Configuration de l'intégration de Enterprise Browser et Private Access

Enterprise Browser for Private Apps offre un accès sécurisé et transparent à SaaS et aux applications privées sur les périphériques gérés et non gérés, sans compromettre la protection des données. Construit sur Chromium avec une installation en libre-service, il est idéal pour le BYOD, les entrepreneurs et l'intégration rapide (par exemple, M&A). Il applique des contrôles au niveau du navigateur (comme le copier/coller, l'impression, etc.) et simplifie l'accès aux applications privées en évitant les configurations DNS complexes ou les réécritures d'URL, créant ainsi un espace de travail sécurisé et efficace pour les services informatiques et les utilisateurs finaux.

Fonctionnement des définitions d'applications privées lorsque l'Enterprise Browser est activé

Pour les clients ayant des droits sur Enterprise Browser et Netskope Private Access (NPA), les applications d'accès au navigateur se répartissent en deux catégories :

Deux types d'applications du navigateur NPA

1. “Any Browser” applications

   Il s'agit des applications traditionnelles reverse-proxy, browser-based access (Browser Access) qui continuent à fonctionner de la même manière lorsque l'Enterprise Browser est activé.

   

   • Accessible depuis any standard browser.
   • Disposez toujours d'un site Public Host (et éventuellement d'un hôte personnalisé).
   • Les utilisateurs y accèdent via le portail ou en tapant directement le nom de l'hôte public/client, par exemple
     https://ns-xxxx-443-tenant.region.npaproxy.goskope.com
   • En matière de politique, ces éléments ne sont évalués que lorsque Access Method is “Browser Access”.
   • Enterprise Browser peut également les utiliser, mais lorsqu'il le fait via l'hôte public, il s'agit toujours d'un accès Browser Access et non d'un accès "Enterprise Browser".
2. “Enterprise Browser” applications

   Ils sont conçus spécifiquement pour être utilisés avec Enterprise Browser.

   

   • No Public Host est définie.
   • Défini uniquement par internal host/IP and port (par exemple : 172.31.46.99:8080 ou app.internal.corp :443).
   • Les utilisateurs y accèdent via le portail ou en tapant l'adresse internal URL or IP directement dans l'Enterprise Browser.
   • La circulation est dirigée par Enterprise Browser vers le NPA explicit proxy (“ebnpa” proxy) on port 8090.
   • En matière de politique, ces éléments ne sont évalués que lorsque Access Method is “Enterprise Browser”.
   • Key enhancement: Enterprise Browser le soutien aux applications :
     • IP subnets (e.g. 10.0.0.0/24)
     • Wildcard hostnames (par exemple) *.corp.local)
       Cette fonctionnalité n'est pas prise en charge pour les applications « Any Browser », ce qui rend les applications Enterprise Browser plus flexibles pour les environnements internes vastes et dynamiques.

Un concept à emporter pour les clients :

• Applications "tout navigateur" = reverse-proxy browser-based access modèle avec un point d'entrée public, utilisable à partir de n'importe quel navigateur standard.
• Applications "Enterprise Browser" = point d'entrée privé/interne, Enterprise Browser uniquement, avec prise en charge des sous-réseaux/carts génériques.

Quels changements dans le comportement des politiques

Lors de la création d'une police NPA, les clients choisissent une adresse Access Method et joignent ensuite des applications de navigation :

• Browser Access access method
  • N'évalue que les demandes “Any Browser”.
• Enterprise Browser access method
  • Evaluates both:
    • les applications "Any Browser" pour la rétrocompatibilité, et
    • Applications "Enterprise Browser".
  • Les utilisateurs de Enterprise Browser bénéficient d'une expérience unifiée pour toutes les applications privées basées sur le navigateur.
• Client access method
  • N'évalue que les applications Client (comportement inchangé).

Haut niveau workflow

Conditions préalables

Avant de commencer, assurez-vous que les éléments suivants sont en place :

• Enterprise Browser is deployed
  • Enterprise Browser est installé pour les utilisateurs cibles et lié au bon locataire Netskope.
  • Enterprise Browser est configuré avec le proxy explicite / PAC de Netskope, de sorte que le trafic web passe par Netskope.
• NPA Private app segments and Publishers are configured for access via Enterprise Browser
  • Les éditeurs NPA sont déployés, en bonne santé et peuvent atteindre les applications internes.
  • Les segments d'application privés requis sont configurés de manière à ce que les éditeurs sachent comment atteindre les réseaux d'application appropriés.
• Identity and access are ready
  • L'intégration SAML et IDP avec Netskope est configurée et testée.
  • Les utilisateurs/groupes qui utiliseront Enterprise Browser + NPA sont synchronisés avec Netskope et disponibles pour la politique.
• Network connectivity requirements
  • Le contournement du proxy d'Enterprise Browser est configuré de manière à ce qu'Enterprise Browser puisse atteindre les points d'extrémité du plan d'authentification et de contrôle requis (par exemple, authservice.goskope.com), IdP) sans être accidentellement contournés.

Configurer les politiques NPA et la politique de contrôle du navigateur Enterprise Browser

Configurez ou mettez à jour les politiques comme suit :

• NPA policies
  • Use Access Method = Enterprise Browser.
  • Autorisez les applications du navigateur NPA que vous avez définies à l'étape précédente.
  • Meilleure pratique : gardez separate policies pour :
    • Browser Access (pour les applications de navigateur proxy inverse « Any Browser »), et
    • Enterprise Browser (pour les applications Enterprise Browser ).
• Enterprise Browser browser‑control policies for private apps
  • Créez ou mettez à jour les stratégies de contrôle du navigateur Enterprise Browser pour les applications privées Enterprise Browser.

Publier la configuration et mettre à jour l'Enterprise Browser

• Enregistrez et publiez les demandes et les changements de politique pertinents sur le site NPA.
• Enterprise Browser téléchargera une mise à jour de PAC file qui :
  • Liste tous les hôtes / ports internes de vos applications de navigation NPA (npaList).
  • Dirige les destinations correspondantes vers le NPA Proxy (<tenant>.ebnpa.goskope.com:8090).

Accédez à des applications privées à l'aide de l'Enterprise Browser

Une fois les politiques et le fichier PAC mis à jour :

• Les utilisateurs ouvrent l'application dans Enterprise Browser en utilisant le site internal host / IP:port configuré sur l'application NPA Browser (il n'y a pas d'hôte public).

Comment les applications privées sont-elles accessibles via Enterprise Browser ?

Lorsque les utilisateurs accèdent à des applications privées avec Netskope Enterprise Browser, ils se connectent en utilisant l'hôte interne ou l'adresse IP définie dans l'application NPA Browser (par exemple, https://172.31.46.99:22 ou https://app.internal.local:443).

Enterprise Browser utilise une configuration PAC proxy explicite qui classe ces destinations comme trafic NPA et les transmet au proxy NPA dédié (<tenant>.ebnpa.goskope.com:8090). Le proxy NPA termine TLS à partir de l'Enterprise Browser, autorise l'utilisateur et l'application, puis établit la connexion interne HTTP/HTTPS ou TCP vers l'application privée via l'éditeur.

Vous pouvez vérifier ce comportement à partir de Enterprise Browser en naviguant vers Netskope://policy et en développant ProxySettings. La section ProxyPacUrl contient un fichier PAC où le tableau npaList comprend tous les hôtes/ports internes pour les applications du navigateur NPA. Toute URL dont l'hôte et le port correspondent à une entrée de npaList est dirigée vers le proxy NPA; tout le reste est dirigé vers le proxy Edge Enterprise Browser (eproxy-<tenant>.goskope.com:8090). ou est envoyé directement s'il correspond à la liste de contournement.

Parité des fonctionnalités avec l'accès par navigateur à proxy inverse

Enterprise Browser pour les applications privées étend les mêmes capacités clés disponibles avec le proxy inverse, les applications privées basées sur le navigateur, y compris les contrôles User Portal, Browser based AnyApp (RDP/SSH), et Data Loss Prevention (DLP) pour le trafic web vers les applications privées. En outre, Enterprise Browser élargit la gestion des correspondances et des applications, notamment en prenant en charge les sous-réseaux IP (par ex. 10.0.0.0/24), les noms d'hôtes avec caractères de remplacement (par exemple *.corp.local), la prise en charge de contenus mixtes et de ressources intégrées, ainsi que la gestion robuste d'applications complexes reposant sur des redirections d'URL multiples et des navigations inter-hôtes.

Pour obtenir des conseils de configuration et la liste complète des fonctionnalités prises en charge, y compris la manière dont Enterprise Browser étend la prise en charge des fonctions de proxy inverse existantes, voir
Configurer l'accès au navigateur pour les applications privées.

Quand utiliser Enterprise Browser + NPA

Utilisez Enterprise Browser + NPA quand vous le souhaitez :

• “Inside-the-network” app behavior from the browser
  • Les utilisateurs accèdent aux applications privées en utilisant des noms d'hôtes/IP internes.
  • Les redirections internes et les liens internes codés en dur continuent de fonctionner sans exposer les URL "publiques" ou "privées" aux utilisateurs.
• Simpler handling of complex internal environments
  • Vous devez couvrir des plages de serveurs internes (par ex. fermes RDP, consoles d'administration multiples).
  • Les applications utilisent plusieurs noms d'hôtes internes sous le même domaine et vous ne voulez pas les gérer un par un.
• Stronger, layered security for private web apps
  • Vous préférez un navigateur d'entreprise géré avec des contrôles fins (par ex. les actions de l'utilisateur dans le navigateur).
  • Vous voulez un accès Zero Trust par application aux applications privées sans installer un client complet sur le terminal.

Continuez à utiliser “Any Browser” / Reverse-proxy Browser Access lorsque :

• Vous devez prendre en charge any standard browser pour les partenaires, les entrepreneurs ou les périphériques non gérés/BYOD qui ne peuvent pas exécuter Enterprise Browser.
• Vous voulez un site simple web portal avec des tuiles qui correspondent à des points d'entrée publics et vos applications fonctionnent déjà très bien de cette manière.