Appliquer l'inscription pour les Netskope Client

L'enrôlement obligatoire des utilisateurs est une amélioration cruciale de la sécurité qui garantit que tout le trafic des utilisateurs finaux est soumis aux politiques de sécurité de votre organisation, assurant ainsi l'application de ces politiques. Cela permet de renforcer immédiatement la conformité de la sécurité après l'installation de Netskope Client, en particulier dans un environnement géré.

Supported OS: Windows, macOS

En rendant l'inscription obligatoire, vous empêchez les utilisateurs de contourner les contrôles de sécurité en ignorant de s'inscrire sur le site Netskope Client . Cette mesure élimine le risque important que des utilisateurs finaux non inscrits accèdent à l'internet sans aucune mesure de sécurité. Elle comble une lacune courante qui permettait aux utilisateurs de contourner les politiques de l'organisation et d'exposer le réseau à des menaces.

Enfin, l'inscription obligatoire garantit l'application de la politique, ce qui aide votre organisation à maintenir la conformité et à réduire les risques en s'assurant qu'aucun trafic non géré n'échappe aux contrôles de sécurité essentiels. Il prend en charge les paramètres d'installation configurables, la gestion des exceptions, la fréquence de notification personnalisable et fonctionne sur plusieurs plates-formes OS.

Modes d'enrôlement des clients pris en charge

Reportez-vous au tableau suivant pour comprendre le mode d'enrôlement pris en charge dans un environnement mono-utilisateur ou multi-utilisateurs.

Configuration de l'inscription forcée

Les administrateurs peuvent déployer Netskope Client dans le périphérique utilisateur final via le mode IDP , exigeant que les utilisateurs s’inscrivent avec leurs identifiants de connexion. Auparavant, les utilisateurs finaux pouvaient indéfiniment contourner l’inscription client, créant ainsi des risques et vulnérabilités de sécurité importants. Utilisez les étapes suivantes pour atténuer les menaces et vulnérabilités de sécurité :

Étape 1 : Configurer l'enrôlement obligatoire sous le profil de configuration de pilotage

Les administrateurs peuvent désormais imposer Netskope Client 'inscription via l’option Enforcer l’inscription dans l’interface web Steering Configuration. Cette fonctionnalité permet également aux administrateurs de spécifier certaines destinations auxquelles les utilisateurs finaux peuvent accéder même sans inscription client. Pour en savoir plus, consultez la Configuration de la direction (Aller à l’étape 7).

Step 2: Installation Parameters

Après avoir établi la configuration de pilotage, l'administrateur peut copier l'ID du profil de pilotage et l'inclure dans la commande MSIEXEC ou les scripts MDM utilisés pour installer Netskope Client sous Windows et macOS. Par exemple :

• Sous Windows, l’administrateur doit modifier la commande MSIEXEC pour installer Netskope Client et inclure les paramètres suivants : enforceenrollsteeringprofileid et enforceenrollfrequency pour imposer l’inscription aux utilisateurs. Pour en savoir plus, consultez Netskope Client pour Windows.

  Option de déploiement	Command
  Single -user mode installation	msiexec /I NSClient.msi tenant=<tenant-name> domain=[region.]<tenant-domain> installmode=idp host=addon-<tenant-name>.[region.]<tenant-domain> token=<Organization ID>[enrollauthtoken=<Authentication Token>] [enrollencryptiontoken=<Encryption Token>] [enforceenrollsteeringprofileid=<steering profile ID>] [enforceenrollfrequency=<time in minutes>] [/l*v %PUBLIC%nscinstall.log] Exemple : msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=idp host=addon-corp.goskope.com token=XXX enrollencryptiontoken=XXX enforceenrollsteeringprofileid=XXX enforceenrollfrequency=1
  Multi-user mode installation	msiexec /I NSClient.msi tenant=<tenant-name> domain=[region.]<tenant-domain> installmode=idp mode=peruserconfig host=addon-<tenant-name>.[region.]<tenant-domain> token=<Organization ID>[enrollauthtoken=<Authentication Token>] [enrollencryptiontoken=<Encryption Token>] [enforceenrollsteeringprofileid=<steering profile ID>] [enforceenrollfrequency=] [/l*v %PUBLIC%nscinstall.log] Exemple : msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=idp enrollencryptiontoken=XXX mode=peruserconfig enforceenrollsteeringprofileid=XXX enforceenrollfrequency=1 host=addon-corp.goskope.com token=XXX [/qn]

• Sous macOS, pour obtenir des instructions spécifiques à la gestion des appareils mobiles (MDM) concernant le déploiement Netskope Client, consultez la section Options de déploiement Netskope Client (l'administrateur doit modifier les scripts disponibles pour déployer Netskope Client à l'aide de n'importe quel MDM pour macOS (mode IDP) afin d'activer l'inscription obligatoire pour tout utilisateur).

  sudo ./nsclientconfig.sh 0 0 0 idp <domain> <tenant-name> <email address request> enrollencryptiontoken=<Encryption Token> host=addon-<tenant-name>.<domain> token=<Organization ID> enforceenrollfrequesncy=<minutes> enforceenrollsteeringprofileid=<steering profile id> 
  

  Exemple : sudo ./nsclientconfig.sh 0 0 0 idp goskope.com corp 1 enrollencryptiontoken=XXX host=addon-corp.goskope.com token=XXX enforceenrollfrequesncy=1 enforceenrollsteeringprofileid=XXX


Netskope Client Exécution des inscriptions à l'aide de l'IDP

Après l'installation de Netskope Client, Netskope Client invite l'utilisateur final à s'inscrire à Netskope Client en fournissant ses identifiants de connexion IDP à l'aide de la fenêtre contextuelle Enroll Netskope Client.

Si l'utilisateur final choisit de différer l'inscription, la fonction Renforcer l'inscription garantit qu'il continuera à recevoir des rappels pour terminer l'inscription. L'intervalle de temps défini par l'administrateur dans la commande détermine la fréquence de ces rappels. L'utilisateur peut cliquer sur le bouton Inscrire dans la notification pour terminer l'inscription.

Jusqu'à ce que l'utilisateur final ait terminé son inscription, le site Netskope Client bloque tout le trafic web, c'est-à-dire Ports TCP 80 et 443. Pendant cette période, les utilisateurs finaux reçoivent une notification pop-up persistante "Accès refusé" pour le trafic bloqué.

Comportement après la désactivation ou la désinscription du tunnel de sécurité Internet

Un utilisateur final peut désactiver ou désinscrire Netskope Client en utilisant l'une des options suivantes :

• L’administrateur peut permettre à l’utilisateur de désactiver le tunnel de sécurité Internet en utilisant Autoriser la désactivation de tous les services clients ensemble ou Autoriser la désactivation de la sécurité Internet. Si le tunnel de sécurité Internet est désactivé via ces options, alors le trafic est autorisé à aller directement à destination.

• L’administrateur peut permettre aux utilisateurs de se désinscrire de Netskope Client: Dans ce scénario, le trafic est autorisé à aller directement vers la destination jusqu’à ce que le périphérique soit redémarré ou que le service client stAgentSvc soit redémarré. Le tableau suivant fait référence aux différents types de gestion du trafic juste après que l’utilisateur s’est désinscrit de Netskope Client:

  	Tous les trafics	Trafic web	Applications en nuage uniquement
  Comportement après le redémarrage du périphérique ou du service client (stAgentsvc)	Bloque tout le trafic jusqu'à ce que l'utilisateur s'inscrive à Netskope Client.	Bloque le trafic web jusqu'à ce que l'utilisateur s'inscrive à Netskope Client.	Bloque le trafic des applications en nuage jusqu'à ce que l'utilisateur s'inscrive à Netskope Client.