Azure を継続的セキュリティ評価 (CSA) 用に構成するには、サブスクリプション所有者またはグローバル管理者として Azure ポータルにログインし、次のタスクを構成する必要があります。
- Microsoft Entra ID アプリケーションを作成する
- アプリケーションIDとディレクトリIDを取得します。
- 認証キーを取得する
- Microsoft Entra IDアプリケーションに役割を割り当てる
- List AD Users
- キー保管庫の評価
Microsoft Entra ID アプリケーションを作成する
Microsoft Entra ID アプリケーションを作成するには、以下の手順に従ってください。
- portal.azure.comにログインしてください。
- All services > Identity > Microsoft Entra IDへ移動してください。
- App registrationsをクリックしてください。
- + New registrationをクリックして、以下の詳細を入力してください。
- Nameアプリケーション名を入力してください。
- Supported account types: デフォルトの選択をAccounts in this organizational directory onlyのままにします。
- Redirect URL (optional)ここは空欄のままにしてください。
- Registerをクリックしてください。
詳細については、こちらのMicrosoft Azureのドキュメントを参照してください。
アプリケーションIDとディレクトリIDを取得します。
Microsoft Entra ID アプリケーションを登録すると、ページは Microsoft Entra ID アプリケーションOverviewページにリダイレクトされます。Application (client) IDとDirectory (tenant) IDをメモしてください。
注記
これらの値は、Netskope UIでAzureアプリケーションインスタンスを設定する際に必要になります。
認証キーを取得する
認証キーを取得するには、以下の手順に従ってください。
- Microsoft Entra ID アプリケーションページの左側のナビゲーションバーで、 Certificates & secretsをクリックします。
- Client secretsの下で+ New client secretをクリックし、以下の詳細を入力してください。
- Description: キーのデスク リプションを提供します。
- Expiresキーの有効期間を設定します。
- Addをクリックしてください。
- 設定変更を保存すると、 Client secretsの下のValue列に認証キーが表示されます。コピーしてください。
重要
このページを離れるとアクセスできなくなるため、 Value列の認証キーを必ず入力してください。NetskopeのユーザーインターフェースでAzureアプリケーションインスタンスを設定する際に、認証キーが必要になります。
詳細については、こちらのMicrosoft Azureのドキュメントを参照してください。
Microsoft Entra IDアプリケーションに役割を割り当てる
役割を割り当てるには、以下の手順に従ってください。
- portal.azure.comにログインしてください。
- All services > General > Subscriptionsへ移動してください。
- Subscriptionsページで、リストから該当する購読プランをクリックしてください。
- 複数のサブスクリプションを設定する場合は、それらを管理グループにグループ化し、管理グループ内で役割を割り当ててください。管理グループに新しいサブスクリプションを追加すると、Netskopeは自動的にそのサブスクリプションを検出し、設定に従ってスキャンを実行します。
- Access control (IAM)をクリックしてください。
- + Add > Add role assignmentをクリックしてください。
ステップ 2/3: Azure CSA のカスタム ロール権限の割り当てで指定したロールと権限を割り当てます。
詳細については、こちらのMicrosoft Azureのドキュメントを参照してください。
List AD Users
注記
この手順は、継続的なセキュリティ評価にのみ適用されます。
NetskopeでADユーザーを一覧表示するには、 Directory. Read.All権限を付与する必要があります。 そのためには、以下の手順に従ってください。
- All services > Identity > Microsoft Entra IDへ移動してください。
- App registrationsをクリックしてください。
- 以前作成したMicrosoft Entra IDアプリケーションを見つけてクリックします。
- Microsoft Entra ID アプリケーションページの左側のナビゲーションバーで、 API permissionsをクリックします。
- API permissionsの下で、 + Add a permissionをクリックしてください。
- Request API permissions,の下では、 Microsoft APIsタブを選択したままにしてください。Select Microsoft Graph。
- Microsoft Graph下でApplication permissionsを選択し、 Directoryの下でDirectory.Read.All権限を選択してください。Add permissionsをクリックしてください。
- API permissionsページでGrant admin consent for <directory-name>をクリックし、次にYesをクリックします。
キー保管庫の評価
注記
この手順は、継続的なセキュリティ評価にのみ適用されます。
継続的なセキュリティ評価の一環として、NetskopeによるKey Vaultの評価が必要な場合は、以下の手順に従ってください。
Key Vault でアクセス ポリシーを設定する
- All services > Security > Key vaultsへ移動してください。
- 各キー保管庫について、以下の手順を実行してください。
- キー保管庫をクリックし、 Access policiesに移動して、 + Add newをクリックします。
- Select principal: Select 先ほどあなたが作成したMicrosoft Entra IDアプリケーションです。Key permissions: Select Key Management Operations > List。Secret permissions: Select Secret Management Operations > List。Certificate permissions: Select Certificate Management Permissions > List。クリック OK。
- キー保管庫をクリックし、 Access policiesに移動して、 + Add newをクリックします。