Déploiement Netskope Client sur MacOS en utilisant Jamf School

Cette section décrit les étapes du déploiement de l'application Netskope Client dans un périphérique macOS à l'aide de Jamf School.

Conditions préalables

Les administrateurs doivent avoir une bonne connaissance pratique de l'école Jamf.
Les administrateurs doivent consulter les méthodes d'inscriptionNetskope Client afin de comprendre les méthodes d'inscription des utilisateurs clients disponibles pour leur environnement.
Les utilisateurs doivent être importés dans le tenant Netskope – voir Provisionnement des utilisateurs pour Netskope Client
Téléchargez les certificats racine et locataire de Netskope et assurez-vous qu'ils soient disponibles en cas de besoin.
Téléchargez le package Netskope pour macOS depuis Netskope Support.
Consultez la section Déploiement Netskope Client via IdP lorsque vous utilisez IdP comme méthode d'inscription des utilisateurs.
Téléchargez les derniers scripts JAMF (JAMFScripts.zip) depuis le portail d'assistance Netskope . Cela télécharge un fichier JAMFScript_v22_Nov2024 qui contient deux fichiers :
- jamfuninstall.sh
- nsclientconfig.sh - Utilisez ce fichier pour ajouter un script.
Pour une méthode d'enrôlement des utilisateurs PLIST :
- Jamf doit avoir un utilisateur préexistant (email) pour périphérique mapping.
- Téléchargez le fichier CustomEmailConfig.mobileconfig fichier depuis le portail Netskope Support.
Dans Jamf School, activez l'option Scripting sous Organization > Settings > Modules pour vous permettre d'ajouter les scripts nécessaires.

Plates-formes et méthodes d'inscription prises en charge

Cet article présente les instructions de déploiement de Netskope Client pour les méthodes d'enrôlement des utilisateurs et les plates-formes de support suivantes. Les méthodes d'inscription des utilisateurs qui ne sont pas documentées ici ne sont pas prises en charge pour le moment.

Méthodes d'inscription	Utilisateur unique	Multi-user
PDI	Y	Y
PLIST	Y	N

Configuration du profil

Les profils Jamf gèrent la configuration de base pour l'installation du client. Les sections suivantes fournissent un aperçu détaillé de la manière de configurer efficacement ces profils.

Créer un profil

La création de profils est utile car elle permet de définir et de configurer les paramètres système tels que le VPN, les restrictions, etc. pour votre appareil. Créez toujours un profil avant de commencer à configurer les paramètres du profil. Pour plus d'informations, consultez les profils.

Vous pouvez créer un profil New ou ajouter les éléments suivants à un profil existant. Pour créer un profil de configuration New:

Connectez-vous à l’école JAMF.
Allez sur Profiles.
Cliquez sur +Create Profile.
Dans Platform, sélectionnez les éléments suivants :
1. Select le site Platform comme macOS
2. Select les Enrollment Type.
3. Cliquez sur Next.
Sur Details, effectuez les opérations suivantes :
1. Saisissez le nom du profil.
2. Saisissez la description du profil.
Cliquez sur Next.
Dans Time Filter, cochez la case pour configurer l'heure à laquelle vous souhaitez appliquer le profil au périphérique.
Cliquez sur Finish.

Après avoir créé le profil, vous accédez à la page où vous pouvez définir les détails du profil tels que Certificates, System Extensions, etc. Consultez les sections suivantes pour en savoir plus sur l'ajout de différents attributs dans votre profil.

Approbation préalable de l'extension du réseau

Le site Netskope Client sur macOS installe une extension réseau qui nécessite l'approbation de l'administrateur pour fonctionner. La configuration suivante permet de préapprouver l'extension du réseau et de supprimer les notifications de demande d'approbation de la part de l'utilisateur final.

Pour configurer les extensions du système dans Jamf School :

Dans la console Jamf School, allez dans Profils.
Select et ouvrez les Profilerequises.
Cliquez sur Scope.
1. Cliquez sur + pour ajouter le groupe souhaité.
2. Cliquez sur Enregistrer.
Cliquez sur System Extensions.
Cliquez sur Configurer et effectuez les opérations suivantes :
1. Select la case à cocher pour activer Allow users to approve system extensions.
2. Select Type comme Allowed System Extensions.
3. Enter 24W52P9M7W in Team Identifier.
4. Cliquez sur +Add et entrez com.Netskope Client.Netskope Client.NetskopeClientMacAppProxy
  
  dans Allowed System Extensions.
Cliquez sur Save.

Pré-approbation de l'autorisation d'accès au disque complet pour macOS 14 (Sonoma) et les versions ultérieures

Le site Netskope Client sur macOS nécessite des autorisations d'accès intégral au disque pour diverses fonctionnalités fondamentales. La configuration suivante permet de pré-approuver ces autorisations et de supprimer les notifications de demande d'approbation de la part de l'utilisateur final.

Pour configurer l'autorisation d'accès au disque complet dans Jamf School :

Dans la console de l’école Jamf, allez à Profiles.
Select et ouvrez le profil requis.
Cliquez sur Scope.
1. Cliquez sur + pour ajouter le groupe souhaité.
2. Cliquez sur Save.
Cliquez sur Security & Privacy.
Cliquez sur Configure et effectuez les opérations suivantes :
1. Cliquez sur l'onglet Privacy.
2. Faites défiler jusqu’à System Policy All Files.
3. Cliquez sur Add new.
4. Cliquez sur Select Application.
5. Saisissez les informations suivantes :
  - Saisissez le nom.
  - Enter com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy in Identifier.
  - Select Bundle ID pour Identifier Type.
6. Entrez l’ancrage Apple générique et identifiant suivant dans Code Requirement.
```
"com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")
```
Cliquez sur Save.

Pré-approbation de la fenêtre contextuelle du VPN pour l'App Proxy

Le site Netskope Client sur macOS installe une extension réseau qui déclenche des mises à jour des paramètres réseau du périphérique. La configuration suivante permet de pré-approuver ces mises à jour et de supprimer les notifications de demande d'approbation de la part des utilisateurs finaux.

Pour configurer :

Dans la console de l’école Jamf, allez à Profiles.
Select et ouvrez le profil requis.
Cliquez sur Scope.
1. Cliquez sur + pour ajouter le groupe souhaité.
2. Cliquez sur Save.
Cliquez sur VPN.
Cliquez sur Configure et effectuez les opérations suivantes :
1. Entrez n’importe quel nom dans Connection Name.
2. Select Custom SSL dans Connection Type.
3. Enter com.netskope.client.Netskope-Client in Identifier.
4. Dans Designated Requirement, entrez ce qui suit :
```
anchor apple generic and identifier”com.netskope.client.Netskope-Client” and (certificateleaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificateleaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificateleaf[subject.OU] = “24W52P9M7W”)
```
5. Select App-Proxy dans Provider Type.
6. Entrez l'URL de la passerelle Netskope pour le locataire dans Serveur : gateway-<tenant_hostname>.goskope.com
Cliquez sur Save.

Suppression de Restrict App Proxy

Netskope recommande d'ajouter le paramètre de déploiement facultatif Restrict App Proxy Removal pour gérer les autorisations des utilisateurs concernant les extensions de système dans macOS 15 (Sequoia) et supérieur. Ces contrôles empêchent l'utilisateur de supprimer l'extension système spécifiée.

Pour limiter la suppression du proxy de l'application :

Dans la console de l’école Jamf, allez à Profiles.
Select et ouvrez le profil requis.
Cliquez sur Scope.
1. Cliquez sur + pour ajouter le groupe souhaité.
2. Cliquez sur Save.
Cliquez sur Restrictions.
Cliquez sur Configure et effectuez les opérations suivantes :
- Sous Preferences, sélectionnez Restrict items in System Preferences.
- Select éléments (réseau dans le cas présent)
Cliquez sur Save.

Pousser les certificats racine et locataire de Netskope à travers Jamf School

Fournissez une confiance supplémentaire aux utilisateurs finaux en poussant les certificats Netskope lors de l'installation du client. Avant de transférer les certificats racine et locataire, veillez à effectuer les opérations suivantes :

Téléchargez les certificats racines et locataires depuis la page des certificats Netskope.
1. Connectez-vous à la console d'administration du locataire de Netskope avec vos identifiants d'administrateur.
2. Allez sur Settings > Manage > Certificates > SIGNING CA. Les options de téléchargement du certificat sont affichées dans la section Configuration du certificat.
Convert the downloaded certificates to .cer format by renaming the .pem files to .cer.

Suivez les étapes suivantes pour ajouter des certificats à Jamf School :

Dans la console de l’école Jamf, allez à Profiles.
Select et ouvrez le profil requis.
Cliquez sur Scope.
1. Cliquez sur + pour ajouter le groupe souhaité.
2. Cliquez sur Save.
Cliquez sur Certificates.
1. Dans Select your file, cliquez sur Choose File et téléchargez le certificat racine.
2. Cliquez sur Upload Certificate.
3. Répétez les mêmes étapes pour télécharger le certificat intermédiaire Netskope.
Cliquez sur Save.

Créer un profil personnalisé pour PLIST

N'utilisez cette section que si vous effectuez un déploiement à l'aide de PLIST.

Allez sur Profiles.
Cliquez sur +Create Profile.
Cliquez sur Upload Custom Profile.
Téléchargez le fichier .mobileconfig (vérifiez les conditions préalables au téléchargement du fichier) dans le fichier Profil.

L'interface webUI affiche désormais Configuration de l'e-mail dans Paramètres de ce profil.
Cliquez sur Next.
Voici Profile Name et Description.
Cliquez sur Next.
Activez Use time filter et sélectionnez l'heure et le jour en fonction de vos besoins.
Cliquez sur Finish.

Cliquez sur le profil créé et mappez le groupe périphérique respecté.

Configuration des paramètres de script et d'installation

Dans cette section, ajoutez des scripts dans Jamf School qui faciliteront ultérieurement l'inscription des utilisateurs en fonction de la méthode d'inscription choisie. Utilisez la méthode d'inscription de votre choix parmi les suivantes et procédez au déploiement. Pour plus d'informations, consultez la section Scripts.

Copiez et collez le script shell du fichier nsclientconfig.sh téléchargé depuis le portail d'assistance Netskope. Pour plus d'informations, consultez la section Conditions préalables.

Méthode d'inscription des utilisateurs	Configuration Parameter
Mode IDP mono-utilisateur	Pour ajouter un script New en mode IDP Single-User : Allez à Scripts > +Create New Script. Effectuez les opérations suivantes : Saisissez l'adresse Name pour le script. Select bash dans Type. Select Just once dans when to run. Copiez-collez le script ci-dessus dans la section contenu et modifiez-le comme suit à la ligne 62 : Supprimer le "#" initial Replace Domain name=. For example, goskope.com. Tenant name=. For example, if your tenant URL is example.goskope.com, then enter only example. Option de demande d'adresse e-mail. Remplacer Saisissez 0 si vous ne souhaitez pas demander l'adresse e-mail de l'utilisateur. Saisissez 1 pour la demander. Ajoutez enrollencryptiontoken si nécessaire. For example, enrollencryptiontoken=51696332b0116a7f446077xxxxxxxxxx. Obtenez votre jeton de chiffrement à partir de Paramètres > Security Cloud Platform > MDM Distribution > Secure Enrollment. Cliquez sur + pour ajouter le groupe de périphériques souhaité. Cliquez sur Save.
Mode multi-utilisateurs IDP	Pour ajouter un script New en mode IDP Multi-User : Allez à Scripts > +Create New Script. Effectuez les opérations suivantes : Saisissez l'adresse Name pour le script. Select bash dans Type. Select Just once dans when to run. Copiez-collez le script ci-dessus dans la section contenu et modifiez-le comme suit à la ligne 62 : Supprimer le "#" initial Replace Domain name=. For example, goskope.com. Tenant name=. For example, if your tenant URL is example.goskope.com, then enter only example. Option de demande d'adresse e-mail. Remplacer Saisissez 0 si vous ne souhaitez pas demander l'adresse e-mail de l'utilisateur. Saisissez 1 pour la demander. Entrez peruserconfig pour spécifier le mode de déploiement multi-utilisateurs de l'IDP. Ajoutez enrollencryptiontoken si nécessaire. For example, enrollencryptiontoken=51696332b0116a7f446077xxxxxxxxxx. Obtenez votre jeton de chiffrement à partir de Paramètres > Security Cloud Platform > MDM Distribution > Secure Enrollment. Cliquez sur + pour ajouter le groupe de périphériques souhaité. Cliquez sur Save.
PLIST	Pour ajouter un script New à l'aide de PLIST : Allez à Scripts > +Create New Script. Effectuez les opérations suivantes : Saisissez l'adresse Name pour le script. Select bash dans Type. Select Just once dans when to run. Copiez-collez le script ci-dessus dans la section contenu et modifiez-le comme suit à la ligne 68 : Remplacez-le par un add-. Par exemple, si les administrateurs accèdent à la console d’administration Netskope via acme.goskope.com alors l’URL de l’extension est addon-acme.goskope.com. Remplacer avec l'ID d'organisation disponible dans l'interface web de distribution MDM de votre locataire. Laissez les éléments suivants car il s'agit d'une valeur statique : `com.netskope.client.Netskope-Client.plist`. Laissez le texte suivant car il s'agit d'une valeur statique : preference_email Si l'inscription sécurisée est activée, ajoutez les paramètres d'inscription et les jetons d'authentification et de chiffrement : enrollencryptiontoken=<encryption token> enrollauthtoken=<jeton d'authentification><authentication token> Obtenez votre jeton d'authentification et votre jeton de chiffrement à partir de Paramètres > Security Cloud Platform > MDM Distribution > Secure Enrollment. Cliquez sur + pour ajouter le groupe de périphériques souhaité. Cliquez sur Save.

Créer une application

Vous pouvez utiliser l'option In-House macOS Package pour télécharger le paquet macOS vers Jamf School.

Pour créer une application :

Allez à Apps > Inventory.
Cliquez sur + Add App.
Select Add In-House macOS Package.
Dans Add In-House macOS package,, cliquez pour sélectionner le fichier .pkg de Netskope macOS. téléchargé sur le site de l'assistance Netskope.
Cliquez sur Close.

La section Apps affiche les détails de l'application téléchargée.
Cliquez sur l'icône de modification pour ajouter les groupes de périphériques respectifs à cette demande.

Créer un groupe périphérique

Utilisez les groupes de périphériques pour classer vos périphériques en fonction de leurs attributs. Pour plus d'informations, consultez les groupes de périphériques.

Pour créer un groupe périphérique :

Connectez-vous à l’école JAMF.
Allez à Devices > Device Groups.
Dans la page Groups , cliquez +Add Group.
Dans le groupe Add device, effectuez les opérations suivantes :
1. Saisissez le nom du groupe périphérique.
2. Saisissez la description du groupe périphérique.
3. Select Groupe statique ou Groupe intelligent.
  
  Le présent document traite de l'option du groupe statique.
4. Dans Options, configurez les exigences souhaitées.
5. Cliquez sur Next.
6. Dans Profiles, sélectionnez le profil que vous souhaitez ajouter au groupe intelligent pour une installation automatique ou à la demande. Cliquez sur les onglets Automatique/Sur demande pour sélectionner.
7. Cliquez sur Next.
8. Dans Apps, sélectionnez le périphérique sur lequel vous souhaitez installer des applications automatiquement ou à la demande. Cliquez sur les onglets Automatique/Sur demande pour sélectionner.
9. Cliquez sur Next.
10. Dans Documents, sélectionnez les documents dans la liste pour une installation automatique ou à la demande.
11. Cliquez sur Next.
12. Dans Members, sélectionnez le périphérique que vous souhaitez ajouter à ce groupe de périphériques.
Cliquez sur Finish.

La page Groupes affiche les détails du groupe de périphériques créé.

Vérification de l'installation du client

Vérifiez les journaux d'installation sur la machine de l'utilisateur dans le dossier /var/log/install.log. Si le script de téléchargement de la configuration utilisateur échoue et que le programme d'installation Netskope Client est exécuté, le programme d'installation se termine et affiche le message "Configuration file missing, aborting installation ! message d'erreur".

Vérifiez l'état de l'installation de Netskope Client

Pour vérifier l'état de chaque périphérique, allez sur Computer > Policies et cliquez sur la politique que vous avez créée.
Cliquez sur le bouton Logs en bas pour afficher les fichiers journaux de chaque périphérique, puis cliquez sur le bouton Show.

Confirmation de l'approbation de l'extension du site Netskope Client

Pour confirmer que l'extension Netskope Client a été approuvée et que le client fonctionne, exécutez la commande suivante dans votre fenêtre de terminal macOS :

systemextensionsctl list

Le résultat devrait ressembler à ceci :

% systemextensionsctl list  
1 extension(s)
--- com.apple.system_extension.network_extension
enabled active teamID bundleID (version) name [state]
* * 24W52P9M7W com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy (85.2.0.269/1) 
NetskopeClientMacAppProxy [activated enabled]

En outre, inspectez les préférences du système et l'interface utilisateur du réseau pour confirmer que l'extension Netskope Client est active.

Désinstallation Netskope Client

Consultez la rubrique Désinstallation du site Netskope Client pour savoir comment désinstaller le site.Netskope Client