカウントをクリックします。
- Keysタブを開きます。
- Add key > Create new keyをクリックしてください。
- キーの種類としてJSON Select 、 Createをクリックしてキーをダウンロードしてください。
ステップ5：Netskope DSPMインフラストラクチャ接続（組織）を作成する
In the Netskope DSPM Console:
-
行く Administration > Infrastructure Connections.
-
クリックAdd Infrastructure > Select GCP。
-
必要な値を入力してください（参考として表を参照してください）。
Field Value 私はオンボーディングしたい GCP組織 組織名 任意の値（これはNetskope One DSPM UI 内でインフラストラクチャ接続を識別するためのものです）。 組織ID GCP 組織 ID は、GCP コンソールの [IAM と管理] > [リソースの管理] 画面で確認できます。 -
先ほど作成したJSONキーファイルをアップロードしてください。
-
組織のデフォルト設定を選択してください。これらはオンボーディング期間中のすべてのメンバープロジェクトに適用されますが、後で変更することも可能です。
Setting 有効時の詳細情報 Auto-Discovery Netskope One DSPMは、GCPプロジェクト内のデータストアを検出します。詳細については、データストアインベントリに関する記事をご覧ください。 ポリシータグの分類体系を取り込む GCP GCPプロジェクトに関連付けられた分類体系がインポートされます。 詳細については、データタグに関する記事をご覧ください。 -
Acknowledgeをクリックしてください。
不正アクセスを防ぐため、JSONキーファイルのローカルコピーを削除することをお勧めします。
個別のGCPプロジェクト
組織全体ではなく、特定の 1 つの GCP プロジェクトをNetskope DSPMにオンボードする場合は、このセクションを使用してください。 オンボーディングしたいGCPプロジェクトごとに、これらの手順を繰り返す必要があります。
ステップ1：Netskope DSPMサービスアカウントを作成する（必須）
-
IAM & Admin > Service Accountsへ移動してください。
-
サービスアカウントを作成するプロジェクトSelect （既存のメンバープロジェクトであればどれでも構いません）。
-
Create service accountをクリックしてください。
-
サービスアカウントの詳細に以下を入力してください。
Field Value サービスアカウント名 任意の値を指定できます。識別しやすくするため、名前に「Netskope DSPM」を含めることをお勧めします。 サービスアカウントデスクリプション Any value -
Create and continueをクリックしてください。
- 現時点では、役割を割り当てないでください。
-
Doneをクリックしてください。
ステップ2：カスタムIAMロール（組織スコープの機能ブロック）を作成する
次に、組織レベルでカスタムIAMロールを作成し、Netskope DSPMが必要とする権限を機能ごとにグループ化します。これらの役割は後ほどサービスアカウントに割り当てます。
1. DSPMサービス利用ロール（必須）
In your GCP Console:
-
IAM & Admin > Rolesへ移動してください。
-
Create Role > をクリックしてください。以下を入力してくださいRole details :
Field Value Title Netskope One DSPMサービスの使用状況 ID CustomRoleXXX（XXXは任意の数値） -
Add permissionsをクリックし、 Service Usage Adminでフィルタリングして、
serviceusage.services.enableを選択します。 -
AddクリックしてからCreateクリックしてください。
2. GCS データストアの権限
クラウドストレージをスキャンする場合は、コアロールを拡張するか、別のロールを作成してください。
-
上記で作成したカスタムロールを編集します。
-
Storage Adminでフィルタリングして追加します。
storage.buckets.get,storage.buckets.getIamPolicy,storage.buckets.list,storage.buckets.listEffectiveTags,storage.buckets.listTagBindings,storage.multipartUploads.list,storage.multipartUploads.listParts,storage.objects.get,storage.objects.list. -
Saveをクリックしてください。
3. BigQuery接続ロール
個々のプロジェクト全体で Netskope DSPM をconnect to and scan BigQuery dataにしたい場合は、カスタム BigQuery ロールを作成してください。
In your GCP Console:
-
IAM & Admin > Roles > Create role > へ移動し、以下を記入してくださいRole details :
Field Value Title Netskope One DSPM BigQuery接続ユーザー ID CustomRoleXXX（XXXは任意の数値） -
Add permissionsをクリックし、 BigQuery Connection Userでフィルタリングして、リストされているすべての権限を選択します。
-
Createをクリックしてください。
-
このプロジェクト内のBigQuery APIページに移動してEnableをクリックしてください。
4. その他のデータストアおよび機能ロール
割り当て手順では、他の機能（Spanner、Cloud SQL、データカタログ）については、事前に定義されたIAMロールを利用できます。これらの役割については、カスタムロールを作成する必要はありません。
ステップ3：サービスアカウントにIAMロールを割り当てる（プロジェクトスコープ）
- IAM & Admin > IAMへ移動してください。
- 参加したいプロジェクトに所属していることを確認してください。
- Grant accessをクリックしてください。
- 手順1で作成したサービスアカウントの電子メールを入力します。
- 必要な機能に基づいて役割を追加してください。
| 機能ブロック | 目的と割り当てるべき役割 |
|---|---|
| Core Roles （必須） | Netskope DSPM必要なサービス、発行通知、および読むログを使用できるようにする役割を追加します。 • Netskope One DSPM Service Usage (カスタムロール) • Pub/Sub Admin (または同等の発行者ロール) • Logs Viewer |
| GCS roles （クラウドストレージをスキャンする際） | ステップ 2.2 で GCS のアクセス許可を設定した場合は、サービス アカウントが以下を受け取るようにしてください。 • ストレージ アクセス許可を持つ拡張 Netskope One DSPM Service Usageロール、または• 作成した場合は専用のストレージ カスタム ロール。 |
| BigQuery Roles （BigQueryをスキャンする際） | If you are scanning BigQuery, assign: • Netskope One DSPM BigQuery Connection User (Custom role)• BigQuery Data Viewer• BigQuery Job User• BigQuery Metadata Viewer• BigQuery Read Session User• BigQuery Resource Viewer |
| Cloud Spanner Roles (when scanning Spanner) | • Cloud Spanner Viewer • Cloud Spanner Database Reader |
| Cloud SQL Roles （Cloud SQLをスキャンする際） | • Cloud SQL Admin (Required for Snapshot Scans)• Cloud SQL Client• Cloud SQL Viewer |
| Data Catalog Role （ポリシータグを取り込む際） | • Data Catalog Viewer |
| Organization‑level discovery （プロジェクトを発見する際） | • Organization Viewer |
- Saveをクリックしてください。
ステップ4：サービスアカウントキーを生成する
- IAM & Admin > Service Accountsへ移動してください。
- Netskope DSPMサービスアカウントをクリックし、 Keysタブを開きます。
- Add key > Create new keyをクリックし、 JSONを選択してダウンロードしてください。オンボーディング後、ローカルコピーを削除してください。
ステップ5：Netskope DSPMインフラストラクチャ接続（プロジェクト）を作成する
In the Netskope DSPM Console:
-
行く Administration > Infrastructure Connections.
-
クリックAdd Infrastructure > Select GCP。
-
必要な値を入力してください（参考として表を参照してください）。
Field Value 私はオンボーディングしたい GCP組織 組織名 任意の値（これはNetskope One DSPM UI 内でインフラストラクチャ接続を識別するためのものです）。 組織ID GCP 組織 ID は、GCP コンソールの [IAM と管理] > [リソースの管理] 画面で確認できます。 -
先ほど作成したJSONキーファイルをアップロードしてください。
-
組織のデフォルト設定を選択してください。これらはオンボーディング期間中のすべてのメンバープロジェクトに適用されますが、後で変更することも可能です。
Setting 有効時の詳細情報 Auto-Discovery Netskope One DSPMは、GCPプロジェクト内のデータストアを検出します。詳細については、データストアインベントリに関する記事をご覧ください。 ポリシータグの分類体系を取り込む GCP GCPプロジェクトに関連付けられた分類体系がインポートされます。 詳細については、データタグに関する記事をご覧ください。 -
Acknowledgeをクリックしてください。
不正アクセスを防ぐため、JSONキーファイルのローカルコピーを削除することをお勧めします。
Netskope DSPMは接続を確認し、プロジェクトをオンボーディングして、データストアの検出を開始します。GCP インフラストラクチャ接続画面では、組織に属していないプロジェクトは、組織名が空白で表示されます。