RBAC V3は、管理者が Netskope プラットフォームで何をできるかを統括する包括的なフレームワークです。 管理者がUI経由で実行しているか REST API経由で実行しているかは関係ありません。
製品の機能は抽象的なfunctionsに分けられます。ログインしたすべての管理者にはroleが割り当てられます。そして、その役割によって、あらゆる機能において、管理者が持つpermission が定義されます。
- なし – このロールはこの機能にアクセスできません
- 表示 – このロールは、この機能への読み取りアクセス権を持ち、この機能の管轄下にある構成やデータを閲覧することはできますが、変更することはできません。
- 管理 – このロールは、この機能に対する読み取りおよび書き込みアクセス権を持ち、この機能の管轄下にある構成またはデータを変更できます。
- 管理と適用 – この役割は、この機能に対する読み取りと書き込みの両方のアクセス権を持ち、この機能の管轄下にある構成またはデータを変更できます。 さらに、この役割では変更を即座に行い、適用することができます。
ポリシーフレーバー
一部のポリシー セットには複数の使用ケースが 1 つにまとめられていますが、管理者はどの管理者 (ロール) がどの種類のポリシーを管理できるかをより具体的に制御したい場合があるため、それらの使用ケースはポリシーをさまざまな機能に分割します。
例えば、
- データコンプライアンスセキュリティチームには、DLPの作成と定義のみを任せたい。 リアルタイム保護とAPI対応保護の両方に対応。
- ネットワークセキュリティチームには、ファイアウォールポリシーの作成だけを任せたいのですね。
Real-time Protection Policy
- RTP ポリシーは、アイスクリームのflavorsのように、トラフィックに基づいてさまざまな機能に分割されます。
- DLP機能と脅威機能は、アイスクリームのtoppingsのように加算される機能です。
RTP ポリシーのフレーバーとトッピングの定義
| フレーバーまたはトッピング | FUNCTION | デスクリプション |
|---|---|---|
| アイスクリームのフレーバー | クラウドアプリポリシー | 宛先トラフィックは、クラウドアプリまたはアプリインスタンスに設定されます。 |
| アイスクリームのフレーバー | ウェブポリシー | 宛先トラフィックはカテゴリ別に設定されます。 |
| アイスクリームのフレーバー | ファイアウォールポリシー | 宛先トラフィックは少なくとも 1 つの非ウェブ アプリに設定されます。 |
| アイスクリームのフレーバー | 郵便物転送ポリシー | 宛先トラフィックはSMTPに設定されています。 |
| アイスクリームのフレーバー | NPAポリシー | 宛先トラフィックはプライベートアプリに設定されています。 |
| アイスクリームのフレーバー | DNSポリシー | 宛先トラフィックはDNSに設定されています。 |
| アイスクリームのトッピング | DLP ポリシー | DLPプロファイルが指定されています。 |
| アイスクリームのトッピング | 脅威保護ポリシー | TSSプロファイルが指定されています。 |
| アイスクリームのトッピング | ブラウザ分離ポリシー | アクションは「隔離」に設定されています。 |
API Data Protection Policy
- API ポリシーには、アイスクリームの 1 つのフレーバーのみのような、単一のコンテキストに応じたポリシー機能があります。
- DLP機能と脅威機能は、アイスクリームのトッピングのように、追加していく機能です。
API ポリシーのフレーバーとトッピングの定義
| フレーバーまたはトッピング | FUNCTION | デスクリプション |
|---|---|---|
| アイスクリームのフレーバー | ポリシー | あらゆる API データ保護ポリシー |
| アイスクリームのトッピング | DLP ポリシー | DLPプロファイルが指定されている |
| アイスクリームのトッピング | 脅威保護ポリシー | TSSプロファイルが指定されている |
閲覧ポリシー
権限（なし、表示、管理、管理と適用）は、ポリシーの種類とin conjunction性があります。これにより、管理者はどの管理者ユーザーがどのポリシーを管理できるかを非常に正確に制御できます。
| 許可 | デスクリプション |
|---|---|
| ポリシーの表示と管理 | 異なる種類のポリシー 同じ表に表示されていても、上記のルール 依然として適用されます。例 1: 管理者は、メール リレー、 NPA 、および DNS ポリシーへのアクセス権を「なし」にします。 RTP ポリシー テーブルでこれらのポリシーを確認することはできません。 テーブルに表示されるポリシーのうち 最低限「閲覧」権限 持つもののみが表示されます。例2：管理者はクラウドアプリポリシーに対して「管理」権限を持っていますが、他のフレーバーに対しては「表示」権限しかありません。つまり、管理者ユーザーは表内のすべてのポリシーを表示できるにもかかわらず、クラウドアプリのトラフィックに関するポリシーのみを編集できるということです。 |
| 保留中の変更を表示する | 管理者ユーザーが確認できる保留中の変更は、最低限「閲覧」権限を持つユーザーが持つ変更と一致しています。つまり、管理者ユーザー A が DLP ポリシーへの「なし」アクセス権を持っている場合、管理者ユーザー A は保留中の変更で DLP ポリシーを表示できません。 管理者ユーザーが保留中の変更内容を表示できる場合でも、必ずしも変更を適用できるとは限りませんのでご注意ください。これはつまり、「管理」権限は持っているが「適用」権限を持っていない管理者が、その権限を持つ管理者に承認を送信できるということです。 |
| 変更の適用 | 管理者ユーザーが適用できる保留中の変更は、そのユーザーが「適用」権限を持っている内容と一致している必要があります。つまり、管理者ユーザーが適用できる変更数よりも保留中の変更数が多い場合、管理者ユーザーは自分がアクセスできる保留中の変更のうち、一部のみを適用できるべきであるということです。 |
RBAC V3 機能マッピング
製品の機能は抽象的なfunctionsに分けられます。ログインしたすべての管理者にはroleが割り当てられます。そして、その役割によって、あらゆる機能において、管理者が持つpermission が定義されます。
Manage And Apply – このロールは、この機能に対する読み取りおよび書き込みアクセス権を持ち、この機能の管轄下にある構成またはデータを変更できます。 さらに、この役割では変更を即座に行い、適用することができます。
None – このロールにはこの機能へのアクセス権がありません
View – このロールは、この機能への読み取りアクセス権を持ち、この機能の管轄下にある構成やデータを閲覧することはできますが、変更することはできません。
Manage – このロールは、この機能に対する読み取りおよび書き込みアクセス権を持ち、この機能の管轄下にある構成またはデータを変更できます。
以下の表は、機能1と機能2（製品機能）に分けて示されています。機能1の権限は、機能2の権限のうち少なくとも1つ、またはすべてが最小限の権限に設定されていることを前提としています。
つまり、関数1の権限をRまたはR+Wに設定できるのは、関数2の権限のうち少なくとも1つ、またはすべてが最低限の権限以上に設定されている場合に限られます。それ以外の場合は、関数1 will notは正しく動作します。
| 機能領域 | FUNCTION 1 | F1許可 | 依存する | FUNCTION 2 | F2 最低限の権限 |
|---|---|---|---|---|---|
| リアルタイム保護 | DLP ポリシー | R+W | 少なくとも1つ | -クラウド アプリ ポリシー ウェブ ポリシー{ -ファイアウォール ポリシー | R+W |
| リアルタイム保護 | 脅威保護ポリシー | R+W | 少なくとも1つ | -クラウド アプリ ポリシー ウェブ ポリシー{ -ファイアウォール ポリシー | R+W |
| リアルタイム保護 | ブラウザ分離ポリシー | R+W | 該当なし | ウェブポリシー | R+W |
| リアルタイム保護 | DNSポリシー | R+W | 少なくとも1つ | ウェブ ポリシー - ファイアウォール ポリシー | R+W |
| リアルタイム保護 | DLP ポリシー | R | 少なくとも1つ | -クラウド アプリ ポリシー ウェブ ポリシー{ -ファイアウォール ポリシー | R |
| リアルタイム保護 | 脅威保護ポリシー | R | 少なくとも1つ | -クラウド アプリ ポリシー ウェブ ポリシー{ -ファイアウォール ポリシー | R |
| リアルタイム保護 | ブラウザ分離ポリシー | R | 該当なし | ウェブポリシー | R |
| リアルタイム保護 | DNSポリシー | R | 少なくとも1つ | ウェブ ポリシー - ファイアウォール ポリシー | R |
| リアルタイム保護 | クラウドアプリポリシー | R+W | すべて | -ユーザーとグループ -カスタムアプリ -アプリインスタンス -ネットワークロケーションプロファイル -制約プロファイル } -HTTPヘッダープロファイル -ファイルプロファイル 分類 -ユーザー通知テンプレート 通知テンプレート | R |
| リアルタイム保護 | ウェブポリシー | R+W | すべて | -ユーザーとグループ -カスタムカテゴリ -URLリスト -ネットワークロケーション -制約プロファイル -HTTPヘッダープロファイル 分類 -ファイルプロファイル -ユーザー通知テンプレート 通知テンプレート -プロキシへの転送統合 | R |
| リアルタイム保護 | ファイアウォールポリシー | R+W | すべて | -ユーザーとグループ -サービス -ネットワークロケーションプロファイル -ユーザー通知テンプレート 通知テンプレート | R |
| リアルタイム保護 | 郵便物転送ポリシー | R+W | すべて | -ユーザーとグループ -DLP プロファイル 電子メール通知テンプレート -制約プロファイル | R |
| リアルタイム保護 | NPAポリシー | R+W | すべて | -ユーザーとグループ -プライベートアプリ -デバイス分類 -ユーザー通知テンプレート | R |
| リアルタイム保護 | DNSポリシー | R+W | すべて | -ユーザーとグループ -DNSプロファイル -ネットワークロケーションプロファイル | R |
| リアルタイム保護 | DLP ポリシー | R+W | すべて | -DLPプロファイル -隔離プロファイル | R |
| リアルタイム保護 | 脅威保護ポリシー | R+W | すべて | -脅威保護ポリシー | R |
| リアルタイム保護 | ブラウザ分離ポリシー | R+W | すべて | RBI Template | R |
| リアルタイム保護 | すべてのポリシーを表示 | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | クラウドアプリポリシー | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | ウェブポリシー | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | ファイアウォールポリシー | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | 郵便物転送ポリシー | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | NPAポリシー | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | DNSポリシー | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | DLP ポリシー | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | 脅威保護ポリシー | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | ブラウザ分離ポリシー | R | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | クラウドアプリポリシー | R+W | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | ウェブポリシー | R+W | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | ファイアウォールポリシー | R+W | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | 郵便物転送ポリシー | R+W | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | NPAポリシー | R+W | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | DNSポリシー | R+W | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | DLP ポリシー | R+W | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | 脅威保護ポリシー | R+W | 該当なし | ポリシーグループ | R |
| リアルタイム保護 | ブラウザ分離ポリシー | R+W | 該当なし | ポリシーグループ | R |
| APIデータ保護 | DLP ポリシー | R+W | すべて | -DLPプロファイル -隔離プロファイル -法的保留プロファイル | R |
| APIデータ保護 | DLP ポリシー | R+W | 該当なし | ポリシー | R+W |
| APIデータ保護 | 脅威保護ポリシー | R+W | すべて | -脅威保護プロファイル -隔離プロファイル | R |
| APIデータ保護 | 脅威保護ポリシー | R+W | 該当なし | ポリシー | R+W |
| APIデータ保護 | DLP ポリシー | R | 該当なし | ポリシー | R |
| APIデータ保護 | 脅威保護ポリシー | R | 該当なし | ポリシー | R |
| APIデータ保護 | ポリシー | R | すべて | -ユーザーとグループ -ユーザープロファイル -ドメインプロファイル -CASB API | R |
| APIデータ保護 | ポリシー | R+W | すべて | - ユーザーとグループ -ユーザープロフィール -ドメインプロファイル - CASB API -感度ラベル -検疫プロファイル -法的保留プロファイル 電子メール通知テンプレート | R |
| DLP | 法的保留ファイル | R | すべて | -CASB API -法的保留プロファイル | R |
| DLP | 隔離ファイル | R | すべて | -CASB API -隔離プロファイル | R |
| DLP | 法的保留ファイル | R+W | すべて | -CASB API -法的保留プロファイル | R |
| DLP | 隔離ファイル | R+W | すべて | -隔離プロフィール | R |
| DLP | 隔離ファイル | R+W | すべて | -CASB API | R+W |
RBAC V3とレトロスキャン
Retro Scanにはポリシーが含まれています。レトロ スキャンに DLP ポリシーが含まれている場合、 Netskopeそれを DLP レトロ スキャンとみなします。 これは脅威対策にも当てはまります。
以下の表は、ポリシーのレトロスキャンを実行するために必要な最小限の権限と、レトロスキャンアクションの一覧です。
| Retro Scan Action | 最低限の許可 |
|---|---|
| スキャンを開始します | R+W |
| スキャンを一時停止 | R+W |
| スキャンをキャンセル | R+W |
| スキャンを編集 | R+W |
| クローンスキャン | R+W |
| スキャンを削除 | R+W |
| スキャンを表示 | R |
| 編集ポリシー | R+W |
| クローンポリシー | R+W |
| 削除ポリシー | R+W |