ステップ 2/2: データ保護のための AWS 権限の設定

Netskopeは、CloudWatchイベントを受信するためのスタックを作成するなど、AWSアカウント内で特定のアクションを実行するための権限を必要とします。この画面では、Netskopeとお客様のAWSアカウント間でクロスアカウントアクセスを設定するために必要な権限を含む、カスタマイズされたCFT（クロスアカウント機能）が提供されます。CFTで定義された権限は、[アカウントとサービス]ページで有効にしたサービスに基づいて更新されます。

Netskopeが必要とする様々な権限を理解するには、CFT（包括的機能テスト）を参照してください。

注記

AWSアカウントに、IaaSサービス向けNetskopeを実行するために必要な権限が付与されていることを確認してください。

セットアップを完了するには、以下の手順を実行する必要があります。

CFTをダウンロードしてください。
CFT を各 AWS アカウントの新しい CloudFormation スタックにアップロードします。
必要な権限を持つクロスアカウントロールが作成されていることを確認してください。

セットアップを完了するには、以下の詳細な手順に従ってください。

新しいセットアップウィンドウの「権限」画面で、CFTをダウンロードするためのリンクをクリックします。
IaaSのために設定しているAWSアカウントの管理コンソールにログインし、Services > CloudFormationにNetskopeしてください。
CloudFormation ページで、 Create stackをクリックします。
新しいリソースでスタックを作成するには、 With new resources (standard)を選択してください。
既存のリソースを使用してスタックを作成するには、 With existing resources (import resources)を選択してください。
SelectUpload a template fileしてChoose fileをクリックしてaws-instance-setup.ymlをアップロードしてください。 Nextをクリックしてください。
In the Specify stack details page, specify a Stack name. Click Next.
スタック名は以下を満たす必要があります。
- 英数字とハイフンのみを含みます。
- アルファベットで始めて、
- 128文字を超えないようにしてください。
スタックオプションの設定ページで、デフォルト設定を選択し、 Nextをクリックします。
Reviewページでスタックの詳細を確認し、確認をクリックしてからCreate stackをクリックしてください。
作成プロセスが完了すると、スタックがCloudFormationページに表示されます。
スタックをクリックすると、そのスタックの詳細が表示されます。リソースタブには、 aws-instance-setup.ymlに含まれるさまざまなコンポーネントが表示されます。テンプレートタブには、テンプレートで定義されている権限が表示されます。
Netskopeのユーザーインターフェースで、各AWSアカウントに権限を持つクロスアカウントロールが作成されていることを確認してください。Add Accountsをクリックしてください。
NetskopeはAWSアカウントをSettings > Configure App Access > Classic > IaaSページに追加します。このページには、各アカウントで有効になっているサービスも表示されます。
エラーが発生した場合は、「AWS Storage Scan インスタンスのセットアップエラーのトラブルシューティング」を参照してください。

その過程で何が起こるのか？

DLP スキャンまたは脅威保護 (マルウェアスキャン) が有効になっている場合、Netskope のaws-instance-setup.ymlは AWS アカウントにクロスアカウントロールを作成し、CFT が作成できるようにします。

DLP スキャンまたは脅威保護 (マルウェアスキャン) が有効になっているこのアカウントの各リージョンに、 NetskopeStackという新しい CloudFormation スタックが追加されます。
CloudWatchイベントルールを使用して、S3バケット内のイベントを監視します。Netskope は以下のルールを作成および監視します。
RestoreObject、PutObject、PutObjectAcl、CopyObject、DeleteObject、CreateMultipartUpload、UploadPart、UploadPartCopy、CompleteMultipartUpload。
AWS アカウントをNetskopeのエンドポイント URL に登録するための SNS トピック、ポリシー、およびサブスクリプション。このエンドポイントは、AWSアカウント内のS3バケットに対して実行された書き込み、更新、削除操作によって生成されるCloudWatchイベントを受信する通知レシーバーです。
Netskope 、SNSトピックでサーバー側の暗号化を有効にすることを推奨しており、このトピックから Netskope に公開されるメッセージが暗号化されていることを保証します。詳しくは: AWS データ保護の追加設定。

Netskopeは、AWSアカウント内のS3バケットを監視し、イベントを受信するための権限を必要とします。クロスアカウントロールは、StorageScanPolicy と CloudFormationPolicy という 2 つの IAM ポリシーを作成します。

StorageScanPolicy は、以下の権限で作成されます。

StorageScanPolicy の AWS 権限	目的
s3:ListAllMyBuckets	このGET操作の実装では、認証済みのリクエスト送信者が所有するすべてのバケットのリストが返されます。
s3:リストバケット	特定のバケットを一覧表示します
s3:GetObject	このGET操作の実装では、Amazon S3からオブジェクトを取得します。
s3:GetObjectAcl	このGET操作の実装 aclサブリソースを使用して、オブジェクトのアクセス制御リスト（ACL）を返します。
s3:GetBucketLocation	このGET操作の実装バケットのリージョンを返すロケーションサブリソース。
s3:GetEncryptionConfiguration	このGET操作の実装では、ポリシー内のserverSideEncryptionフィルタをサポートするために、バケットの暗号化情報を取得します。
s3:GetBucketPublicAccessBlock	このGET操作の実装はバケットへのパブリックアクセスがブロックされているかどうかを確認するためのものです。
s3:GetBucketAcl	このGET操作の実装はバケットACLがバケットにパブリックアクセスを許可しているかどうかを確認するためのものです。
s3:GetBucketPolicyStatus	GET 操作のこの実装は、バケットにパブリックアクセスがあるかどうかをバケットポリシーに基づいてチェックするために使用されます。
ec2:DescribeRegions	現在利用可能な地域を1つ以上説明します。

CloudFormationPolicy は、以下の権限で作成されます。

CloudFormationPolicy の AWS 権限	目的	利用されたリソース
cloudformation:DescribeStacks	指定されたスタックのデスクリプションを返します。スタック名が指定されていない場合は、作成されたすべてのスタックのデスクリプションが返されます。	arn:aws:cloudformation:::stack/NetskopeStack/*
sns:公開	トピックが購読しているすべてのエンドポイントにメッセージを送信します。	arn:aws:sns:::CloudWatchEvent*
sns:購読解除	購読を削除します。	arn:aws:sns:::CloudWatchEvent*
sns:購読する	エンドポイントに確認メッセージを送信することで、エンドポイントの購読準備を行います。	arn:aws:sns:::CloudWatchEvent*
sns:ConfirmSubscription	以前のSubscribeアクションによってエンドポイントに送信されたトークンを検証することにより、エンドポイント所有者がメッセージを受信する意図があることを確認します。	arn:aws:sns:::CloudWatchEvent*
sns:SetTopicAttributes	トピックの所有者が、トピックの属性を新しい値に設定できるようにします。	arn:aws:sns:::CloudWatchEvent*
sns:CreateTopic	通知を投稿できるトピックを作成します。	arn:aws:sns:::CloudWatchEvent*
sns:トピックを削除	トピックとそのすべての購読を削除します。	arn:aws:sns:::CloudWatchEvent*
sns:GetTopicAttributes	トピックのすべてのプロパティを返します。	arn:aws:sns:::CloudWatchEvent*
イベント:ルールの説明	指定された規則の詳細を説明します。	arn:aws:events:::rule/NetskopeStack*
イベント:ListRules	Amazon CloudWatch Eventsのルールを一覧表示します。	arn:aws:events:::rule/NetskopeStack*
イベント:PutEvents	カスタムイベントをAmazon CloudWatch Eventsに送信し、ルールとの照合を可能にします。	arn:aws:events:::rule/NetskopeStack*
イベント:EnableRule	ルールを有効にします。	arn:aws:events:::rule/NetskopeStack*
イベント:PutRule	ルールを作成または更新します。	arn:aws:events:::rule/NetskopeStack*
イベント:PutTargets	ルールにターゲットを追加します。	arn:aws:events:::rule/NetskopeStack*
イベント:ターゲットの削除	ルールからターゲットを削除することで、ルールがトリガーされた際に、それらのターゲットは呼び出されなくなります。	arn:aws:events:::rule/NetskopeStack*
イベント:ルール削除	ルールを削除します。	arn:aws:events:::rule/NetskopeStack*
sns:ListTopics	リクエスト元のトピック一覧を返します。	arn:aws:sns:::*
cloudformation:CreateStack	テンプレートで指定されたとおりにスタックを作成します。	arn:aws:cloudformation:::stack/NetskopeStack/* 以下の条件が適用されます。 ForAllValues:Null:cloudformation:RoleArn: true
cloudformation:UpdateStack	テンプレートで指定されたとおりにスタックを更新します。	arn:aws:cloudformation:::stack/NetskopeStack/* 以下の条件が適用されます。 ForAllValues:Null:cloudformation:RoleArn: true
cloudformation:DeleteStack	指定されたスタックを削除します。	arn:aws:cloudformation:::stack/NetskopeStack/* 以下の条件が適用されます。 ForAllValues:Null:cloudformation:RoleArn: true

注記

NetskopeStackはNetskopeによって管理されており、手動で更新してはなりません。