【Netskope】User Constraint Profileを使って個人アカウントの利用を制限してみた

» Netskope » 技術
こやしぃ こやしぃ

 

こんにちは、こやしぃです。

生成AIの導入が進むなか、管理上の大きな課題となっているのが「個人アカウントによる私的利用」です。特にGemini等を個人のGmailアカウントで利用することによる、セキュリティリスクの把握は早急に解決すべき課題となっています。

今回は、Netskopeのユーザー制約プロファイル（User Constraint Profile）を活用して、Geminiへのログインを自社ドメインだけに限定する具体的な方法を解説します。

わずか2ステップで完了し、非常に簡単に設定いただけますので、ぜひお試しください。
 

User Constraint Profile とは何か？

　通常のポリシーが、アプリへのアクセス自体の可否を決めるのに対し、制約プロファイルは「アプリ内の特定のアクティビティ（ログイン、送信、共有など）」に対して、詳細な条件を付加する機能です。

課題 ⇒ 会社全体でGoogleへのアクセス自体をブロックすると、業務に必要なGoogle Workspace（DriveやGmail）まで使えなくなる。
 
解決策 ⇒ NetskopeのUser Constraint Profileを使えば、「Google使用は許可するが、ログインできるドメインを限定する」というピンポイントな制御が可能になります。
 
公式リンク：https://docs.netskope.com/en/constraint-profile
 

具体的な設定ステップ

以下の2ステップで、「自社ドメイン以外のアカウントによるログイン」を検知・ブロックしていきましょう。

ステップ①ユーザー制約プロファイルの作成

まずは、「誰をブロック対象にするか」という条件を定義します。

  1. Policies > Profiles > Constraint > Users へ移動し、New User Constraint Profile をクリック。Constraints
  2. Email Address の項目で、「Does not match（一致しない）」を選択します。
  3. 値に自社ドメイン（例：*@netskope.com）を入力します。
    • これにより、「自社ドメイン以外のすべてのアカウント」という条件が作成されます。
  4. プロファイル名（例：NOT OFFICIAL）を付けて保存します。Constraints name
  5. ホーム画面右上にある、APPLY CHANGESを選択します。

ステップ②Real-time Protectionへの適用

作成したプロファイルを、Geminiのログイン動作に紐付けます。

  1. Policies > Real-time Protection で新しいポリシーを作成します。

  2.  条件の設定

    Destination ⇒ Cloud App にて、Google Gemini や Google Workspaceを選択します。

    Activities ⇒ PostやCreate、および Upload などを指定します。Realtime protection

    Activity Constraints  ⇒ 「From User」を選択します。Realtime protection 2  
  3. Constraint Profileの適用
    From Userで、ステップ1で作成したプロファイル (NOT OFFICIAL）を設定します。Realtime protection 3

  4. アクションと保存

    Profile & Actionを [Block] または[Alert]に設定します。

    ※ 「Alert」を選択すると、管理コンソール上のアラートログに載るのみで通信はブロックされません。

    Policy Name: 判別しやすい名称を入力します。
    例: Restrict personal accounts for Gemini

    最後に右上の [SAVE] をクリックし、[Apply Changes] をクリックして設定を反映させます。

 

【動作確認】実際に個人アカウントで試してみると

設定反映後、実際に個人のGmailアカウントを使ってログイン・利用しようとすると、即座にNetskopeによって通信が制御され、以下のように作成したアラート画面がユーザー側に表示されます。Alert


   

まとめ

本ポリシーが適用されると、ユーザーがブラウザで Gemini（例：gemini.google.com）にアクセスした際、以下の挙動が見られます。

  • 会社用アカウント（@netskope.com）でログイン： 通常通り利用可能。
  • 個人用アカウント（@gmail.com等）でログイン： Netskopeが「送信元ユーザーが許可ドメイン以外」であることを検知し、ログイン操作をブロックします。

AIの利便性は活かしつつ、管理外のアカウントは使わせない。このスタンスで、Netskopeの制約プロファイルを活用して、安全な生成AI利用環境を構築していただければと思います。

“自社のドメイン設定で正しく動作するか不安” “他のドメインも制限したい” といったご相談がありましたら、ぜひネクストモードまでお問い合わせください！

SaaSバナー_Netskope