DSPMでクレデンシャルの AWS Secrets Manager を使う

Overview

ユーザー名とパスワードによる認証が可能な以下のデータストアタイプのいずれかを使用して認証することもできます。 AWS Secrets Manager。

Snowflake 、セルフマネージドOracle 、セルフマネージドMySQL

この方法は、サービスアカウントのシークレットがNetskope One DSPMアプリケーション内に保存されず、AWS Secrets Manager の情報に基づいて自動的に更新されるため、セキュリティをさらに強化します。 

この記事では、データストア認証のためのAWS Secrets Managerの設定方法と使用方法について概説します。  

AWS シークレットを作成して保存する

1. AWS コンソールから、 AWS Secrets Managerに移動します。
2. Store a new secretボタンをクリックしてください。
3. Netskope One DSPMに接続するデータベースの種類に基づいてSecret typeをSelect
4. Credentialsの下に、接続するデータベース用に Netskope One DSPM サービス アカウント用に作成したユーザー名とパスワードを入力してください。
5. Clusterの下で、Netskope One DSPM に接続する DB クラスタを選択します。
6. Nextをクリックしてください。

7. 覚えておける秘密の名前を入力してください。 Netskope One DSPM用。
8. フローの残りの手順をすべて完了してください。
9. 新しく作成した秘密は、秘密リストの一番上に表示されます。
10. 左上にあるシークレットの名前をクリックし、 Secret ARNの値をメモしてください。

AWS IAM ポリシーにアクセス許可を付与する

AWS Secrets Manager を使用してデータ ストアを認証するには、 Netskope One DSPMサービス アカウントの IAM ロールに添付されたカスタム ポリシー内で特定のアクセス許可を付与する必要があります。 

カスタムポリシー内で、ビジュアルエディターまたはJSONエディターのいずれかを使用して、以下の操作を行います。

1. 権限secretsmanager:GetSecretValueを追加します。
2. 特定の秘密ARNへのアクセス権限を制限する。

保存および更新が完了すると、ポリシーは次のようになります。 

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "VisualEditor0",
			"Effect": "Allow",
			"Action": [
				"sts:AssumeRole",
				"secretsmanager:GetSecretValue"
			],
			"Resource": [
				"arn:aws:secretsmanager:*:999973842021:secret:MAM_MySQL_56-q0qRsT",
				"arn:aws:iam::999973842021:role/Netskope One DSPMRole"
			]
		}
	]
} 2

Netskope One DSPMのデータストアを認証する AWS シークレットを使用する

1. Netskope One DSPMサービスアカウントの作成や接続情報の取得など、データストアを接続するための関連する初期手順を完了してください。
2. Provide Credentialsモーダルで、データストア識別子を作成し、通常どおりエンドポイント値を貼り付けます。
3. 上記ステップ10で取得した値をSecret ARNフィールドに貼り付けてください。

1. Nextをクリックしてください。 
2. 画面の指示に従って、データストアの接続を完了してください。 

今後は、データストアのスキャンごとに、最新のユーザー名とパスワードがシークレットARNを介してAWSシークレットから取得されます（ただし、Netskope One DSPMアプリケーション内には保存されません）。