Déployer un client sur MacOS avec Jamf Pro

Les profils de configuration Jamf gèrent la configuration de base pour l'installation du client. Les sections suivantes fournissent un aperçu détaillé de la manière de configurer efficacement ces profils. Vous pouvez ajouter les éléments suivants à un profil de configuration existant ou à New.

Pour créer un profil de configuration New:

1. Dans la console Jamf, allez à Computers > Configuration Profiles > New.

2. Sous Options > General.

   1. Saisissez le nom d'affichage. Par exemple, Netskope Client Profil de configuration.

   2. Choisissez les options suivantes :

      • Category: Aucun

      • Level: Niveau informatique

3. Cliquez sur Scope.

4. Cliquez sur Targets, puis sélectionnez le(s) utilisateur(s) ou périphérique(s) spécifique(s) à qui attribuer le profil de configuration.

5. Cliquez sur Save.

Approbation préalable de l'extension du réseau

Le site Netskope Client sur macOS installe une extension réseau qui nécessite l'approbation de l'administrateur pour fonctionner. La configuration suivante permet de préapprouver l'extension du réseau et de supprimer les notifications de demande d'approbation de la part de l'utilisateur final.

1. Dans la console Jamf, allez sur Computers > Configuration Profiles > et sélectionnez le profil de configuration requis.

2. Allez à Options > System Extension.

3. Cliquez sur Configure ou Edit.

4. Select Allow users to approve system extensions.

5. Sous Allowed Team IDs and System Extensions, saisissez un nom d'affichage. Par exemple, Netskope System Extension.

6. Choisissez les options suivantes :

   • System Extension Types: Extensions du système autorisées

   • Team Identifier: 24W52P9M7W

7. Cliquez sur Add pour ajouter l'extension système suivante : com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy

8. Dans l'onglet Scope, affectez les ordinateurs cibles.

9. Cliquez sur Save.

   

Pré-approbation de l'autorisation d'accès au disque complet pour macOS 14 (Sonoma) et les versions ultérieures

Le site Netskope Client sur macOS nécessite des autorisations d'accès intégral au disque pour diverses fonctionnalités fondamentales. La configuration suivante permet de pré-approuver ces autorisations et de supprimer les notifications de demande d'approbation de la part de l'utilisateur final.

1. Dans la console Jamf, allez sur Computers > Configuration Profiles > et sélectionnez le profil de configuration requis.

2. Allez à Options > Privacy Preferences Policy Control.

3. Cliquez sur Configure ou Edit.

4. Sous App Access, entrez ce qui suit :

   • Identifier: com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy

   • Select Bundle ID pour Identifier Type.

   • Code Requirement: anchor apple generic and identifier "com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")

5. Cliquez sur +Add pour autoriser ou refuser l'accès à un service ou à une application.

6. Select SystemPolicyAllFiles sous App or Service et Allow sous Access.

   

7. Cliquez sur Save.

8. Enregistrez le profil de configuration.

Pré-approbation de la fenêtre contextuelle du VPN pour l'App Proxy

Le site Netskope Client sur macOS installe une extension réseau qui déclenche des mises à jour des paramètres réseau du périphérique. La configuration suivante permet de pré-approuver ces mises à jour et de supprimer les notifications de demande d'approbation de la part des utilisateurs finaux.

1. Dans la console Jamf, allez sur Computers > Configuration Profiles > et sélectionnez le profil de configuration requis.

2. Allez à Options > VPN.

3. Cliquez sur Configure ou Edit et configurez le VPN comme suit :

   • Connection Name: Any Name

   • VPN Type: Select Per-App VPN

   • Per-App VPN Connection Type: Select SSL personnalisé

   • Identifier: Enter com.netskope.client.Netskope-Client

   • Server: Saisissez l'URL de la passerelle Netskope pour le locataire :<tenant_hostname> gateway-<nom_hôte_du_locataire>.goskope.com

   • Provider Bundle Identifier: Enter com.netskope.client.Netskope-Client

   • Provider Type: Select App-Proxy

   • Select Include All Networks

   • Pour Specify Provider Designated Requirement, saisissez ce qui suit :
     anchor apple generic and identifier"com.netskope.client.Netskope-Client" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")

   • Select Prohibit users from disabling on-demand VPN settings.

4. Cliquez sur Save.

Empêcher la désactivation des extensions système dans macOS 15 (Sequoia) ou ultérieur

Netskope recommande d'ajouter deux paramètres de déploiement facultatifs Prevent Disabling of System Extensions et Restrict App Proxy Removal pour gérer les autorisations des utilisateurs concernant les extensions de système dans macOS 15 (Sequoia) et supérieur. Ces contrôles empêchent l'utilisateur de supprimer l'extension système spécifiée.

1. Dans la console Jamf, allez sur Computers > Configuration Profiles > et sélectionnez le profil de configuration requis.

2. Allez à Options > System Extensions.

3. Cliquez sur Configure ou Edit.

4. Select Allow users to approve system extensions.

5. Sous Allowed Team IDs and System Extensions, saisissez un nom d'affichage. Par exemple, Netskope System Extension.

6. Choisissez les options suivantes :

   • System Extension Types: Extensions système non supprimées de l'interface utilisateur

   • Team Identifier: 24W52P9M7W

7. Cliquez sur Add pour ajouter l'extension système suivante : com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy

   

8. Dans l'onglet Scope, affectez les ordinateurs cibles.

9. Cliquez sur Save.

Suppression de Restrict App Proxy

Netskope recommande d'ajouter deux paramètres de déploiement facultatifs Prevent Disabling of System Extensions et Restrict App Proxy Removal pour gérer les autorisations des utilisateurs concernant les extensions de système dans macOS 15 (Sequoia) et supérieur. Ces contrôles empêchent l'utilisateur de supprimer l'extension système spécifiée.

1. Dans la console Jamf, allez sur Computers > Configuration Profiles > et sélectionnez le profil de configuration requis.

2. Allez à Options > Restrictions.

3. Cliquez sur Configure ou Edit.

4. Sous Preferences, sélectionnez Restrict items in System Preferences.

5. Select (Réseau dans ce cas).

6. Ajoutez le champ d'application (machine) et poussez le profil.

7. Cliquez sur Save.

Pousser les certificats racine et locataire de Netskope via Jamf

Fournissez une confiance supplémentaire aux utilisateurs finaux en poussant des certificats lors de l'installation du client. Avant de pousser les certificats racine et locataire, veillez à effectuer les opérations suivantes :

Suivez les étapes suivantes pour ajouter des certificats à Jamf :

1. Dans la console Jamf, allez sur Computers > Configuration Profiles > et sélectionnez le profil de configuration requis.

2. Allez à Options > Certificate.

3. Cliquez sur Configure ou Edit.

4. Entrez un nom pour les certificats.

5. Select Upload pour télécharger les certificats racine et locataire convertis.

   Pour ajouter un certificat, cliquez sur l'icône "+".

6. Dans l'onglet Scope, sélectionnez les ordinateurs cibles.

7. Cliquez sur Save.

La configuration de base supplémentaire pour l'installation du client est effectuée à l'aide des politiques Jamf. Les sections suivantes expliquent en détail comment ces politiques sont configurées.

Ajouter un script d'installation à Jamf

Suivez les étapes suivantes pour ajouter le script d'installation Netskope Client à Jamf à l'aide de l'éditeur de script :

1. Dans Jamf, allez sur Settings > Computer management.

2. Cliquez sur Scripts.

   

3. Cliquez sur +New.

4. Dans l'onglet General, ajoutez le Display Name et d'autres paramètres de base pour le script.

5. Dans l'onglet Script, copiez et collez le contenu du script dans l'éditeur de script.

   Copiez et collez le script shell du fichier : nsclientconfig.sh téléchargé depuis le portail d'assistance Netskope. Pour plus d'informations, consultez la section Conditions préalables.

6. Dans l'onglet Options, définissez les paramètres supplémentaires du script, y compris la priorité et les étiquettes des paramètres (facultatif).

   Pour Priority, sélectionnez Before. Le script doit être exécuté avant le processus d'installation, la priorité doit donc être Avant.

7. (Facultatif) Dans l'onglet Limitations, indiquez la configuration requise pour le script.

8. Cliquez sur Save.

Pour plus d'informations sur l'ajout d'un script, consultez la section Ajouter un script.

Télécharger le paquet client sur Jamf

Suivez les étapes suivantes pour télécharger le paquet Netskope Client macOS sur Jamf.

Pour télécharger un paquet :

1. Dans Jamf, allez à Settings > Computer management.

2. Cliquez sur Packages.

3. Cliquez sur +New.

4. Dans l'onglet General:

   1. Ajoutez le site Display Name et les autres paramètres de base du paquet.

   2. Dans Filename, faites glisser et déposez le paquet d'installation de Netskope Client pour macOS ou cliquez sur parcourir un fichier pour sélectionner et télécharger le paquet.

      

5. (Facultatif) Si vous téléchargez un paquet d'inscription, vous pouvez télécharger un fichier de manifeste personnalisé en le faisant glisser et en le déposant ou en cliquant sur Parcourir pour trouver un fichier dans le champ Fichier de manifeste.

6. Dans l'onglet Options, ajoutez les paramètres supplémentaires pour le paquet, y compris la priorité.

7. (Facultatif) Dans l'onglet Limitations, indiquez les exigences relatives au système d'exploitation et au type d'architecture.

8. Cliquez sur Save.

Configuration de la politique Jamf

Effectuez les étapes suivantes pour élaborer la politique Jamf.

Les éléments suivants peuvent être ajoutés à une politique Jamf existante ou à une politique New. Si vous utilisez une politique existante, accédez à la politique et passez à l'étape 5 :

1. Dans la console Jamf, accédez à Computer > Policies.

2. Cliquez sur + New.

3. Sous Options > General.

4. Saisissez une adresse Display Name, par exemple : Netskope Client Policy.

5. Pour Trigger, sélectionnez Login.

   Exécutez les scripts en utilisant d'autres options telles que la déconnexion et le changement d'état du réseau, conformément aux exigences de l'administrateur.

6. Pour Execution Frequency, sélectionnez Once per computer.

7. Select Options > Packages.

8. Cliquez sur Configure.

9. Cliquez sur Add pour inclure le paquet d'installation du client que vous avez téléchargé dans cette section.

10. Après avoir cliqué sur Add, l'interface utilisateur du paquet affiche le paquet sélectionné. 

11. Sur l’écran Package , sélectionnez Install dans les options déroulantes dans Action.

12. Select Options > Scripts.

13. Cliquez sur Configure.

14. Cliquez sur Add pour inclure le fichier .sh configuré dans cette section.

    • Pour Priority, sélectionnez Before. Le script doit être exécuté avant le processus d'installation, la priorité doit donc être Avant.

    • Mettez à jour les options de script pour les paramètres en fonction du mode de déploiement ci-dessous. Reportez-vous au tableau ci-dessous pour connaître les méthodes d'inscription disponibles et les paramètres associés requis pour le script.

15. Cliquez sur le bouton + pour ajouter un autre script.

16. Lorsque vous avez terminé, cliquez sur Save.

Authentification externe par navigateur

Le site Netskope Client prend en charge l'authentification FIDO sur macOS périphérique via l'intégration d'un navigateur externe avec notre proxy SAML. Lorsque vous activez la prise en charge des navigateurs externes pendant le déploiement de Netskope Client, le flux d'authentification passe du navigateur intégré du client au navigateur par défaut du système d'exploitation. Cet ajustement permet d'utiliser des mécanismes d'authentification web plus avancés et plus robustes.

La prise en charge des navigateurs externes est disponible pour Safari, MS Edge et Google Chrome lorsqu'ils sont définis comme navigateur par défaut (Firefox n'est pas pris en charge).  

Configurez les paramètres supplémentaires suivants dans la politique Jamf requise lorsque vous déployez le client en mode IdP (mono-utilisateur et multi-utilisateurs) :

Les paramètres suivants doivent être ajoutés à la politique de la Jamf en tant que prochains paramètres disponibles :

• Mode: Mode est une chaîne de caractères utilisée pour activer la prise en charge des navigateurs externes.

  • Embedded: Default value and opens the existing mini-browser.

  • Scheme: Ouvre le navigateur externe (navigateur par défaut du système).

• preferEphemeral:

  • True: Une fenêtre de navigation éphémère (privée) sera lancée à partir du navigateur par défaut.

  • False: Une fenêtre de navigation normale (non privée) sera lancée à partir du navigateur par défaut.

• httpmethodLa méthode httpmethod modifie le flux d'authentification web afin d'atténuer les problèmes liés au navigateur Safari et aux fenêtres pop-up de notification WebAuth.html redondantes. Si Safari n'est pas le navigateur par défaut, ce paramètre (httpmethod) n'est pas nécessaire.

  httpmethod=get

  Ces paramètres nécessitent les dernières JAMFScript_v20_Jan2023 disponibles dans le portail de support Netskope.

  Par exemple,

  sudo ./nsclientconfig.sh 1 2 3 idp goskope.com corp 0 mode=scheme preferephemeral=true httpmethod=get

Créer un fichier .plist Fichier pour l'inscription de l'utilisateur PLIST

Cette section décrit les étapes à suivre pour installer le site Netskope Client à l'aide de l'inscription de l'utilisateur PLIST.

Étape 1 : Enregistrer le fichier PLIST

Enregistrez le fichier com.Netskope Client.plist suivant et utilisez-le avec votre MDM pour les déploiements de Netskope Client PLIST.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
	<dict>
		<key>email</key>
		<string>$EMAIL</string>
	</dict>
</plist>

Étape 2 : Configurer Jamf pour qu'il envoie le fichier PLIST à la machine macOS

Les éléments suivants peuvent être ajoutés à un profil de configuration existant ou à New. Si vous utilisez un profil de configuration existant, accédez au profil et passez à l'étape 3 :

1. Dans la console Jamf, allez à Computers > Configuration Profiles > New.

2. Sous Options > General.

   1. Saisissez le nom d'affichage. Par exemple, PLIST File Deployment (déploiement de fichiers).

   2. Choisissez les options suivantes :

      • Category: Aucun

      • Level: Niveau informatique

      • Distribution Method: Installation automatique

3. Va sur Application and Custom Settings.

4. Cliquez Upload. 

5. Cliquez sur Add pour entrer les détails du fichier plist précédemment créé.

   1. L'adresse Preference Domain doit être le nom du fichier plist que vous avez généré sans .plist. Par exemple, si vous utilisez les instructions ci-dessus, le nom de la préférence devrait être com.Netskope Client.

   2. Cliquez sur Upload pour télécharger le fichier plist créé précédemment et voir le contenu affiché sous Property List.

      

      
      

6. Cliquez sur Scope et affectez la charge utile plist que vous avez créée aux groupes d'utilisateurs ou de machines appropriés. 

7. Cliquez Save.

Vérifiez les journaux d'installation sur l'ordinateur de l'utilisateur dans le dossier /var/log/install.log. Si le script de téléchargement de la configuration utilisateur échoue et que le programme d'installation Netskope Client est exécuté, le programme d'installation se termine et affiche le message d'erreur Configuration file missing, aborting installation!.

Vérifiez l'état de l'installation de Netskope Client

1. Pour vérifier l'état de chaque périphérique, allez sur Computer > Policies et cliquez sur la politique que vous avez créée.

2. Cliquez sur le bouton Logs en bas pour afficher les fichiers journaux de chaque périphérique, puis cliquez sur le bouton Show.

   Confirmation de l'approbation de l'extension du site Netskope Client

   Pour confirmer que l'extension Netskope Client a été approuvée et que le client fonctionne, exécutez la commande suivante dans votre fenêtre de terminal macOS :

   systemextensionsctl list

   Le résultat devrait ressembler à ceci :

   % systemextensionsctl list  
   1 extension(s)
   --- com.apple.system_extension.network_extension
   enabled active teamID bundleID (version) name [state]
   * * 24W52P9M7W com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy (85.2.0.269/1) 
   NetskopeClientMacAppProxy [activated enabled]

   En outre, inspectez les préférences du système et l'interface utilisateur du réseau pour confirmer que l'extension Netskope Client est active.

Consultez la section Désinstallation du Netskope Client pour obtenir des instructions sur la désinstallation du Netskope Client.