Netskopeは、CloudWatchイベントを受信するためのスタックを作成するなど、AWSアカウント内で特定のアクションを実行するための権限を必要とします。この画面では、Netskopeとお客様のAWSアカウント間でクロスアカウントアクセスを設定するために必要な権限を含む、カスタマイズされたCFT（クロスアカウント機能）が提供されます。CFTで定義された権限は、[アカウントとサービス]ページで有効にしたサービスに基づいて更新されます。
Netskopeが必要とする様々な権限を理解するには、CFT（包括的機能テスト）を参照してください。
注記
AWSアカウントに、IaaSサービス向けNetskopeを実行するために必要な権限が付与されていることを確認してください。
セットアップを完了するには、以下の手順を実行する必要があります。
- CFTをダウンロードしてください。
- AWS アカウントで、フォレンジックの宛先となる新しい S3 バケットを作成します。
- AWS アカウントで、ダウンロードした CFT を新しい CloudFormation スタックにアップロードします。
- 必要な権限を持つクロスアカウントロールが作成されていることを確認してください。
セットアップを完了するには、以下の詳細な手順に従ってください。
- 新しいセットアップウィンドウの「権限」画面で、CFTをダウンロードするためのリンクをクリックします。
- IaaSのために設定しているAWSアカウントの管理コンソールにログインし、Services > Storage > S3にNetskopeしてください。
- Netskopeフォレンジック オブジェクトを保存する新しい S3 バケットを作成します。 S3バケットがAWSが指定する命名規則に従っていることを確認してください。
バケット名の命名規則の詳細については、 AWS のドキュメントを参照してください。
- Services > CloudFormationへ移動してください。CloudFormation ページで、 Create stackをクリックします。
新しいリソースでスタックを作成するには、 With new resources (standard)を選択してください。
既存のリソースを使用してスタックを作成するには、 With existing resources (import resources)を選択してください。
- SelectUpload a template fileしてChoose fileをクリックしてaws-instance-setup.ymlをアップロードしてください。 Nextをクリックしてください。
- In the Specify stack details page, specify a Stack name.
スタック名は以下を満たす必要があります。
- 英数字とハイフンのみを含みます。
- アルファベットで始めて、
- 128文字を超えないでください。
- このページの「パラメーター」セクションで、上記ステップ 3で作成した新しい S3 バケットの名前を指定します。 Nextをクリックしてください。
- スタックオプションの設定ページで、 デフォルト設定を選択し、 Nextをクリックします。
- Reviewページでスタックの詳細を確認し、確認をクリックしてからCreate stackをクリックしてください。
作成プロセスが完了すると、スタックがCloudFormationページに表示されます。スタックをクリックすると、スタックの詳細を表示できます。リソース タブには、 aws-instance-setup.ymlに含まれるさまざまなコンポーネントが表示されます。テンプレートタブには、テンプレートで定義されている権限が表示されます。
Note: S3 バケットがフォレンジックの宛先として使用され、KMS (顧客管理のキーを使用) によるサーバー側の暗号化を使用する場合は、Netskope_Role へのアクセスを許可するための KMS キーのポリシー権限を設定する手順については、このページを参照してください。 - Netskopeのユーザーインターフェースで、AWSアカウントに権限を持つクロスアカウントロールが作成されていることを確認してください。Add Accountsをクリックしてください。
NetskopeはAWSアカウントをSettings > Configure App Access > Classic > IaaSページに追加します。このページには、各アカウントで有効になっているサービスも表示されます。
フォレンジック機能を有効にしてインスタンスを設定したら、フォレンジックプロファイルを作成する必要があります。詳細については、 「パブリッククラウドストレージのフォレンジックプロファイルの作成」を参照してください。
その過程で何が起こるのか？
Netskopeは、インスタンス設定後にAWSアカウントのすべてのS3バケットを一覧表示し、すべてのS3バケットのメタデータをデータベースに保存します。このメタデータにより、Netskopeはフォレンジック調査の宛先として選択されたS3バケットへの書き込みおよびダウンロードが可能になります。ただし、書き込み権限とダウンロード権限は、フォレンジック調査の保存先として選択された単一のバケットに対してのみ要求されます。
注記
Netskopeはフォレンジックの保存先として選択されたS3バケットを認識していないため、 s3:List関連の権限が必要です。
| AWS フォレンジックポリシーのアクセス許可 | 目的 |
|---|---|
| s3:GetObject | このGET操作の実装では、Amazon S3からオブジェクトを取得します。 |
| s3:PutObject | このPUT操作の実装では、DLPフォレンジックに違反するオブジェクトをAmazon S3バケットに格納します。 |
| s3:リストバケット | 特定のバケットを一覧表示します |
| s3:ListAllMyBuckets | このGET操作の実装では、認証済みのリクエスト送信者が所有するすべてのバケットのリストが返されます。 |
| s3:GetBucketLocation | このGET操作の実装 バケットのリージョンを返すロケーションサブリソース。 |
注記
NetskopeStackはNetskopeによって管理されており、手動で更新してはなりません。
S3バケットをフォレンジックの保存先として定義する方法の詳細については、 「フォレンジックプロファイルの作成」を参照してください。