継続的セキュリティ評価 (CSA) 用に Google Cloud プラットフォーム (GCP) を構成するには、GCP Cloud コンソールにログインし、次の手順を実行する必要があります。
- ステップ1：サービスアカウントを作成し、役割を割り当てる
- ステップ2：プロジェクトIDの下にサービスアカウントを追加する
- Step-3: Enable APIs
- ステップ 4: Netskope UI で Google Cloud プラットフォーム インスタンスを構成する
ステップ1：サービスアカウントを作成し、役割を割り当てる
Netskope Google Cloud プラットフォームからデータを取り込むには、Google Cloud プラットフォームでサービス アカウントを作成する必要があります。 サービスアカウントはプロジェクトに関連付けられている必要があるため、いずれかのプロジェクトをサービスアカウントのデフォルトプロジェクトとして設定する必要があります。
サービスアカウントを作成するには、以下の手順に従ってください。
- console.cloud.google.comにログインしてください。
注記
ログインしているユーザーは、サービスアカウント管理者または組織管理者のいずれかの役割を持っている必要があります。
- Google Cloud ホームページの左上にあるドロップダウンリストをクリックし、サービスアカウントを作成する適切なプロジェクトを選択します。
- 左上のハンバーガーナビゲーションメニューをクリックして、 IAM & admin > Service accountsに移動します。
Service accountsページが開きます。
- + CREATE SERVICE ACCOUNTをクリックしてください。
Create service account右側のペインが開きます。
- Service account detailsセクションに、以下の詳細を入力してください。
- Service account nameフィールドに、サービスアカウントの名前を入力してください。
- service account IDはサービスアカウント名を表します。必要に応じて、サービスアカウントIDを編集できます。
- Service account descriptionフィールドに短いデスクリプションを入力します。
- CREATEをクリックしてください。
- Service account permissionsセクションで、以下の役割を選択してください。
- Project > Browser – この役割では、Netskope UIでGoogle Cloudプラットフォームインスタンスを設定する際にNetskopeGoogleコンソールのプロジェクトを一覧表示できます。
- IAM > Security Reviewer – この役割では、Google Cloudプラットフォーム内のリソースリストをスキャン Netskope できます。
- BigQuery > BigQuery Metadata Viewer – この役割により、Netskope は BigQuery データセットのアセットを一覧表示できるようになります。
- Organization Policy > Organization Policy Viewer – この役割は組織ポリシーをリスト Netskope することを可能にします。
- Access Approval > Access Approval Viewer – この役割により、Netskopeはアクセス承認リクエストと構成を閲覧できるようになります。
または、組み込みの 2 つの役割Project > BrowserとOrganization Policy > Organization Policy Viewerを選択し、権限compute.projects.getとcompute.regions.listを持つカスタム役割を作成することもできます。GCP CSA に必要な権限の詳細については、 「GCP CSA のカスタムロール権限」を参照してください。
- CONTINUEをクリックしてください。
- Grant users access to this service account部分は変更しないでください。Create keyセクションで、 + CREATE KEYをクリックします。
- JSONキータイプSelect 。
- CREATEをクリックしてください。
ユーザーインターフェースは、秘密鍵のJSONファイルをローカルコンピュータにダウンロードするように促します。ダウンロードが完了すると、UIにPrivate key saved to your computerメッセージが表示されます。CLOSEをクリックしてください。
注記
秘密キー JSON ファイルは、 Netskope UI で Google Cloud プラットフォーム インスタンスを設定するときに必要になります。
- Create service accountセクションで、 DONEをクリックします。
ステップ2：プロジェクトIDの下にサービスアカウントを追加する
継続的なセキュリティ評価が必要なプロジェクトIDには、サービスアカウントをIAMユーザーとして追加する必要があります。サービスアカウントは複数のプロジェクトIDに追加できます。Netskopeのユーザーインターフェースで、フォルダまたは組織内のすべてのプロジェクトを一覧表示する必要がある場合は、フォルダまたは組織レベルでサービスアカウントを追加する必要があります。
以下の手順では、サービスアカウントをプロジェクトIDに追加する方法について説明します。
- console.cloud.google.comにログインしてください。
注記
ログインしているユーザーは、サービスアカウント管理者または組織管理者のいずれかの役割を持っている必要があります。
- Google Cloud ホームページの左上にあるドロップダウンリストをクリックし、サービスアカウントを作成したプロジェクトを選択します。
- 左上のハンバーガーナビゲーションメニューをクリックして、 IAM & admin > Service accountsに移動します。
Service accountsページが開きます。
- Service accountページで、前の手順で作成したサービス アカウントを見つけて、そのアドレスをメモしてください。
- 左上のハンバーガーナビゲーションメニューをクリックして、 IAM & admin > IAMに移動します。
IAMページが開きます。
- Google Cloud ホームページの左上にあるドロップダウンリストをクリックし、継続的セキュリティ評価が必要なプロジェクトIDを選択します。
注記
Netskopeユーザーインターフェースで、フォルダまたは組織に属するすべてのプロジェクトを一覧表示する必要がある場合は、プロジェクトIDではなく、フォルダIDまたは組織IDを選択してください。
- IAMページで、 + ADDをクリックしてサービスアカウントユーザーを追加します。
Add members右側のペインが開きます。
- New membersフィールドに、手順 4 でメモした電子メール アドレスを入力します。
- Select a roleの下で、以下の役割を選択してください。
- Project > Browser – この役割では、Netskope UIでGoogle Cloudプラットフォームインスタンスを設定する際にNetskopeGoogleコンソールのプロジェクトを一覧表示できます。
- IAM > Security Reviewer – この役割では、Google Cloudプラットフォーム内のリソースリストをスキャン Netskope できます。
- BigQuery > BigQuery Metadata Viewer – この役割により、NetskopeはBigQueryデータセットの資産をリストアップできます。
- Access Approval > Access Approval Viewer – この役割により、Netskopeはアクセス承認リクエストと構成を閲覧できるようになります。
または、組み込みの役割Project > Browserを選択し、権限compute.projects.getとcompute.regions.listを持つカスタム ロールを作成することもできます。GCP CSA に必要な権限の詳細については、 「GCP CSA のカスタムロール権限」を参照してください。
- SAVEをクリックしてください。
上記の手順を繰り返して、サービスアカウントを他のプロジェクトIDに追加してください。
Step-3: Enable APIs
サービス アカウントを作成したプロジェクトで、一連の Google Cloud Platform API を有効にする必要があります。 そのためには、以下の手順に従ってください。
- console.cloud.google.comにログインしてください。
注記
ログインしているユーザーは、組織管理者ロールを持っている必要があります。
- Google Cloud ホームページの左上にあるドロップダウンリストをクリックし、サービスアカウントを作成したプロジェクトを選択します。
- 左上のハンバーガーナビゲーションメニューをクリックして、 APIs & Services > Dashboardに移動します。
Dashboardページが開きます。
- + ENABLE APIS AND SERVICESをクリックしてください。
APIライブラリのページが開きます。
- Search for APIs & Servicesフィールドで、以下の API を検索して有効にします。
- アクセスコンテキストマネージャーAPI
- APIキーAPI
- アクセス承認API
- BigQuery API
- クラウドストレージAPI
- クラウド リソース マネージャー API
- Cloud SQL 管理 API
- クラウドキー管理サービス（KMS）API
- クラウドロギングAPI
- クラウドDNS API
- クラウド監視API
- Cloud Functions API
- クラウドデータ処理API
- Compute Engine API
- 必須のコンタクト API
- IDおよびアクセス管理（IAM）API
- Kubernetes Engine API
- サービス利用状況API
ステップ 4: Netskope UI で Google Cloud プラットフォーム インスタンスを構成する
サービス アカウントを設定した後、 Netskope Google Cloud プラットフォームからデータを取り込むことを承認する必要があります。 そのためには、以下の手順に従ってください。
- NetskopeのテナントUIにログインし、 Settings > API Data Protection > IaaSに移動します。
- Google Cloud プラットフォーム アイコンをクリックし、 SETUPをクリックします。
New Setupウィンドウが開きます。
- GCP Service Accountセクションに、以下の詳細を入力してください。
- Instance Name: Google Cloud Platform インスタンスの名前を入力します。
- Admin Email: Google Cloudプラットフォームのアカウント所有者の電子メールアドレスを入力してください。
注記
ここには任意の電子メールアドレスを入力できます。 Netskopeこの電子メール アドレスに通知を送信します。
- Connection TypeSelect Google Cloudプラットフォームサービスの構成を定期的に評価し、インフラのリスクを監視するためのSecurity Postureオプションです。ポリシーを30分、60分、2時間、6時間、または24時間ごとに運用するオプションがあります。Google Cloudプラットフォームのダッシュボードは、 IaaS ページに移動して確認できます。
注記
Netskopeは、間隔を60分以上に設定することを推奨しています。
注記
インスタンスタイプのオプションの一部は無効にできる場合があります。詳細については、 Netskope営業担当者にお問い合わせください。
- Cloud Provider Informationセクションに、以下の詳細を入力してください。
- UploadセクションでSELECT FILEをクリックし、秘密鍵の JSON ファイル (ステップ 1: サービス アカウントの作成と役割の割り当てでダウンロードしたもの) をアップロードします。
- SAVEをクリックしてください。
- API Data Protection > IaaSページで、Google Cloud プラットフォーム アイコンをクリックします。
- 新しく作成されたインスタンスの横にあるGrant Accessをクリックしてください。
ブラウザを更新すると、Google Cloud Platform インスタンス名の横に緑色のチェック アイコンが表示されます。
これで、継続的セキュリティ評価のための Google Cloud プラットフォーム インスタンスのセットアップが完了しました。