Gestion des jetons d’inscription - Documentation technique Netskope

Ce document fournit des conseils sur la gestion des jetons pour le service d'enrôlement sécurisé. Le service d'inscription sécurisée dispose de deux jetons qui sont énumérés ci-dessous :

Authentication token: Ce jeton est utilisé pour créer un paramètre d'authentification pour les utilisateurs lorsque Netskope Client est déployé pour utiliser User Principal Name (UPN) ou NPA Prelogon comme identifiants d'utilisateur sur les systèmes. Ce jeton doit obligatoirement être configuré et poussé sur la machine finale lorsque Netskope Client utilise UPN et/ou NPA Prelogon.
Encryption token: Ce jeton est utilisé pour crypter les fichiers de configuration de l'inscription en plus de TLS sur le canal de communication. S'il est activé et appliqué, ce jeton doit être présent sur les machines de l'utilisateur final dans les modes d'enrôlement UPN et idP.

Ce jeton est facultatif et peut être activé en fonction de vos besoins.

Pour créer les jetons d'authentification et de chiffrement, accédez à Settings > Security Cloud Platform > Netskope Client > MDM Distribution > Secure Enrollment.

Avec la version 129.0.0, Netskope a séparé les éléments suivants :

Secure enrollment Service enablement.
Création et application de jetons d'inscription sécurisés.

L'enrôlement sécurisé est disponible depuis la version 116.1.0.

Cela vous permet de :

Activez l'enrôlement sécurisé à l'aide de l'option de basculement Secure enrollment service.
Générez et appliquez le(s) jeton(s) d'inscription sécurisé(s) en utilisant l'option "Create Tokenset" (Créer un jeu de jetons).

Il est obligatoire de pousser le jeton d'authentification pour l'UPN et le jeton de cryptage (s'il est généré) pour l'UPN et l'IDP sur la machine finale avant d'activer le service d'enrôlement sécurisé pour éviter les problèmes d'enrôlement.

Grâce à la prise en charge de deux jetons, les administrateurs peuvent :

Créez deux ensembles de jetons d'authentification et de chiffrement à l'aide de l'outil Créer un ensemble de jetons. C'est facultatif pour créer le jeton de chiffrement.
Supprimez un jeu de jetons après avoir sélectionné l'option d'annulation du jeu de jetons. Vous ne pouvez pas supprimer un jeu de jetons si les jetons sont déjà appliqués pour le déploiement du client.
Prolongez la date d'expiration du jeton en fonction des options définies dans l'interface utilisateur Web. La webUI affiche N/A dans la colonne Date d'expiration si les jetons ne sont pas appliqués. Pour plus de détails, reportez-vous à Enforce Tokens.

Créez le jeu de jetons New

Cliquez sur Create TokenSet pour créer un jeu de jetons New dans la webUI. Une fois que vous avez ajouté un autre jeu de jetons, l'interface utilisateur Web n'affiche que le jeton d'authentification. Ajout Les jetons de chiffrement sont facultatifs et vous pouvez utiliser l'option +Add Token pour créer les jetons de chiffrement.

Vous pouvez utiliser ces jetons dans les commandes ou les scripts utilisés lors du déploiement de Netskope Client. Consultez les options suivantes de l'interface webUI qui peuvent vous aider à rendre les jetons opérationnels :

Copier le jeton : Utilisez cette option pour copier les jetons d'authentification ou de cryptage d'un simple clic de souris.
Afficher/masquer le jeton : Les jetons sont générés par défaut dans un état caché. Utilisez l'option Afficher/Masquer pour les visualiser.
Supprimer le jeton : Supprimer un jeton lorsqu'il n'est pas en état d'être appliqué.

Ajouter un jeton de chiffrement

L'ajout d'un jeton de chiffrement étant une tâche facultative, les administrateurs doivent les créer manuellement. Cliquez sur + Add Token dans la colonne Jeton de cryptage.

Ajoutez toujours un jeton de chiffrement avant d'appliquer les jetons.

Activer le service d'inscription sécurisée

L'inscription sécurisée est un mécanisme qui permet d'appliquer l'authentification stricte de l'inscription Netskope Client. Utilisez cette option pour vous assurer que les inscriptions sur Netskope Client sont authentifiées et sécurisées.

Netskope conseille d’activer cette fonctionnalité pour éviter tout problème d’inscription. Cette fonctionnalité résout le problème de vulnérabilité de sécurité que Netskope a déjà communiqué dans Netskope Security Advisory : NSKPSA-2024-001.

Enforce Token

Utilisez cette option pour imposer l'installation de Netskope Client à l'aide de jetons d'inscription sécurisés. Pour activer l'application des jetons, cliquez sur l'ellipse (...) et sélectionnez Appliquer.

- Veillez à activer l'option Secure Enrollment Service avant d'appliquer les jetons.
- Veillez à appliquer votre/vos jeton(s) pour qu'il(s) prenne(nt) effet. Appliquez chaque ensemble de jetons de manière indépendante.

Utilisez l'option Do Not Enforce pour désactiver la fonction Enforce.

Token Expiry

Après avoir cliqué sur Enforce, vous pouvez définir les détails de l'expiration du jeton sur Add Expiration For Token(s). Select une date d'expiration parmi les options suivantes affichées dans le menu déroulant :

7 jours à partir d'aujourd'hui
30 jours à partir d'aujourd'hui
60 jours à partir d'aujourd'hui
90 jours à partir d'aujourd'hui (option par défaut)
180 jours à partir d'aujourd'hui
365 jours à partir d'aujourd'hui

Cliquez sur Save pour appliquer la date d'expiration. La date enregistrée s'affiche alors dans la colonne Date d'expiration. Entre-temps, utilisez le bouton d'édition (icône de crayon) pour changer ou modifier la date d'expiration.

Notification par courriel

La fonction de notification par courriel de l'expiration des jetons d'inscription sécurisée garantit que les administrateurs reçoivent des alertes en temps utile avant l'expiration de leurs jetons d'inscription sécurisée. L'inscription sur le site Netskope Client peut échouer si les administrateurs laissent s'écouler le délai d'expiration d'un jeton sans le prolonger. Grâce à ces rappels automatisés, le service permet de maintenir un déploiement continu du client et d'éviter les oublis administratifs qui pourraient entraîner des interruptions de service.

Pour activer cette option, accédez à Settings > Security Cloud Platform > Netskope Client > MDM Distribution. Localisez le paramètre permettant d'être notifié lorsqu'un jeton expirera bientôt sous Secure Enrollment.

Dans Notify administrators when tokens expire, ajoutez les adresses électroniques des administrateurs qui doivent recevoir ces alertes. Vous pouvez ajouter un maximum de 25 adresses électroniques. Aucune notification par courrier électronique n'est envoyée après l'expiration d'un jeton.

Vérifiez que l'inscription sécurisée est appliquée. Les notifications par e-mail ne sont déclenchées que si vous avez activé l'inscription sécurisée. Cela permet d'éviter tout flux de courriels non souhaité.

Une fois configuré, le service envoie automatiquement des notifications par courrier électronique aux intervalles suivants avant l'expiration d'un jeton :

30 jours
15 jours
7 jours
1 jour

Supprimer l'ensemble de jetons

Les administrateurs ne peuvent supprimer le jeu de jetons que si les jetons ne sont pas appliqués. Si les jetons sont appliqués, désactivez-les d'abord, puis supprimez les jetons. L'option Supprimer est grisée lorsque les jetons sont appliqués.

Service de configuration sécurisée

Netskope Client Secure Configuration est une amélioration de la sécurité qui garantit l'intégrité des configurations client téléchargées à l'aide d'API par Netskope Client contre toute attaque de falsification et des scénarios tels que MITM.

Prerequisite: Activez le service d'inscription sécurisée avant d'activer le service de configuration sécurisée.
Supported Netskope Client version: 123.0.0 ou plus récent

Activer le service de configuration sécurisée

Pour activer cette option, faites basculer le Service de configuration sécurisée pour qu'il conserve le statut Activé.

La désactivation du service d'inscription sécurisée peut entraîner la désactivation automatique du service de configuration sécurisée.

Pour les versions antérieures à 123.0.0, Netskope Client Il se peut que le téléchargement de la configuration du client échoue et que les événements relatifs à l'état du client ne soient pas signalés dans la page périphérique après l'activation des services d'enrôlement sécurisé et de configuration sécurisée.