Azure Blob Storage を DLP スキャンおよび脅威保護のためにスキャンするには、 Rolesの下で、組み込みのリーダー ロールを持つカスタム ロールを作成するか、次の権限を持つ共同作成者ロールを割り当てます。
- Microsoft.EventGrid/eventSubscriptions/write – この権限は、イベントサブスクリプションを作成または更新します。
- Microsoft.Storage/storageAccounts/listkeys/action – この権限は、指定されたストレージ アカウントのアクセス キーを返します。
- Microsoft.EventGrid/eventSubscriptions/delete – この権限はイベントサブスクリプションを削除します。Netskopeは、テナントのオンボーディング時にeventSubscriptionを作成します。サブスクリプションが削除されると、システムトピックも削除されます。
組み込みの閲覧者ロール権限は、以下の動作を実行します。
- 管理グループ内の Azure サブスクリプション定義を取得します。
- 役割定義に関する情報を取得します。
- 呼び出し元が指定されたスコープで持つすべての権限を一覧表示します。
- ストレージアカウントの一覧を取得するか、指定されたストレージアカウントのプロパティを取得します。
- ブロブサービスの一覧を取得します。
- コンテナのリストを取得します。
- イベント購読を読む。
- 地域イベントの購読者リストを取得します。
重要
セキュリティ態勢、DLP、脅威対策などの機能を組み合わせてフォレンジック用にこのインスタンスを構成する場合は、各機能ごとに個別のカスタムロールを作成する必要があります。複数の機能をサポートする場合は、以下の表に基づいて役割を割り当ててください。
| Feature/Role | リーダー + カスタム | 組み込み貢献者 |
|---|---|---|
| DLP | X | X |
| 脅威からの保護 | X | X |
| DLP、セキュリティ態勢 | X | X |
| DLP、フォレンジック | X | X |
| 脅威対策、セキュリティ態勢 | X | X |
| 脅威対策、フォレンジック | X | X |
| DLP、脅威対策、セキュリティ態勢、フォレンジック | X | X |
DLPおよび脅威保護用のカスタムロールを作成するには、
- 以下のスクリプトを使用して JSON ファイルを作成し、 NetskopeDLP.jsonという名前で保存してください。
{ "Name": "custom-dlp-role", "Description": "Storage Scan", "Actions": ['Microsoft.EventGrid/eventSubscriptions/write', 'Microsoft.Storage/storageAccounts/listkeys/action', 'Microsoft.EventGrid/eventSubscriptions/delete' ], "DataActions": [], "NotDataActions": [], "AssignableScopes": ["/subscriptions/<subscriber_id>"] }To get the <subscription-id>:
- All services > General > Subscriptionsへ移動してください。
- Copy the subscription ID and replace the <subscription-id> parameter with the copied ID.
- 次に、Azure PowerShell を使用します。 Azureポータルページの右上中央にあるCloud Shellアイコンをクリックします。
注記
シェルは、ストレージアカウントを作成してマウントするように促す場合があります。
- PowerShell のトップナビゲーションで、 Upload/Download filesアイコンを選択し、次にUpload選択します。
- NetskopDLP.jsonファイルをアップロードしてください。次に、PowerShellプロンプトで次のコマンドを入力します。
New-AzRoleDefinition -InputFile "NetskopeDLP.json"
When you run this command, Azure creates a custom role Netskope DLP Custom Role with the Microsoft.EventGrid/eventSubscriptions/write , Microsoft.Storage/storageAccounts/listkeys/action, and Microsoft.EventGrid/eventSubscriptions/delete permissions.
- Subscriptionに移動し、リストから目的のサブスクリプションをクリックしてください。
- 購読画面の左側のナビゲーションで、 Access Control (IAM)をクリックします。
- + AddクリックしてからAdd role assignmentクリックしてください。
- Add role assignmentページで、検索ボックスにNetskope CSA Custom Role役割を入力します。Nextをクリックしてください。
- Membersの下で、 + Select membersをクリックしてください。
- On the Select members page, type the Netskope App and select it.
- NextをクリックしてからReview + assignをクリックしてください。
注記
Reader役割についても、手順8～11に従ってください。