Enterprise Browser pour les administrateurs

Pour commencer (Guide de démarrage rapide)

Configuration SAML ET SSO pour Enterprise Browser

Le Enterprise Browser utilise des configurations de proxy explicite dans le cloud et de proxy de transfert ; par conséquent, tous les protocoles SSO et SAML pris en charge sont compatibles.

Pour en savoir plus : instructions de configuration complètes concernant la configuration SAML/SSO pour Enterprise Browser

Flux principaux

Configuration du navigateur (Admin)

Avant d'inviter les utilisateurs à installer Netskope Enterprise Browser et de définir des politiques, vous devez configurer les configurations de base du navigateur Enterprise Browser.

Path: Settings → Security Cloud Platform → Enterprise Browser → Browser Setup

• Set up the identity provider:
  • Allez à la section Forward Proxy SAML pour connecter votre fournisseur d'identité au Forward Proxy de Nestkope. Cela permettra à Netskope d'authentifier les utilisateurs à l'aide de Netskope Enterprise Browser. Select Méthode d'accès = "Enterprise Browser".
    

• Set up the Bypass Settings:
  

Les demandes entrantes d'EB ne sont acceptées que lorsque l'utilisateur est authentifié auprès du SSO du client, tel que configuré à l'étape précédente.

• Vous devez spécifier vos domaines IdP pour permettre l'authentification des utilisateurs à votre SSO. Si vous n'incluez pas vos domaines IdP dans cette liste, les utilisateurs ne pourront pas accéder à vos domaines IdP pour s'authentifier, et ils ne pourront pas utiliser Enterprise Browser.
  
• ex. Si votre IdP est Okta, vous devrez inclure : *.okta.com, *.oktacdn.com, chacun sur une ligne distincte.
  

(Admin) Approvisionnement des utilisateurs

Vous pouvez inviter les utilisateurs à télécharger et à installer Netskope Enterprise Browser. Configurez le style et le contenu des courriels d'invitation et d'installation en modifiant le logo, la couleur du bouton et les modèles ci-dessous.

Path: Settings → Security Cloud Platform → Enterprise Browser → User Provisioning

• Provisioning Users: cliquez sur le bouton Inviter des utilisateurs. Select utilisateurs, groupes d'utilisateurs ou OUs que vous souhaitez embarquer pour utiliser Netskope Enterprise Browser.
  

Les invitations individuelles seront envoyées à l'aide du modèle d'invitation par courriel. Vous pouvez modifier le modèle et/ou utiliser le logo de votre entreprise.

Notes :

1. L'invitation d'un utilisateur qui a déjà été invité renverra l'e-mail d'accueil. La clé de licence reste la même.
   
2. L'option « Ne pas envoyer d'e-mail d'intégration » est utilisée dans les scénarios de déploiement MDM, lorsque les administrateurs doivent provisionner l'utilisateur dans le service Enterprise Browser avant d'exécuter le script MDM.
   

(Admin) Mise en place de votre première politique RTP pour l'application Enterprise Browser

Vous pouvez définir vos propres politiques de protection en temps réel (RTP) avec le navigateur Netskope Enterprise Browser.

Path: Policies → Real-time Protection

• Pour les politiques d'accès au web : par exemple vous pouvez créer une politique bloquant tout trafic vers les sites web d'une certaine catégorie (par ex. "News & Media"). Cliquez sur "New Policy" → "Web Access".
  • Vous sélectionnerez Access Method = “Enterprise Browser” pour appliquer ces politiques au trafic « Enterprise Browser »
    
  • Note : Si vous laissez la méthode d’accès vide, cela s’appliquera à toutes les méthodes d’accès, y compris EB (p. ex. « Client », « GRE », « Enterprise Browser »…)
    

• Pour les applications Cloud / politiques DLP (Prévention des pertes de données) : ex. Les administrateurs peuvent créer des politiques pour contrôler les activités dans les applications cloud et les combiner avec des profils DLP (Prévention des pertes de données) pour empêcher la fuite de données lorsque les utilisateurs d'EB interagissent. Ex. : bloquer les téléchargements de fichiers contenant des données sensibles depuis Google Drive... Cliquez sur « New politique » → « DLP (Prévention des pertes de données) ».
  

(Admin) Mise en place de votre premier contrôle du navigateur pour le Enterprise Browser

Vous pouvez définir des politiques de protection du navigateur (copier, coller, imprimer) et les appliquer dans Netskope Enterprise Browser.

Path: Policies → Enterprise Browser Control

• Select les utilisateurs ou les groupes d'utilisateurs ainsi que la destination auxquels vous souhaitez appliquer la politique. Vous pouvez créer des politiques très détaillées en tirant parti des catégories prédéfinies et personnalisées, ainsi que de toute application cloud (p. ex. Créer une politique pour bloquer la copie et l'impression dans Google Drive)
  

Note: Dans le cas improbable d'une erreur dans le traitement des politiques de protection Enterprise Browser, EB appliquera les actions de secours définies par le client dans

Path: Policies → Enterprise Browser Control → “Settings”

(Admin) Configurer les pages d'accueil de vos utilisateurs

La page d'accueil affichera une liste d'applications/sites Web qui peuvent être définis dans le panneau d'administration de l'interface utilisateur.

Les pages d'accueil sont associées à des groupes ou à des unités organisationnelles (OU). Cela signifie que l'utilisateur récupère les pages d'accueil appartenant à ses groupes et/ou unités organisationnelles.

Vue d'ensemble de l'architecture

Netskope Enterprise Browser est un navigateur sécurisé basé sur Chromium qui s'intègre directement à la plateforme Netskope One. Il fournit des contrôles de sécurité de niveau entreprise, des politiques de protection des données et une gestion centralisée, le tout appliqué via le Netskope Security Cloud sans qu'il soit nécessaire d'installer Netskope Client sur le terminal. Cette page explique comment l'Enterprise Browser s'intègre à l'architecture Netskope One et comment les politiques de sécurité sont délivrées.

Comment Enterprise Browser s'intègre dans Netskope One

Enterprise Browser est une méthode d’accès sans client au sein de la plateforme Netskope One. Il dirige tout le trafic de navigation vers Netskope Security Cloud, où les politiques de sécurité sont évaluées en ligne. L'architecture se compose des composants suivants :

• Enterprise Browser (terminal) — le navigateur sécurisé basé sur Chromium exécuté sur le périphérique de l'utilisateur. Il récupère la configuration à partir du cloud Netskope et route tout le trafic Web à travers la périphérie Netskope pour inspection.
  
• Edge Proxy (NewEdge) — le service de périphérie Netskope qui reçoit tout le trafic de Enterprise Browser. Il authentifie le navigateur, applique les politiques de sécurité en ligne et renvoie les décisions de politique au navigateur pour une application locale.
  
• Netskope Policy Engine : évalue les politiques de protection en temps réel et les politiques de protection du navigateur pour chaque demande, déterminant les actions autorisées ou bloquées.
  
• Service de configuration — gère la configuration du navigateur, l'inscription des utilisateurs et les définitions de la politique de protection du navigateur. Les administrateurs le configurent via la console d'administration Netskope One.
  
• Service de téléchargement : gère la distribution de l'installation du navigateur et les mises à jour automatiques.
  
• Console d’administration (WebUI) — l’interface web de Netskope One où les administrateurs activent l’Enterprise Browser, gèrent les utilisateurs, configurent les paramètres du navigateur et définissent des politiques de protection.
  

Pilotage du trafic

Tout le trafic web provenant d'Enterprise Browser est dirigé par le proxy Netskope Edge vers le datacenter NewEdge le plus proche. Cela permet de garantir :

• Tout le trafic est inspecté par le moteur de politiques Netskope,
  
• Les politiques de protection en temps réel (DLP (Prévention des pertes de données), protection contre les menaces, contrôle des applications cloud) s'appliquent aux sessions Enterprise Browser, et
  
• Les politiques de protection du navigateur sont évaluées en ligne et appliquées localement par le navigateur.
  

Le Enterprise Browser utilise le pinning de certificat pour sécuriser sa connexion au edge de Netskope.

Identification du navigateur

Enterprise Browser utilise un mécanisme d'identification sécurisé pour s'authentifier auprès de Netskope Security Cloud. Seules les instances Enterprise Browser autorisées — provisionnées par un administrateur du locataire — peuvent accéder à l'infrastructure Netskope via le point de terminaison de navigateur dédié.

Lorsqu'un utilisateur est inscrit, l'administrateur génère un identifiant unique associé à cet utilisateur et à ce locataire. Le navigateur utilise ces identifiants pour obtenir périodiquement un jeton de courte durée, qu'il inclut dans chaque requête vers le Edge de Netskope. Le Edge valide le jeton avant de traiter le trafic. Si la validation échoue, la connexion est rejetée.

Cette identification du navigateur fonctionne parallèlement à l'authentification des utilisateurs (SAML/SSO) ; les deux doivent réussir pour que le trafic soit traité.

Flux d'évaluation des politiques

Lorsqu'un utilisateur navigue dans Enterprise Browser, l'évaluation de la stratégie s'effectue comme suit :

1. Le navigateur envoie la demande au proxy de bordure de Netskope avec ses informations d'identification.
   
2. L'edge authentifie l'utilisateur via SAML et valide l'identité du navigateur.
   
3. Le moteur de politique Netskope évalue les politiques applicables pour la demande.
   
4. Les décisions de politique sont renvoyées au navigateur, qui les applique localement.
   

Si le navigateur ne peut pas atteindre le moteur de politique (par exemple, lors d'une interruption temporaire de la connectivité), des actions de repli s'appliquent. Les administrateurs définissent un comportement de repli dans la console d'administration pour garantir une posture de sécurité par défaut.

Politiques de protection du navigateur

Outre les politiques de protection en temps réel partagées avec d'autres méthodes d'accès Netskope, Enterprise Browser prend en charge un ensemble dédié de politiques de protection du navigateur qui contrôlent les actions côté client. Les administrateurs peuvent définir des politiques granulaires par utilisateur, groupe, application, catégorie ou destination. Les contrôles pris en charge comprennent :

• Copie — autoriser ou bloquer la copie de contenu depuis les applications protégées
  
• Coller — autoriser ou bloquer le collage de contenu dans des applications protégées
  
• Impression — Autoriser ou bloquer l'impression à partir d'applications protégées
  
• Capture et partage d'écran : autorisez ou bloquez la capture et le partage d'écran de contenu protégé
  
• Filigrane — affiche une superposition dissuasive visible sur le contenu sensible (nom d'utilisateur, horodatage, tenant)
  
• Masquage des données — masquez les modèles de données sensibles en temps réel
  
• Téléchargements de fichiers — restreindre ou contrôler les téléchargements de fichiers à partir d'applications protégées
  
• Contrôle des entrées de texte — restreint les entrées de texte dans des contextes spécifiques
  

Chemin d'accès : Politiques → Enterprise Browser Protection

Intégration de Private Access (NPA)

Le Enterprise Browser offre un accès sans client aux applications privées grâce à son intégration avec Netskope Private Access (NPA). Les utilisateurs peuvent accéder aux applications Web internes directement via le Enterprise Browser sans avoir besoin d'un VPN ou de Netskope Client. Les administrateurs configurent l'accès aux applications privées via des politiques NPA, et le Enterprise Browser applique les mêmes politiques de protection du navigateur aux applications privées qu'au trafic SaaS et Web.

Prise en charge multiplateforme

L'Enterprise Browser est disponible sur les plateformes suivantes :

• Windows : prise en charge complète du bureau avec les installateurs MSI et EXE pour le déploiement MDM et en libre-service
  
• macOS — support complet des postes de travail avec les installateurs PKG et DMG pour MDM et le déploiement en libre-service
  
• iOS et iPadOS – disponibles via l'App Store et le déploiement MDM
  
• Android et ChromeOS : disponibles via Google Play Store et Google Play géré
  

Toutes les plateformes partagent la même configuration centralisée et le même moteur de politique. Les différences d'application propres à chaque plateforme sont indiquées dans la documentation de chaque fonctionnalité.

Classification du périphérique

La prise en charge par Netskope Enterprise Browser de la vérification de la posture du périphérique et de la classification du périphérique permet aux administrateurs d'attribuer des étiquettes de classification de périphérique définies par le client aux périphériques non gérés (BYOD) et aux périphériques des sous-traitants, sans qu'il soit nécessaire d'installer le Netskope Client. Ces étiquettes peuvent ensuite être utilisées pour piloter l'accès Zéro Trust et les contrôles du navigateur en fonction du risque lié au périphérique.

This feature includes:

• Étiquettes de classification des périphériques définies par le client pour Enterprise Browser : créer des règles et des étiquettes de classification basées sur les signaux de posture collectés par Enterprise Browser (Windows et macOS).

Utilisez des classifications pour l'application des politiques :

• Politiques de protection en temps réel (RTP) pour le trafic d'Enterprise Browser : Appliquez des contrôles d'accès basés sur les étiquettes de classification des périphériques définies par le client.
• Politiques de protection des Enterprise Browser : Appliquez des contrôles de navigation basés sur la classification du risque du périphérique.

Key Posture Signals Supported (examples)

• Version du système d'exploitation : niveaux minimaux requis du système d'exploitation (Windows et macOS).
  
• Antivirus (AV) et pare-feu (FW) : vérification que le logiciel de sécurité local est présent et actif.
  
• Processus et fichiers : détection de processus en cours d'exécution spécifiés ou de l'existence de fichiers spécifiques (nécessite le chemin d'accès complet).
  
• Registre et certificats : vérifications avancées des clés de registre ou de certificats locaux spécifiques.
  
• Domaine AD : vérification de l'appartenance au domaine Active Directory.
  

Configuration de l'Enterprise Browser

Chemin d'accès : Paramètres → Security Cloud Platform → Enterprise Browser → User Provisioning

Pour activer l'Enterprise Browser pour un tenant dans la console d'administration Netskope One, vous avez besoin d'une licence Enterprise Browser active. Une fois activé, les administrateurs peuvent :

• Inscrire les utilisateurs et générer les informations d'identification (par invitation par e-mail ou MDM),
  
• Configurer les paramètres du navigateur et les politiques de protection,
  
• Définissez les critères de classification des périphériques, et
  
• Gérez les mises à jour du navigateur et le contrôle de version.
  

Remarque : La fonctionnalité Enterprise Browser doit être activée pour le locataire avant d'apparaître dans la console d'administration.

Considérations

Considerations include:

• Enterprise Browser n'est pas disponible via les POP chinois.
  
• Lors de l'utilisation d'Enterprise Browser avec Netskope Client, une exception d'application avec certificat épinglé doit être configurée pour éviter les conflits de trafic.
  
• L'identification du navigateur fonctionne parallèlement à l'authentification de l'utilisateur : les deux couches doivent être validées pour le traitement du trafic.
  
• La sélection du datacenter NewEdge utilise un routage basé sur le DNS, qui peut être différent du routage de Netskope Client sur le même périphérique.
  

Pour en savoir plus : Prérequis Enterprise Browser

Déploiement et installation

Installation de Windows

Compréhension des méthodes d'installation

Avant de choisir une méthode de déploiement, examinez les différences entre les options disponibles :

	MSI à l'échelle du système	MSI à l’échelle de l’utilisateur	Programme d’installation des invitations par e-mail
Installation scope	À l'échelle du système (C:\Program Files\Netskope\)	Per-user (%LOCALAPPDATA%\Netskope\)	Per-user (%LOCALAPPDATA%\Netskope\)
Admin privileges required	Oui	Non	Non
Profile creation	Étape distincte (script de remédiation)	Étape distincte (script en tant qu'utilisateur connecté)	Intégré (étape unique via un lien d'invitation)
Intended deployment method	MDM (application LOB Intune, SCCM), GPO, par script	MDM (application Intune LOB, contexte utilisateur), scripté	En libre-service via un lien d'invitation par e-mail
Auto-update	Oui (programme de mise à jour au niveau du système)	Oui (programme de mise à jour au niveau de l'utilisateur)	Oui (programme de mise à jour au niveau de l'utilisateur)
Visibility in system inventory	Oui (apparaît dans Ajout/Suppression de programmes pour tous les utilisateurs)	Limité (s'affiche uniquement pour l'utilisateur effectuant l'installation)	Limité (s'affiche uniquement pour l'utilisateur effectuant l'installation)
Filename	NetskopeSetupSystem-<MP>_<Version>.msi	NetskopeSetup-<MP>_<Version>.msi	NetskopeOnlineSetup-<MP>-<Version>.exe

When to use the system-wide MSI: Vous souhaitez un contrôle informatique centralisé sur le déploiement, la gestion des versions et la visibilité. Idéal pour les parcs gérés où le service informatique doit garantir que le navigateur est installé et enregistré. Nécessite des privilèges d'administrateur.

When to use the user-wide MSI: Vous souhaitez un déploiement géré par MDM sans requérir de privilèges d'administrateur. Le fichier MSI s'installe dans le répertoire %LOCALAPPDATA% de l'utilisateur, de la même manière que l'installateur d'invitation par e-mail, mais il peut être déployé et géré de manière centralisée via Intune ou à l'aide de scripts.

When to use the email invitation: Vous souhaitez une option légère en libre-service pour les utilisateurs sur des périphériques non gérés ou lorsque les privilèges d'administrateur ne sont pas disponibles et qu'aucune solution MDM n'est utilisée.

Téléchargement de l'installateur MSI

L'installateur MSI est disponible à partir de l'URL de téléchargement spécifique à votre locataire :

• Windows x64:
  

https://browser-downloads-<tenant-name>.goskope.com/mdm/win/x64/get/pkg

• Windows ARM64:
  

https://browser-downloads-<tenant-name>.goskope.com/mdm/win/arm64/get/pkg

Remplacez <tenant-name> par le nom du locataire de votre organisation.

Comportement de coexistence

Standardiser sur une méthode d’installation unique par périphérique. En cas de migration entre les méthodes, désinstallez d’abord la ou les installations existantes.

Déploiement du MSI à l’échelle du système

Le déploiement MSI à l'échelle du système se déroule en deux étapes :

1. Installez le paquet MSI via une application sectorielle s'exécutant en tant que System.
   
2. Créer un profil de navigateur en exécutant un script de remédiation en tant que logged-on user.
   

Étape 1 : Installation du fichier MSI à l'échelle du système

Creating the Line-of-Business App in Intune

1. Dans le centre d'administration Intune, allez dans Apps > All apps > Add.
   

   

   
   
2. Dans le volet Select app type, sous Other, sélectionnez Line-of-business app et cliquez sur Select.
   

   

   
   
3. Cliquez sur Select app package file et téléchargez le fichier MSI à l'échelle du système (par exemple, NetskopeSetupSystem-<MP>_<Version>.msi).
   

   

   
   
4. Dans l'onglet App information, configurez le nom, la description et l'éditeur.
   
5. Dans le champ Command-line arguments, saisissez :
   

/qn /norestart /l*v “%TEMP%\NetskopeInstall.log”

6. Définissez Ignore app version sur Yes. Enterprise Browser se met à jour automatiquement via son outil de mise à jour intégré, Intune ne doit donc pas essayer de mettre à jour l'application lors du chargement d'un nouveau MSI. Définissez ce paramètre sur No uniquement si vous avez l'intention de gérer les mises à jour de version en téléchargeant de New paquets MSI dans Intune.

7. Examinez et Create l'application.

Expected Install Locations

En cas de réussite d'une installation MSI à l'échelle du système, les chemins suivants sont alimentés :

• Browser: C:\Program Files\Netskope\Browser\Application
  
• Updater: C:\Program Files (x86)\Netskope\NetskopeBrowserUpdater
  
• Registry keys: HKLM\SOFTWARE\WOW6432Node\Netskope\Update
  

Étape 2 : Création du profil de l'utilisateur (à l'échelle du système)

La création de profil nécessite le contexte de sécurité de l'utilisateur connecté, car le profil est lié à l'identité de l'utilisateur et stocké dans son répertoire utilisateur Windows. Pour le MSI à l'échelle du système (qui s'installe en tant que SYSTEM via Intune), cela implique un script de correction distinct.

Créez une remédiation dans Devices > Scripts and remediations avec les scripts de détection et de remédiation décrits dans la section Scripts de création de profil ci-dessous.

Configurez la remédiation avec ces paramètres :

Setting	Value
Exécutez ce script à l'aide des informations d'identification de l'utilisateur connecté.	Yes
Exécuter le script dans PowerShell 64 bits	Yes

Définissez votre affectation et votre planification (par exemple, exécuter une fois par jour jusqu'à ce que le profil soit détecté).

Déploiement du MSI à l'échelle de l'utilisateur

Le déploiement du MSI par utilisateur se compose également de deux étapes, mais s'exécute entièrement dans le contexte de l'utilisateur :

1. Installez le package MSI via une application sectorielle attribuée à un user group.
   
2. Créer un profil de navigateur en exécutant un script de remédiation en tant que logged-on user.
   

Étape 1 : Installation du fichier MSI par utilisateur

Creating the Line-of-Business App in Intune

Suivez les mêmes étapes que pour le déploiement à l’échelle du système, avec les différences suivantes :

1. Dans l'onglet App information, définissez App install context sur User.
   

   

   
   
2. Téléchargez l'artefact MSI global pour l'utilisateur (par exemple, NetskopeSetup-<MP>_<Version>.msi).
   
3. Dans l'onglet Assignments, affectez l'application à un groupe d'utilisateurs (pas à un groupe de périphériques).
   

Les arguments de la ligne de commande sont les mêmes :

/qn /norestart /l*v “%TEMP%\NetskopeInstall.log”

Expected Install Locations

Lors d’une installation MSI réussie à l’échelle de l’utilisateur, les chemins suivants sont renseignés :

• Browser: %LOCALAPPDATA%\Netskope\Browser\Application
  
• Updater: %LOCALAPPDATA%\Netskope\NetskopeBrowserUpdater
  
• Registry keys: HKCU\Software\Netskope\Update
  

Étape 2 : création du profil utilisateur (à l'échelle de l'utilisateur)

L’étape de création du profil est identique à celle du déploiement à l’échelle du système. Utilisez les mêmes scripts de détection et de correction décrits ci-dessous. Les scripts détectent automatiquement les deux chemins d'installation.

Remarque : le profil créé porte le nom de l'adresse e-mail de l'utilisateur (la valeur transmise à –netskope-user-email). Voici ce que l'utilisateur voit dans l'interface utilisateur du profil du navigateur.

Scripts de création de profils

Les scripts suivants gèrent la création de profils pour les installations à l'échelle du système et par utilisateur. Ils vérifient d'abord le chemin à l'échelle du système, puis se replient sur le chemin par utilisateur.

Script de détection

$systemExe = “C:\Program Files\Netskope\Browser\Application\nsbrowser.exe”
$userExe = “$env:LOCALAPPDATA\Netskope\Browser\Application\nsbrowser.exe”

$browserExe = if (Test-Path $systemExe) { $systemExe }
elseif (Test-Path $userExe) { $userExe }
else { $null }

if (-not $browserExe) {
Write-Host “Netskope Enterprise Browser n'est pas installé.”
exit 0
}

$regPath = “HKCU:\Software\Netskope\Browser”
if (Test-Path $regPath) {
$props = Get-ItemProperty -Path $regPath -ErrorAction SilentlyContinue
if ($null -ne $props.LastProfileCreationStatus) {
$status = [int]$props.LastProfileCreationStatus
if ($status -eq 0 -or $status -eq 6) {
Write-Host “Le profil existe déjà (statut : $status).”
exit 0
}
}
}

Write-Host “Navigateur installé mais aucun profil trouvé. Remédiation requise.”
exit 1

Script de remédiation

Remplacez YOUR_MP_HOST et YOUR_TENANT_NAME par les valeurs de votre organisation. La valeur mpHost utilise le format nsbrowser-config.<MP>.goskope.com (par exemple, nsbrowser-config.sjc1.goskope.com).

Pour en savoir plus : Endpoints per Management Plane pour obtenir la liste complète des noms d’hôte des services de configuration par plan de gestion

$systemExe = “C:\Program Files\Netskope\Browser\Application\nsbrowser.exe”
$userExe = “$env:LOCALAPPDATA\Netskope\Browser\Application\nsbrowser.exe”
$logFile = “$env:TEMP\NetskopeProfileCreation.log”

$mpHost = “YOUR_MP_HOST”
$tenantName = “YOUR_TENANT_NAME”

$browserExe = if (Test-Path $systemExe) { $systemExe }
elseif (Test-Path $userExe) { $userExe }
else { $null }

$upn = (whoami /upn 2>$null)
if (-not $upn) {
$upn = [System.Security.Principal.WindowsIdentity]::GetCurrent().Name
}
$upn = $upn.Trim()

$timestamp = Get-Date -Format “yyyy-MM-dd HH:mm:ss”

function Write-Log {
param ([string]$Message)
$entry = “$timestamp – $Message”
Write-Host $entry
Add-Content -Path $logFile -Value $entry
}

if (-not $browserExe) {
Write-Log “ERROR: nsbrowser.exe not found. Le MSI est-il installé ?”
exit 1
}

Write-Log “Using browser at: $browserExe”

$arguments = @(
“–netskope-mp-host=$mpHost”,
“–netskope-user-email=$upn”,
“–netskope-tenant-name=$tenantName”,
“–no-startup-window”
)

Write-Log “Starting profile creation for: $upn”

try {
$process = Start-Process -FilePath $browserExe `
-ArgumentList $arguments `
-Wait -PassThru -NoNewWindow
$exitCode = $process.ExitCode
} catch {
Write-Log “ERROR: Failed to launch nsbrowser.exe: $_”
exit 1
}

switch ($exitCode) {
0 { Write-Log “Profile created successfully for $upn.”; exit 0 }
6 { Write-Log “Profile for $upn already exists.”; exit 0 }
7 { Write-Log “ERROR: Profile creation failed (exit code 7).”; exit 1 }
default { Write-Log “ERROR: Unexpected exit code: $exitCode”; exit 1 }
}

Référence des commandes MSI

Les options msiexec suivantes sont pertinentes lors du déploiement du MSI Enterprise Browser de Netskope :

Options msiexec standard

OPTION	Description
/i « path.msi »	Installer le paquet MSI spécifié
/x “path.msi”	Désinstaller le paquet MSI spécifié
/qn	Installation silencieuse (sans interface utilisateur)
/qr	Interface utilisateur réduite (barre de progression uniquement)
/qf	Interface utilisateur complète
/norestart	Supprimer le redémarrage même si cela est requis
/l*v “path.log”	Écrire un fichier journal détaillé (recommandé pour le dépannage)

Codes de sortie de dépannage

Le processus d'installation du MDM implique une chaîne de composants : programme d'installation MSI, programme d'installation hors ligne (meta-installer), exécutable d'installation et exécutable du navigateur. Chaque composant produit des codes d'état qui se propagent le long de la chaîne.

Codes de sortie du programme d'installation MSI

Voici les codes de sortie renvoyés par msiexec une fois l'installation du fichier MSI terminée. Vérifiez le code de sortie du processus msiexec dans vos rapports MDM pour déterminer le résultat de l'installation.

CODE DE SORTIE	NOM	Description	NOTES
0	ERROR_SUCCESS	L'action s'est déroulée avec succès.	Le navigateur a été installé et enregistré avec succès dans la liste des applications installées. Si une version antérieure existait avant l’exécution, l’entrée du navigateur et des applications installées a été mise à jour.
1602	ERROR_INSTALL_USEREXIT	L'utilisateur a annulé l'installation.	L'installation MSI a été interrompue par l'utilisateur.
1603	ERROR_INSTALL_FAILURE	Une erreur fatale s'est produite pendant l'installation.	Dans de rares cas, cela signifie que l'installation du navigateur a échoué (par exemple, en raison d'un espace disque insuffisant). Consultez le journal détaillé pour plus de détails.
1619	ERROR_INSTALL_PACKAGE_OPEN_FAILED	Impossible d'ouvrir ce package d'installation.	Renvoyé par msiexec.exe lorsqu'il ne parvient pas à trouver le fichier MSI spécifié. Les causes probables sont des antivirus ou des systèmes EDR qui interfèrent avec l'installation. Vérifiez que le paquet existe et qu'il est accessible.
1638	ERROR_PRODUCT_VERSION	Une autre version de ce produit est déjà installée.	Ce message s'affiche si une ancienne version d'Enterprise Browser était déjà installée et que le nouveau programme d'installation ne peut pas effectuer la mise à niveau. Désinstallez complètement l'ancienne version du navigateur et réessayez, ou utilisez ALLOWDOWNGRADE=1.

Un code de sortie d'erreur du MSI peut être provoqué par les conditions suivantes :

• l'installation du navigateur sous-jacent a échoué (par exemple, en raison d'un disque saturé)
  
• l'utilisateur a annulé l'exécution du paquet MSI
  
• le paquet MSI est introuvable ou inaccessible
  
• il existe une incompatibilité entre le paquet MSI actuellement installé et celui en cours d'exécution
  

États du registre du programme d'installation

Une fois l'installation du navigateur terminée, l'exécutable du programme d'installation écrit des données d'état supplémentaires dans le registre Windows. Ces valeurs fournissent plus de détails que le code de sortie MSI seul.

Pour system-wide MSI, les états sont écrits dans :

• HKLM:\SOFTWARE\WOW6432Node\Netskope\Update
  
• HKLM:\SOFTWARE\WOW6432Node\Netskope\Update\ClientState\{b65831c5-a4c1-4a0a-9d70-03488008ffea}
  

Pour user-wide MSI, les états sont écrits dans :

• HKCU:\Software\Netskope\Update
  

Les valeurs de registre suivantes sont disponibles :

KEY	Description
LastInstallerResult	Stocke la valeur 0 en cas de réussite de l'installation ou 1 en cas d'échec.
LastInstallerError	Stocke le code d'erreur du programme d'installation en cas d'échec de l'installation.
LastInstallerResultUIString	Stocke une chaîne lisible par l'homme décrivant l'échec de l'installation. Disponible lors d'une installation via le méta-installateur (en ligne ou hors ligne), mais non disponible lors d'une installation via MSI.

Pour récupérer ces valeurs après une installation MSI à l'échelle du système :

$RegPath = “HKLM:\SOFTWARE\WOW6432Node\Netskope\Update”
Get-ItemProperty -Path $RegPath -Name LastInstallerResult, LastInstallerError -ErrorAction SilentlyContinue

Pour récupérer ces valeurs après une installation MSI pour l'ensemble des utilisateurs :

$RegPath = “HKCU:\Software\Netskope\Update”
Get-ItemProperty -Path $RegPath -Name LastInstallerResult, LastInstallerError -ErrorAction SilentlyContinue

Codes de sortie de la création de profils

Lorsque nsbrowser.exe s'exécute en mode de création de profil, il écrit le résultat dans HKCU:\Software\Netskope\Browser sous deux valeurs : LastProfileCreationStatus (numérique) et LastProfileCreationStatusString (lisible par l'homme).

En cas d'échec, une troisième valeur, LastProfileCreationFailureDetail, contient une raison exploitable par machine : INVALID_PARAMS (paramètre requis manquant, répertorié dans la valeur), NOT_INTERACTIVE_SESSION, LICENSE_KEY_NOT_FOUND, LICENSE_KEY_TIMEOUT, LICENSE_KEY_PERMISSION_DENIED, LICENSE_KEY_SERVER_UNAVAILABLE, LICENSE_BLOCKED (licence supprimée ou désactivée), SYSTEM_PROFILE_UNAVAILABLE, PROFILE_MANAGER_UNAVAILABLE ou DIRECTORY_CREATION_FAILED.

VALUE	NAME	Description
0	PROFILE_CREATED	Le profil demandé a été créé avec succès.
6	PROFILE_WITH_NAME_EXISTS	Un profil portant le même nom existe déjà. Il s'agit d'une condition de réussite : le profil demandé est disponible.
7	PROFILE_CREATION_FAILED	Le profil demandé n'a pas pu être créé, ou une tentative de création de profil a été effectuée à partir d'une session non interactive ou avec des privilèges élevés.

Pour récupérer l’état de création du profil :

Get-ItemProperty -Path “HKCU:\Software\Netskope\Browser” -Name LastProfileCreationStatus, LastProfileCreationStatusString, LastProfileCreationFailureDetail -ErrorAction SilentlyContinue

Diagnostic des échecs de création de profil

Si la création du profil échoue (état 7), vérifiez les points suivants :

• Correct mpHost format — la valeur doit utiliser le format nsbrowser-config.<MP>.goskope.com. Pour en savoir plus : Endpoints per Management Plane
  
• User is provisioned — l'adresse e-mail de l'utilisateur doit être invitée dans Enterprise Browser. Accédez à Settings > Security Cloud Platform > Enterprise Browser > User Provisioning > Invite Users pour confirmer. Utilisez « Do not send onboarding email » pour les flux MDM silencieux.
  
• Interactive user session — la commande de création de profil doit s'exécuter dans la session interactive de l'utilisateur connecté. L'opération échoue si elle est exécutée à partir d'une session non interactive, telle que le compte SYSTEM, un service ou une tâche planifiée s'exécutant que l'utilisateur soit connecté ou non. Lorsque cela se produit, LastProfileCreationFailureDetail est défini sur NOT_INTERACTIVE_SESSION. L'exécution de la commande en tant qu'utilisateur connecté via un script de correction Intune (avec l'option « Exécuter ce script à l'aide des informations d'identification de l'utilisateur connecté » définie sur Oui) permet de satisfaire à cette condition.
  
• Network connectivity — la machine doit pouvoir joindre https://nsbrowser-config.<MP>.goskope.com. Les blocages de pare-feu, de proxy ou de DNS provoquent le code d’erreur 7.
  
• Profile creation log — consultez le fichier %TEMP%\NetskopeProfileCreation.log pour obtenir des détails sur l'échec.
  

Expérience de l'utilisateur

Une fois le déploiement terminé, les utilisateurs voient l'icône Netskope Enterprise Browser sur leur bureau avec leur profil d'entreprise inscrit automatiquement. Selon la variante MSI, le navigateur s'exécute à partir de l'emplacement suivant :

• System-wide MSI: C:\Program Files\Netskope\Browser\Application\nsbrowser.exe
  
• User-wide MSI: %LOCALAPPDATA%\Netskope\Browser\Application\nsbrowser.exe
  

Le navigateur se met automatiquement à jour via un programme de mise à jour en arrière-plan. Pour le fichier MSI à l'échelle du système, le programme de mise à jour s'exécute au niveau du système. Pour le fichier MSI par utilisateur, le programme de mise à jour s'exécute au niveau de l'utilisateur.

Considérations

Considerations include:

• le programme d'installation MSI pour l'ensemble des utilisateurs et celui par invitation par e-mail écrivent dans les mêmes chemins de fichiers (%LOCALAPPDATA%\Netskope\). Un seul doit être présent sur une machine à la fois. Désinstallez l'installation existante avant de changer de méthode.
  
• si un programme d'installation MSI à l'échelle du système et un MSI à l'échelle de l'utilisateur sont tous deux installés sur la même machine, l'installation au niveau du système a la priorité pour les raccourcis et les associations de fichiers. Cette combinaison n'est pas recommandée — standardisez sur un seul modèle de déploiement par machine.
  
• la propriété msiexec NETSKOPEPROFILE est obsolète pour les New déploiements. La création du profil doit toujours être effectuée en tant qu'étape distincte après l'installation MSI.
  
• La création de profil doit s'exécuter dans la session interactive de l'utilisateur connecté, quelle que soit la variante MSI utilisée. L'exécution de nsbrowser.exe à partir d'une session non interactive (SYSTEM, compte de service ou tâche planifiée non interactive) échoue avec le statut 7.
  
• la création de profil réussit uniquement lorsque l’utilisateur n’a aucune instance active d’Enterprise Browser. Si le navigateur est ouvert lors de l’exécution de la commande, le lancement est transmis à l’instance active et se solde par une sortie avec le code 0 sans créer de profil ni écrire de statut dans le registre. Programmez l’exécution répétée de la correction (par exemple, une fois par jour) — le script de détection déclenche à nouveau la correction lors de l’exécution suivante car aucun statut n’a été enregistré.
  
• toutes les URL de téléchargement de MSI sont spécifiques au locataire. Les installateurs globaux par utilisateur utilisent /mdm/win/<arch>/get et les installateurs globaux par système utilisent /mdm/win/<arch>/get/system.
  
• lors d’une installation MSI réussie, le navigateur apparaît dans Programmes et fonctionnalités en indiquant la version de Netskope. Si l'installation du fichier MSI échoue, le navigateur et le programme de mise à jour peuvent toujours être installés sur le disque, mais ils n'apparaîtront pas dans la liste des applications installées.
  
• la journalisation détaillée (/l*v) est recommandée dans le cadre de la commande d'installation standard pour faciliter le dépannage des échecs de déploiement.
  

Pour en savoir plus : Installation et dépannage d'Enterprise Browser de Netskope

Installation sur macOS

Netskope Enterprise Browser pour macOS peut être déployé selon deux méthodes : une invitation par e-mail en libre-service (programme d'installation DMG) ou un déploiement MDM centralisé (programme d'installation PKG). Le programme d'installation PKG fournit une installation au niveau du système gérée par le service informatique, tandis que le DMG est une installation par utilisateur déclenchée par l'utilisateur final. Cette page couvre les deux méthodes, y compris les instructions étape par étape pour Microsoft Intune et JAMF Pro.

Conditions préalables

• macOS 12 Monterey ou version ultérieure
  
• Processeur Intel (x64) ou Apple Silicon (ARM64)
  
• Licence Enterprise Browser attribuée aux utilisateurs cibles
  
• Les utilisateurs finaux doivent être provisionnés dans Netskope Enterprise Browser.
  

Chemin d'accès : Paramètres > Plateforme cloud de sécurité > Enterprise Browser > Provisionnement des utilisateurs > Inviter des utilisateurs

• Connectivité réseau aux points de terminaison de Netskope Enterprise Browser pour votre plan de gestion. Pour en savoir plus : Endpoints par plan de gestion
  
• Pour les déploiements MDM : accès à votre console d'administration MDM (Intune, JAMF Pro, Kandji, Mosyle ou Workspace ONE)
  

Compréhension des méthodes d'installation

Avant de choisir une méthode de déploiement, examinez les différences entre les options disponibles :

	Programme d'installation PKG (MDM)	Programme d'installation DMG (invitation par e-mail)
Installation scope	À l'échelle du système (/Applications/)	Par utilisateur (/Applications/)
Admin privileges required	Oui (installé via MDM en tant que root)	Non (glisser-déposer par l'utilisateur)
Profile creation	Étape distincte (script post-installation)	Intégré (en une seule étape via la clé de licence)
Intended deployment method	MDM (Intune, JAMF, Kandji, Workspace ONE)	En libre-service via un lien d'invitation par e-mail
Auto-update	Oui (programme de mise à jour au niveau du système)	Oui (programme de mise à jour au niveau de l'utilisateur)
Updater location	/Library/Netskope/NetskopeBrowserUpdater/	~/Library/Application Support/Netskope/NetskopeBrowserUpdater/
Installer artifact	PKG	DMG

When to use the PKG (MDM): Vous souhaitez un contrôle informatique centralisé sur le déploiement et l'inscription automatisée des profils. Idéal pour les parcs gérés.

When to use the DMG (email invitation): Vous souhaitez une option légère en libre-service pour les utilisateurs individuels sur des périphériques non gérés.

Téléchargement du programme d’installation PKG

Le programme d'installation PKG est disponible à partir de votre URL de téléchargement spécifique au locataire :

• macOS x64 (Intel): https://browser-downloads-<tenant-name>.goskope.com/mdm/mac/x64/get/pkg
  
• macOS ARM64 (Apple Silicon): https://browser-downloads-<tenant-name>.goskope.com/mdm/mac/arm64/get/pkg
  

Remplacez <tenant-name> par le nom du locataire de votre organisation.

Remarque : Le programme d'installation DMG (pour l'ensemble des utilisateurs) est disponible à la même URL de base sans le suffixe /pkg :

• macOS x64 DMG: https://browser-downloads-<tenant-name>.goskope.com/mdm/mac/x64/get
  
• macOS ARM64 DMG: https://browser-downloads-<tenant-name>.goskope.com/mdm/mac/arm64/get
  

Comportement de coexistence

Si un utilisateur a déjà Enterprise Browser installé via DMG et que le paquet PKG est ensuite installé via MDM, le PKG remplace l'application dans /Applications/ et installe un nouveau programme de mise à jour au niveau du système. Le programme de mise à jour au niveau de l'utilisateur provenant de l'installation DMG reste en place mais n'interfère pas. Il peut être supprimé manuellement si l'utilisateur rencontre des problèmes.

Déploiement avec des solutions MDM

Déploiement avec Microsoft Intune

Étape 1 : Création de l'application macOS

1. Dans le Centre d'administration Microsoft Intune, allez dans Apps > macOS > Add.
   
2. Dans le menu déroulant, sélectionnez macOS App (PKG).
   

   

   
   
3. Cliquer sur Select et télécharger le fichier PKG.
   

   

   
   
4. Définissez Publisher en tant que Netskope. Les paramètres supplémentaires sont facultatifs et doivent être conformes aux normes de votre organisation.
   
5. Cliquez sur Next.
   

Étape 2 : Ajout du script post-installation

Dans la section Post-install script, entrez le script suivant pour créer le profil utilisateur après l'installation. Le programme d'installation PKG s'installe en tant qu'utilisateur root, mais la création du profil doit s'exécuter en tant qu'utilisateur connecté, car le profil est stocké dans le répertoire personnel de l'utilisateur.

#!/bin/bash

# Récupérer l'utilisateur actuellement connecté (pas root)
CURRENT_USER=$(stat -f%Su /dev/console)
CURRENT_UID=$(id -u “$CURRENT_USER”)

# Si aucun utilisateur n'est connecté (par exemple, lors de l'enrôlement DEP), quitter correctement.
# La création du profil devra être gérée via un mécanisme distinct lors de la première connexion.
if [[ “$CURRENT_USER” == “root” ]] || [[ “$CURRENT_USER” == “loginwindow” ]] || [[ -z “$CURRENT_USER” ]]; then
echo “Aucun utilisateur connecté. Ignorer la création du profil.”
exit 0
fi

BROWSER_PATH=”/Applications/Netskope Enterprise Browser.app/Contents/MacOS/Netskope Enterprise Browser”

if [[ ! -x “$BROWSER_PATH” ]]; then
echo “Navigateur introuvable au chemin attendu.”
exit 1
fi

echo “Création du profil en tant qu'utilisateur $CURRENT_USER…”
launchctl asuser “$CURRENT_UID” sudo -u “$CURRENT_USER” “$BROWSER_PATH” \
–netskope-mp-host=<MP-HOSTNAME>\
–netskope-user-email={{mail}} \
–netskope-tenant-name=<tenant-name>.goskope.com \
–no-startup-window &

sleep 30

# Quitter le navigateur
echo “Fermeture de Netskope Enterprise Browser…”
pkill -f “Netskope Enterprise Browser” || true

Remplacez <MP-HOSTNAME> par le code de la région du plan de gestion.
Pour en savoir plus : Points de terminaison par plan de gestion

Replace <tenant-name> with your Netskope tenant name.

La variable {{mail}} est un jeton Intune qui correspond à l'adresse e-mail de l'utilisateur inscrit.

Remarque : Si aucun utilisateur n'est connecté au moment de l'installation (par exemple, lors du déploiement automatisé des périphériques), le script se ferme sans créer de profil. Dans ce cas, configurez un script shell Intune distinct doté de la même logique de création de profil, assigné pour s'exécuter à la connexion de l'utilisateur.

Cliquez sur Next.

Étape 3 : définition des exigences minimales du système d'exploitation

Dans le menu déroulant, sélectionnez la version minimale de macOS pour votre environnement (par exemple, macOS 12 Monterey).

Cliquez sur Next.

Étape 4 : Attribution et création

Les règles de détection sont préremplies automatiquement pour les applications PKG ; aucune règle de détection manuelle n’est nécessaire.

Attribuez l'application aux groupes d'utilisateurs ou de périphériques appropriés. Cliquer sur Save.

Déploiement avec JAMF Pro

Le déploiement de JAMF Pro nécessite trois composants : un package, un profil de configuration (PLIST) et une politique de déploiement avec un script de post-installation.

Étape 1 : Ajout du paquet PKG

1. Allez dans Settings > Computer Management > Packages > New.
   
2. Téléchargez le fichier PKG.
   
3. Cliquez sur Save.
   

   

   
   

Étape 2 : Création du profil de configuration PLIST

Ce profil transmet l’adresse de messagerie de l’utilisateur au périphérique afin qu’elle soit utilisée lors de la création du profil.

1. Allez sur Computers > Configuration Profiles > New.
   
2. Définissez le nom (par exemple, profil de configuration Netskope EB).
   
3. Définissez Level sur Computer Level.
   
4. Définissez Distribution Method sur Install Automatically.
   
5. Sous Application & Custom Settings, cliquez sur Upload et ajoutez ce qui suit :
   • Preference Domain: Netskope
     
   • Property List:
     

<?xml version=”1.0″ encoding=”UTF-8″?>
<!DOCTYPE plist PUBLIC “-//Apple//DTD PLIST 1.0//EN”
“http://www.apple.com/DTDs/PropertyList-1.0.dtd”>
<plist version=”1.0″>
<dict>
<key>email</key>
<string>$EMAIL</string>
</dict>
</plist>

1. Cliquez sur Save.
   
2. Sous l'onglet Scope, configurez la portée appropriée.
   
3. Cliquez sur Save.
   

Étape 3 : Création du script de déploiement

1. Allez dans Settings > Computer Management > Scripts > New.
   
2. Définissez le nom (par exemple, script Netskope Enterprise Browser).
   
3. Passez à l'onglet Script et collez ce qui suit :

   

   
   

#!/bin/bash

PLIST_PATH=”/Library/Managed Preferences/$4.plist”

# Get the current logged-in user and UID
CURRENT_USER=$(stat -f%Su /dev/console)
CURRENT_UID=$(id -u “$CURRENT_USER”)

# Read user email from the plist
if [[ -f “$PLIST_PATH” ]]; then
VALUE=$(defaults read “${PLIST_PATH%.plist}” email 2>/dev/null)
echo “User email from plist: $VALUE”
else
echo “Plist file not found at $PLIST_PATH”
exit 1
fi

# Path to Netskope Enterprise Browser binary
BROWSER_PATH=”/Applications/Netskope Enterprise Browser.app/Contents/MacOS/Netskope Enterprise Browser”

# Launch the browser with all arguments
if [[ -x “$BROWSER_PATH” ]]; then
echo “Launching Netskope Browser as user $CURRENT_USER…”
launchctl asuser “$CURRENT_UID” sudo -u “$CURRENT_USER” “$BROWSER_PATH” \
–netskope-mp-host=<MP-HOST> \
–netskope-user-email=”$VALUE” \
–netskope-tenant-name=<tenant-name>.goskope.com \
–no-startup-window &
else
echo “Browser not found at expected path: $BROWSER_PATH”
exit 1
fi

sleep 30

# Quit the browser
echo “Quitting Netskope Enterprise Browser…”
osascript -e ‘quit app “Netskope Enterprise Browser”‘

4. Cliquer sur Save.

Étape 4 : Création de la politique de déploiement

1. Allez sur Computers > Policies > New.
   
2. Définissez le nom (par exemple, la politique Netskope EB).
   
3. Définissez Trigger selon les préférences de votre organisation (par exemple, Démarrage, Connexion, Inscription terminée ou Vérification récurrente).
   

   

   
   
4. Définissez Execution Frequency sur Ongoing ou selon les besoins.
   
5. Sous Packages, cliquez sur Configure > Add le paquet pré-créé. Définir l'action sur Install.
   

   

   
   
6. Sous Scripts, cliquez sur Configure > Add le script précréé avec :
   • Priority: After
     
   • Parameter 4: netskope (nom de configuration PLIST)
     
   • Parameter 5: your tenant MP code (for example, sjc1, dfw3)
     
   • Parameter 6: votre nom de locataire (par exemple, acme.goskope.com)
     

     

     
     
7. Sous l'onglet Scope, configurez la portée appropriée.
   
8. Cliquez sur Save.
   

Enterprise Browser est déployé et le profil utilisateur est créé automatiquement.

Déploiement avec d'autres solutions MDM (Kandji, Mosyle, Workspace ONE)

Pour les autres solutions MDM, suivez le même schéma général :

1. Téléchargez le fichier PKG en tant qu'application ou package personnalisé.
   
2. Configurez un script de post-installation qui exécute la commande de création de profil en tant qu'utilisateur connecté.
   
3. La commande de création de profil est toujours la suivante :
   

« /Applications/Netskope Enterprise Browser.app/Contents/MacOS/Netskope Enterprise Browser” \
–netskope-mp-host=<MP-HOSTNAME> \
–netskope-user-email=<user-email> \
–netskope-tenant-name=<tenant-name>.goskope.com \
–no-startup-window

4. Attendre 30 secondes que la création du profil se termine, puis quitter le processus du navigateur.

5. Le script doit s'exécuter en tant qu'utilisateur connecté (pas root) pour que le profil soit créé correctement.

Déploiement d'iOS et d'iPadOS avec MDM

Netskope Enterprise Browser pour iOS et iPadOS est disponible sur l'Apple App Store. Vous pouvez le déployer sur des périphériques gérés à l'aide de la solution de gestion des périphériques mobiles (MDM) de votre organisation, ou les employés peuvent l'installer manuellement en suivant une invitation par e-mail. Une fois inscrit, le navigateur se connecte à votre locataire Netskope et applique votre configuration de navigateur.

Conditions préalables

• Enterprise Browser 1.5.0 ou version ultérieure (iOS et iPadOS)
  
• iOS 17.0 / iPadOS 17.0 ou version ultérieure sur les périphériques cibles
  
• Un locataire Netskope One doté des droits Enterprise Browser
  
• Accès à votre console MDM (pour les déploiements gérés)
  
• Accès NPA configuré dans la console Netskope (en cas de déploiement de l'accès aux applications privées)
  

Déploiement via une solution MDM

Le déploiement MDM vous permet de diffuser l'application Enterprise Browser et sa configuration sur les périphériques sans nécessiter d'autre action de la part de l'utilisateur que l'acceptation de l'application gérée.

Étape 1 : Ajouter l'application à votre MDM

1. Dans votre console MDM, accédez au catalogue d'applications ou à la section de gestion des applications.
   
2. Ajoutez Netskope Enterprise Browser depuis l’Apple App Store (ID de l’App Store : 6744964352).
   
3. Attribuez l’application aux groupes d’utilisateurs ou aux groupes de périphériques appropriés.
   

Étape 2 : Configurer la configuration des applications gérées

Enterprise Browser lit les clés suivantes à partir de la configuration d’application gérée poussée par la GDM (MDM) :

Key	Required	Description
netskope-tenant-name	Oui	Votre nom de locataire Netskope (par exemple, nomdulocataire.goskope.com)
netskope-user-email	Oui	L'adresse e-mail de l'utilisateur inscrit
netskope-mp-host	Oui	Votre nom d'hôte du plan de gestion (voir annexe. Points de terminaison par MP)

Lorsque les trois clés sont présentes, Enterprise Browser provisionne automatiquement le profil utilisateur – aucune saisie manuelle de clé de licence n'est requise.

Étape 3 : Configurer l'accès réseau (coexistence NSClient)

Si vous déployez Enterprise Browser avec le Netskope Client (NSClient) sur iOS :

1. Dans la console Netskope, accédez à Security Cloud Platform → Définition d'application.
   
2. Sous l'onglet Applications avec certificat épinglé, cliquez sur New application avec certificat épinglé.
   
3. Select iOS comme plateforme, puis ajoutez les domaines concernés (par exemple, <MP>.goskope.com).
   Pour en savoir plus : Endpoints par plan de gestion
   
4. Accédez à Steering Config Exceptions pour l'entrée d'application et configurez les exceptions de groupes d'utilisateurs appropriées.
   

Étape 4 : Distribution

Transférez l'application et la configuration vers les périphériques à l'aide de votre workflow de déploiement MDM standard. Les périphériques dotés d'une configuration gérée valide s'approvisionnent automatiquement lorsque l'utilisateur ouvre le navigateur pour la première fois.

Considérations

Considerations include:

• iOS et iPadOS nécessitent la version 17.0 ou ultérieure. Les anciennes versions de système d'exploitation ne sont pas prises en charge.
  
• Le chargement latéral (sideloading) n'est pas pris en charge ; Enterprise Browser doit être distribué via l'App Store ou le catalogue d'applications de votre MDM.
  
• NPA (accès aux applications privées) nécessite la configuration de coexistence NSClient décrite ci-dessus.
  
• L'interception du partage d'écran basé sur WebRTC n'est pas prise en charge sur iOS.
  
• La copie de lien avec mise en surbrillance est autorisée sur iOS même lorsqu'une politique de copie est définie sur le blocage (limitation connue).
  

Déploiement d’Android et de ChromeOS avec MDM

Netskope Enterprise Browser pour Android et ChromeOS est disponible sur Google Play. Vous pouvez le déployer sur des périphériques gérés à l'aide de solutions MDM d'Android Enterprise telles que Microsoft Intune, VMware Workspace ONE ou Google Workspace. Une fois inscrit, le navigateur se connecte à votre locataire Netskope et applique vos politiques de protection du navigateur configurées.

Conditions préalables

• Enterprise Browser 1.5.0 ou version ultérieure (Android et ChromeOS)
  
• Android 12 (Snow Cone) ou version ultérieure sur les périphériques Android cibles
  
• ChromeOS 89 ou version ultérieure sur les Chromebooks cibles (exécutant des applications Android via ARC++)
  
• Un locataire Netskope One doté des droits Enterprise Browser
  
• Une console MDM Android Enterprise configurée pour votre organisation
  

Déploiement via Android Enterprise MDM

Le déploiement MDM utilise la configuration d'application gérée d'Android Enterprise pour envoyer automatiquement l'application de navigateur et les paramètres de profil aux périphériques.

Étape 1 : Ajouter l'application à votre MDM

1. Dans votre console MDM, accédez au catalogue d'applications gérées.
   
2. Ajoutez Netskope Enterprise Browser depuis Google Play.
   
3. Attribuez l’application aux groupes d’utilisateurs ou aux groupes de périphériques appropriés.
   

Étape 2 : Configurer la configuration des applications gérées

Enterprise Browser lit les clés suivantes à partir de la configuration d'application gérée poussée par la solution MDM (Android Enterprise) :

Clé	Required	Description
netskope-tenant-name	Oui	Votre nom de locataire Netskope (par exemple, nomdulocataire.goskope.com)
netskope-user-email	Oui	L'adresse e-mail de l'utilisateur inscrit
netskope-mp-host	Oui	Votre nom d'hôte du plan de gestion (voir annexe. Points de terminaison par MP)

Lorsque les trois clés sont présentes, Enterprise Browser configure automatiquement le profil utilisateur – aucune saisie manuelle de clé de licence n'est requise. Si une clé est manquante ou vide, le navigateur revient au flux de création de profil manuel.

Étape 3 : Distribution

Transférez l'application et la configuration vers les périphériques à l'aide de votre workflow de déploiement MDM standard. Les périphériques dotés d'une configuration gérée valide s'approvisionnent automatiquement lorsque l'utilisateur ouvre le navigateur pour la première fois.

Étape 4 : Vérifier l'inscription

Après le déploiement, vérifiez que le navigateur est correctement connecté à votre locataire :

1. Sur un périphérique de test, ouvrez Netskope Enterprise Browser.
   
2. Accédez à netskope://policy pour confirmer que les stratégies sont reçues de votre locataire.
   
3. Dans la console Netskope, confirmez que le périphérique apparaît sous les périphériques de l'utilisateur.
   

Notes spécifiques à ChromeOS

Sur ChromeOS, Enterprise Browser s'exécute comme une application Android via ARC++ (Android Runtime for Chrome). La procédure de déploiement est la même que pour Android. Notez que :

• ChromeOS 89 ou version ultérieure requis.
  
• La fenêtre du navigateur est redimensionnée avec le gestionnaire de fenêtres de ChromeOS. Le rendu des filigranes s’adapte aux modifications de taille de la fenêtre.
  
• La configuration d'application gérée sur ChromeOS est déployée via votre solution EMM de la même manière que pour les mobiles Android.
  

Expérience de l'utilisateur

Une fois déployé, les utilisateurs lancent Enterprise Browser de Netskope à partir de leur tiroir d'applications ou de l'étagère ChromeOS. Le navigateur a l’apparence et le comportement d’un navigateur Android standard, les politiques définies par Netskope s’appliquant en toute transparence. Les utilisateurs peuvent voir :

• Une superposition de filigrane sur les pages protégées (si le filigrane est activé)
  
• Un écran blanc lors de la tentative de capture d'écran d'une page protégée (si la protection contre les captures d'écran et le partage d'écran est activée)
  
• Un indicateur de politique affichant les politiques de protection du navigateur actives
  
• Comportement de copier/coller restreint sur les sites protégés (si le Presse-papiers isolé est activé)
  

Considérations

Considerations include:

• Android 12 ou une version ultérieure est requis. Les périphériques sous Android 11 ou une version antérieure ne sont pas pris en charge.
  
• ChromeOS exige que l'application Android (ARC++) soit activée sur le périphérique.
  
• Le partage intelligent d'onglets n'est pas pris en charge sur Android et ChromeOS.
  
• Google Play ne prend pas en charge la rétrogradation vers un ancien APK ; les correctifs sont fournis sous forme de New versions.
  

Pour en savoir plus : Matrice de prise en charge des plateformes | Installation et dépannage d'Enterprise Browser

Déploiement par inscription manuelle (invitation par e-mail)

Pour les organisations sans MDM ou pour l’inscription d’utilisateurs individuels :

1. Dans la console Netskope, accédez à Security Cloud Platform → User Management.
   
2. Recherchez l'utilisateur et cliquez sur Envoyer l'invitation, ou créez un New utilisateur et envoyez une invitation.
   
3. L'utilisateur reçoit un e-mail contenant un lien pour installer l'application et un profil de configuration.
   
4. L'utilisateur suit ces étapes sur son iPhone ou son iPad :
   1. Ouvrez le lien d'invitation dans un navigateur pour télécharger le profil de configuration.
      
   2. Accédez à Paramètres → Profil téléchargé et appuyez sur Installer pour approuver le profil.
      
   3. Ouvrez le lien de l'App Store dans l'e-mail et installez Netskope Enterprise Browser.
      
   4. Ouvrez le navigateur et créez un profil en utilisant la clé de licence provenant du courrier électronique d'invitation.
      

Vérification de l'inscription

Après le déploiement, vérifiez que le navigateur est correctement connecté à votre locataire :

1. Demandez à l'utilisateur (ou vérifiez via le MDM) que le navigateur se lance sans erreur.
   
2. Dans le navigateur, accédez à netskope://policy pour confirmer que les stratégies sont reçues de votre locataire.
   
3. Dans la console Netskope, confirmez que le périphérique apparaît sous les périphériques de l'utilisateur.
   

Expérience utilisateur une fois Enterprise Browser installé

Une fois déployé, les utilisateurs lancent Netskope Enterprise Browser depuis leur écran d'accueil. Le navigateur semble et se comporte comme un navigateur standard, les politiques appliquées par Netskope étant appliquées de manière transparente. Les utilisateurs peuvent voir :

• Une superposition de filigrane sur les pages protégées (si le filigrane est activé)
  
• Un écran vide ou une notification lors d'une tentative de capture d'écran d'une page protégée (si la protection contre les captures d'écran est activée)
  
• Indicateur de politique dans la barre de navigation indiquant les politiques de protection du navigateur actives
  
• Comportement de copier/coller restreint sur les sites protégés (si le Presse-papiers isolé est activé)
  

Pour en savoir plus : Matrice de prise en charge des plateformes | Installation et dépannage d'Enterprise Browser

Gestion des mises à jour et des versions

Netskope Enterprise Browser comprend -sur les plates-formes Mac et Windows- un système de mise à jour automatique intégré qui maintient le navigateur à jour avec les dernières corrections de sécurité et fonctionnalités. Les mises à jour sont effectuées automatiquement en arrière-plan sans interrompre le travail de l'utilisateur. Les administrateurs peuvent contrôler le comportement de mise à jour grâce à des politiques de mise à jour afin de s'aligner sur les exigences de gestion des changements de leur organisation.

Comment fonctionne la mise à jour automatique

Enterprise Browser utilise un composant de mise à jour dédié qui s'exécute indépendamment du processus du navigateur. Le programme de mise à jour contacte périodiquement les services Netskope pour vérifier si de New versions sont disponibles pour la plateforme et l'architecture du point de terminaison.

Le processus de mise à jour suit les étapes suivantes :

1. L'outil de mise à jour recherche les mises à jour disponibles à intervalles réguliers (environ toutes les 5 heures).
   
2. Si une New version est disponible, le programme de mise à jour la télécharge en arrière-plan.
   
3. La version New est installée en parallèle de l'installation actuelle du navigateur.
   
4. Si le navigateur ne fonctionne pas, la mise à jour remplace immédiatement l'installation existante.
   
5. Si le navigateur est en cours d'exécution, la mise à jour est mise en attente et appliquée lorsque l'utilisateur relance le navigateur.
   

Le programme de mise à jour est installé automatiquement lors du premier lancement d'Enterprise Browser. Il s'exécute en tant que processus en arrière-plan et peut se mettre à jour lui-même ainsi que le navigateur indépendamment.

Mettre à jour les notifications

Les utilisateurs finaux sont avertis lorsqu'une New version est prête et qu'un redémarrage est nécessaire. La notification passe par les étapes suivantes :

• Indicateur de menu — un point coloré apparaît sur le menu du navigateur indiquant qu'une mise à jour est disponible
  
• Relancement recommandé — une notification suggère à l'utilisateur de relancer le navigateur pour appliquer la mise à jour
  
• Redémarrage requis — une notification informe l'utilisateur que le navigateur va redémarrer automatiquement
  

Enterprise Browser impose un relancement forcé après une fenêtre de temps configurée. Si l'utilisateur ne relance pas dans cette fenêtre, le navigateur redémarre automatiquement pour appliquer la mise à jour.

Politiques de mise à jour

Les administrateurs peuvent configurer le comportement de mise à jour pour contrôler comment et quand les mises à jour sont appliquées. Les politiques suivantes sont disponibles :

• Updates enabled — le programme de mise à jour recherche et installe toutes les mises à jour automatiquement (comportement par défaut)
  
• Automatic updates only — les mises à jour sont téléchargées et installées automatiquement sans intervention manuelle de l'utilisateur ; les vérifications manuelles des mises à jour sont désactivées
  
• Manual updates only — les mises à jour ne sont appliquées que lorsqu'elles sont déclenchées manuellement
  
• Updates disabled – aucune mise à jour n'est vérifiée ou installée
  

Note : Les politiques de mise à jour sont configurées au niveau du compte. Contactez l'équipe Netskope chargée de votre compte pour ajuster et mettre à jour les paramètres de politique de votre locataire. Ces paramètres ne sont pas disponibles dans la console d'administration.

Versioning

Enterprise Browser gère deux numéros de version :

• Netskope Product Version (par exemple, 1.4.13) — identifie la version d’Enterprise Browser, y compris les fonctionnalités et corrections spécifiques à Netskope
  
• Chromium Version (par exemple, 140.0.7339.256) — identifie la version du moteur Chromium sous-jacent
  

Les utilisateurs peuvent vérifier leur version actuelle en allant dans Menu → À propos de Netskope Enterprise Browser ou en entrant netskope://version dans la barre d'adresse.

Cycle de publication

Le cycle de publication d'Enterprise Browser dépend de deux facteurs :

• Security vulnerabilities — les vulnérabilités critiques provenant de Chromium upstream ou trouvées en interne sont traitées conformément aux SLA de gravité. Les problèmes critiques sont corrigés et déployés immédiatement.
  
• Feature releases — New fonctionnalités et améliorations sont fournies mensuellement, en fonction du cycle de publication de Chromium et de la stratégie de rebase d'Enterprise Browser.
  

Comportement de mise à jour spécifique à la plateforme

Les mécanismes de mise à jour varient selon la plateforme :

• Windows and macOS — le programme de mise à jour intégré gère toutes les mises à jour automatiquement, comme décrit ci-dessus
  
• iOS and iPadOS — les mises à jour sont effectuées via l'Apple App Store ; les administrateurs peuvent contrôler le calendrier des mises à jour via les politiques MDM
  
• Android and ChromeOS — les mises à jour sont fournies via le Google Play Store ou Google Play géré ; les administrateurs peuvent contrôler le moment de la mise à jour par le biais des politiques EMM
  

Considérations

Considerations include:

• La mise à jour automatique nécessite une connectivité réseau aux services Netskope pour vérifier et télécharger les mises à jour.
  
• Un logiciel de sécurité des terminaux (comme CrowdStrike ou d'autres solutions EDR) peut parfois signaler le processus de mise à jour ; ajoutez le programme de mise à jour d'Enterprise Browser à la liste verte si cela se produit.
  
• Sur macOS, le processus de mise à jour peut persister brièvement après la désinstallation du navigateur avant de s'auto-supprimer.
  
• Les politiques de mise à jour sont configurées au niveau du compte et nécessitent le support de Netskope pour être modifiées ; elles ne peuvent pas être définies par utilisateur ou via la console d'administration.
  
• Lorsque vous exécutez Enterprise Browser avec Netskope Client, incluez à la fois nsbrowser.exe et netskopebrowserupdater.exe (Windows) ou Netskope Enterprise Browser et netskopebrowserupdater (macOS) dans l'exception de l'application épinglée par certificat.
  

Uninstallation

Cette page décrit comment supprimer Netskope Enterprise Browser des périphériques Windows, macOS, iOS, iPadOS, Android et ChromeOS.

Fenêtres

Désinstallation manuelle

1. Allez dans Paramètres → Applications (ou Panneau de configuration → Programmes et fonctionnalités sur les anciennes versions de Windows).
   
2. Trouvez Netskope Enterprise Browser dans la liste.
   
3. Cliquez sur Désinstaller et suivez les instructions à l'écran.
   

Vous pouvez également exécuter le désinstalleur à partir de la ligne de commande en utilisant le paquet MSI :

msiexec /x <path-to-installer.msi> /quiet

Suppression basée sur MDM (désinstallation silencieuse)

Pour supprimer Enterprise Browser des périphériques Windows gérés via votre solution MDM :

1. Dans votre console MDM, accédez à l'assignation d'application pour Netskope Enterprise Browser.
   
2. Modifiez l'affectation sur Désinstaller pour les groupes de périphériques cibles.
   
3. Poussez le changement. Le navigateur est supprimé silencieusement lors de la prochaine synchronisation MDM.
   

Après la suppression, les répertoires et les entrées de registre suivants sont nettoyés automatiquement par le programme de désinstallation :

• C:\Users\<USERNAME>\AppData\Local\Netskope\Browser
  
• C:\Users\<USERNAME>\AppData\Local\Netskope\NetskopeBrowserUpdater
  
• HKCU\Software\Netskope\Update
  

Si les données de profil étaient stockées localement, elles sont supprimées avec le navigateur. Les données du navigateur ne sont pas récupérables après la désinstallation.

macOS

Désinstallation manuelle

1. Ouvrez le Finder et allez dans Applications.
   
2. Faites glisser Netskope Enterprise Browser dans la corbeille, ou faites un clic droit et choisissez Déplacer vers la corbeille.
   
3. Videz la corbeille pour terminer la suppression.
   

Les données de profil résiduelles peuvent rester dans ~/Library/Application Support/Netskope/. Supprimez ce dossier manuellement si vous souhaitez une suppression complète.

Suppression basée sur la MDM

Pour supprimer Enterprise Browser des périphériques macOS gérés :

1. Dans votre console MDM (Jamf, Kandji, Mosyle ou similaire), localisez la politique d'application pour Netskope Enterprise Browser.
   
2. Définissez l'action de politique sur Supprimer ou Désinstaller pour la portée de périphérique cible.
   
3. Appliquez le changement. Le navigateur est supprimé lors de la prochaine évaluation de la politique MDM.
   

iOS et iPadOS

Suppression manuelle

1. Sur l'écran d'accueil du périphérique, appuyez longuement sur l'icône de l'application Netskope Enterprise Browser.
   
2. Appuyez sur Supprimer l'appli, puis sur Supprimer l'appli.
   
3. Confirmez la suppression.
   

Suppression basée sur la MDM

Dans votre console MDM, supprimez l'affectation de l'application Netskope Enterprise Browser pour le périphérique ou l'utilisateur cible. L'application est supprimée lors de la prochaine synchronisation MDM.

Android et ChromeOS

Suppression manuelle (Android)

1. Allez dans Paramètres → Apps.
   
2. Recherchez Netskope Enterprise Browser et appuyez sur Désinstaller.
   
3. Confirmez la désinstallation.
   
   
   

   

   
   

Suppression basée sur la MDM

Dans votre console MDM, remplacez l'assignation de l'application Netskope Enterprise Browser par Désinstaller ou supprimez-la du catalogue d'applications gérées pour les périphériques ou les groupes d'utilisateurs cibles. L'application est supprimée lors de la synchronisation suivante de la politique MDM.

Dépannage de la désinstallation

Erreur 1638 lors de l'installation MSI Windows

Cette erreur apparaît lorsqu'une version plus ancienne d'Enterprise Browser est déjà installée. Désinstallez la version existante, puis exécutez le New installateur.

L'application ne peut pas être supprimée sur un périphérique géré

Sur les périphériques gérés par MDM, la politique MDM peut empêcher la suppression manuelle par l'utilisateur. Utilisez votre console MDM pour pousser une suppression à la place.

Pour en savoir plus : Configuration requise | Installation et dépannage d'Enterprise Browser

Migration des données utilisateur vers Enterprise Browser

Enterprise Browser prend en charge l'importation de données utilisateur — comme les favoris, l'historique de navigation, les mots de passe et les données de remplissage automatique — à partir d'autres navigateurs basés sur Chromium et Firefox. Cela aide les employés à passer à Enterprise Browser sans perdre leurs données de navigation personnelles provenant de Chrome, Microsoft Edge ou Firefox. Le processus d'importation est lancé par l'utilisateur à partir du navigateur et ne nécessite aucune configuration de la console d'administration.

Conditions préalables

• Enterprise Browser installé sur Windows ou macOS
  
• Le navigateur source (Chrome, Microsoft Edge ou Firefox) doit être installé sur le même périphérique
  
• Le navigateur source doit être fermé pendant le processus d'importation
  

Fonctionnement de l'importation

Enterprise Browser hérite de la fonctionnalité d'importation de données intégrée de Chromium. Il n'y a aucun paramètre de console d'administration pour activer ou désactiver cette fonctionnalité. Les utilisateurs accèdent directement à la fonction d'importation dans les paramètres de leur navigateur.

Les utilisateurs peuvent importer les types de données suivants à partir d'un navigateur source pris en charge :

• Bookmarks – tous les favoris et dossiers de favoris du navigateur source
  
• Browsing history – sites précédemment visités
  
• Saved passwords – identifiants de connexion stockés dans le navigateur source
  
• Autofill form data – les adresses, les numéros de téléphone et d’autres entrées de formulaire
  
• Search engines – des configurations de moteurs de recherche personnalisées
  

Les navigateurs sources pris en charge sont les suivants :

• Google Chrome
  
• Microsoft Edge
  
• Mozilla Firefox
  
• Safari (macOS uniquement)
  
• Fichier HTML de signets (exporté depuis n'importe quel navigateur)
  

Expérience de l'utilisateur

Les utilisateurs peuvent importer des données à tout moment en accédant à Settings > Import bookmarks and settings dans Enterprise Browser. Une boîte de dialogue s'affiche, permettant à l'utilisateur de sélectionner le navigateur source et de choisir les types de données à importer. L'importation se termine en quelques secondes pour la plupart des utilisateurs.

Remarque : Il n'y a pas de synchronisation automatisée entre les données synchronisées avec le cloud d'un navigateur source et Enterprise Browser. Les utilisateurs doivent déclencher manuellement l'importation, et les données importées reflètent l'état du profil local du navigateur source au moment de l'importation.

Migration à partir d'environnements Chrome ou Edge gérés

Lors de la migration d'utilisateurs à partir d'un environnement Chrome ou Edge géré, tenez compte des points suivants :

• Managed bookmarks configurées via la politique de groupe Chrome ou Edge ne sont pas transférées automatiquement. Utilisez la fonctionnalité Enterprise Browser Company Workspace pour fournir des signets et des raccourcis d’applications gérés par l’organisation.
  
• Passwords stored in Chrome or Edge sont importables s'ils sont enregistrés dans le profil du navigateur local. Les mots de passe synchronisés uniquement sur le cloud (et non mis en cache localement) ne sont pas disponibles pour l'importation.
  
• Extensions ne migrent pas. Utilisez la politique de gouvernance des extensions d'Enterprise Browser pour préinstaller les extensions requises pour vos utilisateurs.
  
• Browser policies (comme la page d'accueil, les paramètres de proxy ou les restrictions de contenu) de Chrome ou Edge ne sont pas reportés. Configurez des politiques équivalentes via la console d'administration Netskope One sous Paramètres du navigateur.
  

Considérations

Considerations include:

• l'importation n'est disponible que sur Windows et macOS ; les plateformes mobiles (iOS, iPadOS, Android et ChromeOS) ne prennent pas en charge la boîte de dialogue d'importation
  
• le navigateur source doit être fermé pendant l'importation pour éviter les problèmes de verrouillage de fichier
  
• les signets synchronisés avec le cloud depuis Chrome ou Edge ne peuvent être importés que s'ils existent dans le profil local sur le périphérique
  
• il n'y a pas de synchronisation automatisée ou récurrente — l'importation est une opération unique
  
• Enterprise Browser ne prend pas en charge l’exportation de données vers un autre navigateur
  

Gestion des utilisateurs et des périphériques

Enterprise Browser s’appuie sur le fournisseur d’identité (IdP) de votre organisation pour authentifier les utilisateurs et gérer les accès. Les administrateurs configurent l'authentification basée sur SAML, provisionnent les utilisateurs via SCIM et gèrent les licences. Ce guide couvre l'ensemble du cycle de vie de l'enrôlement : de la configuration initiale de l'IdP à la gestion des licences et au provisionnement basé sur les groupes.

Conditions préalables

• Un fournisseur d'identité pris en charge : Okta, Microsoft Entra ID (anciennement Azure AD), PingIdentity (PingOne) ou tout IdP conforme à SAML 2.0, y compris ADFS
  
• Jeton d'API SCIM v2 avec autorisations de lecture/écriture pour les points de terminaison Utilisateurs et Groupes (pour le provisionnement automatisé)
  
• Accès administratif à la Netskope One Console et à votre fournisseur d'identité
  

Comprendre l'architecture d'inscription

L'enrôlement des utilisateurs d'Enterprise Browser implique trois systèmes coordonnés :

• Identity Provider (IdP) – authentifie les utilisateurs via SAML et provisionne les données d'utilisateur/groupe via SCIM
  
• Netskope Forward Proxy SAML – valide les assertions SAML et mappe les identités authentifiées aux utilisateurs Netskope
  
• Enterprise Browser License Management – attribue des licences aux utilisateurs, leur permettant de créer des profils de navigateur
  

Chaque utilisateur inscrit reçoit une clé de licence liée à votre locataire. Lorsque l'utilisateur crée un profil de navigateur avec cette clé, le navigateur s'authentifie via le flux SAML de votre IdP. La session authentifiée identifie de manière unique l'instance du navigateur pour l'application des politiques et l'attribution du trafic.

Configuration de votre fournisseur d'identité

Les guides spécifiques à l'IdP suivants couvrent la configuration complète, y compris SAML et SCIM :

• Mise en place d'Okta pour Enterprise Browser
  
• Microsoft Entra Set Up for Enterprise Browser
  
• PingIdentity Mise en place pour Enterprise Browser
  
• Configurer ADFS pour Netskope SAML
  

Définition du sujet SAML (NameID)

Netskope identifie les utilisateurs par adresse e-mail. Votre IdP doit envoyer l'adresse e-mail de l'utilisateur en tant qu'objet SAML (NameID) dans l'assertion. Ceci est critique car :

• Les politiques de protection en temps réel (RTP) sont évaluées en fonction de l'adresse électronique
  
• Les politiques de protection d'Enterprise Browser correspondent aux utilisateurs par adresse e-mail
  
• Le provisionnement SCIM utilise l'e-mail comme identifiant unique
  

Si votre organisation utilise des noms principaux d'utilisateur (UPN) qui diffèrent des adresses e-mail, configurez l'assertion SAML pour envoyer l'adresse e-mail en tant que revendication NameID, et non l'UPN. Les utilisateurs peuvent toujours se connecter avec leur UPN sur la page de connexion de l'IdP, mais l'assertion transmise à Netskope doit contenir leur e-mail.

Gestion des licences

Chemin : Paramètres > Plateforme de sécurité cloud > Enterprise Browser > Gestion des licences

Les licences déterminent quels utilisateurs peuvent créer des profils Enterprise Browser. Chaque licence est liée à un utilisateur et à un locataire spécifiques.

Les administrateurs peuvent gérer les licences via :

• Individual license assignment – affecter manuellement des licences à des utilisateurs spécifiques à partir de la page de gestion des licences
  
• Bulk invitation – inviter les utilisateurs par e-mail ; chaque e-mail contient une clé de licence unique et les instructions de téléchargement
  
• IdP Group Sync – provisionner automatiquement les licences en fonction de l'appartenance au groupe IdP (voir « Configurer la synchronisation de groupe IdP » ci-dessous)
  

Cycle de vie de la licence

• Issued – licence attribuée à un utilisateur mais profil pas encore créé
  
• Active – l'utilisateur a créé un profil de navigateur utilisant la licence
  
• Revoked – licence supprimée ; l'utilisateur ne peut plus créer de New profils (les profils existants continuent de fonctionner jusqu'au prochain cycle d'authentification)
  

Les utilisateurs peuvent utiliser la même licence sur plusieurs périphériques (par exemple, un ordinateur portable de travail et un périphérique personnel). Chaque périphérique crée un profil de navigateur distinct lié à la même licence.

Invitations par e-mail

Chemin : Paramètres > Plateforme de sécurité cloud > Enterprise Browser > Modèle d'e-mail

Personnalisez l'e-mail d'invitation envoyé aux utilisateurs lors de l'attribution des licences. Le modèle d'e-mail prend en charge les variables suivantes :

• {{NS_WINADDON}} – Lien de téléchargement de l'installateur Windows
  
• {{NS_MACBROWSER}} – lien de téléchargement de l'installateur macOS
  
• {{NS_ANDROIDBROWSER}} – Lien de téléchargement de l'installateur Android
  
• {{NS_IOSBROWSER}} – lien de téléchargement de l'installateur iOS/iPadOS
  
• {{NS_EBENROLLKEY}} – la clé de licence unique de l'utilisateur
  

Configuration de la synchronisation de groupe IdP (provisionnement automatisé)

La synchronisation de groupes IdP automatise l’intégration et le départ des utilisateurs en synchronisant les attributions de licences Enterprise Browser avec l’appartenance aux groupes ou aux unités organisationnelles (UO) de votre IdP. Lorsqu'un utilisateur est ajouté à un groupe synchronisé dans votre IdP, il reçoit automatiquement une licence Enterprise Browser. Une fois supprimée, leur licence est révoquée.

Comment ça marche

1. Votre IdP transmet les modifications apportées aux utilisateurs et aux groupes à Netskope via SCIM
   
2. Enterprise Browser surveille les groupes/OU configurés pour les modifications d'adhésion
   
3. Lorsqu'un New utilisateur apparaît dans un groupe synchronisé, une licence est automatiquement attribuée et un e-mail d'invitation est éventuellement envoyé
   
4. Lorsqu'un utilisateur est supprimé de tous les groupes synchronisés, sa licence est révoquée
   

Configuration du provisionnement SCIM

Avant d'activer la synchronisation des groupes IdP, configurez le provisionnement SCIM dans votre fournisseur d'identité :

1. Générez un jeton d'API SCIM v2 dans Netskope avec des autorisations de lecture/écriture pour les utilisateurs et les groupes.
   
2. Configurez le provisionnement SCIM de votre IdP avec l'URL de base : https://<tenant-url>/api/v2/scim.
   
3. Activez le provisionnement des utilisateurs et des groupes dans votre IdP.
   
4. Envoyez au moins un groupe à Netskope via SCIM.
   
5. Vérifiez la synchronisation en vérifiant Paramètres > Plateforme cloud de sécurité > Netskope Client > Utilisateurs.
   

Gestion des groupes d'utilisateurs et affectation des politiques pour Enterprise Browser

Enterprise Browser utilise des groupes et des unités organisationnelles (UO) pour contrôler les politiques appliquées aux utilisateurs. En attribuant des politiques de protection du navigateur, des politiques de configuration du navigateur et des politiques de gouvernance des extensions à des groupes ou des UO spécifiques, les administrateurs peuvent appliquer différentes postures de sécurité pour différentes équipes : par exemple, des contrôles de presse-papiers plus stricts pour le service financier et une configuration plus permissive pour l'ingénierie. Toutes les données des utilisateurs et des groupes sont synchronisées à partir de votre fournisseur d'identité via SCIM, garantissant qu'Enterprise Browser reflète toujours la structure d'annuaire actuelle de votre organisation.

Provisionnement des utilisateurs et des groupes via SCIM

Enterprise Browser prend uniquement en charge les utilisateurs provisionnés via SCIM. Les utilisateurs créés manuellement dans l'interface utilisateur de Netskope ne sont pas disponibles pour l'inscription à Enterprise Browser. Pour provisionner des utilisateurs et des groupes, configurez l'intégration SCIM entre votre fournisseur d'identité et le locataire Netskope. Une fois la synchronisation SCIM active, les groupes d'utilisateurs et les unités organisationnelles de votre IdP apparaissent automatiquement dans la console d'administration Netskope One et sont disponibles pour être ciblés dans les politiques d'Enterprise Browser. Lorsque de New utilisateurs sont ajoutés à un groupe synchronisé via SCIM qui a déjà été invité à Enterprise Browser, ils reçoivent automatiquement une licence et un e-mail d'intégration. De la même manière, lorsque des utilisateurs sont supprimés de l'IdP, leur licence Enterprise Browser est désactivée.

Création et gestion de groupes

Les groupes et les unités organisationnelles sont gérés dans votre fournisseur d'identité, et non dans la console d'administration Netskope. Pour créer un New groupe pour le ciblage des politiques d'Enterprise Browser, créez le groupe dans votre IdP (par exemple, dans Okta ou Microsoft Entra), assignez les utilisateurs pertinents et assurez-vous que le groupe est inclus dans le champ d'application de l'approvisionnement SCIM. Après le cycle de synchronisation SCIM suivant, le groupe apparaît dans Netskope et peut être sélectionné lors de la configuration des politiques d'Enterprise Browser. Vous pouvez inviter des groupes entiers à Enterprise Browser à la fois en accédant à Paramètres > Plateforme de sécurité cloud > Enterprise Browser > Provisionnement des utilisateurs et en cliquant sur Invite Users, , puis en sélectionnant le groupe ou l'OU souhaité.

Attribution de politiques par groupe et unité organisationnelle

Enterprise Browser prend en charge plusieurs politiques de configuration évaluées par ordre de priorité : la première politique correspondante l'emporte. Chaque politique peut cibler des utilisateurs, des groupes d'utilisateurs, des UO ou une combinaison spécifiques. Pour attribuer une politique à un groupe, accédez à la section de politique appropriée (Protection du navigateur, Configuration du navigateur ou Gouvernance des extensions), créez ou modifiez une politique et, dans la section du champ d'application de l'utilisateur, sélectionnez les groupes ou les UO cibles. Les politiques sont évaluées de haut en bas par priorité : si un utilisateur appartient à plusieurs groupes avec des politiques différentes, la politique la plus prioritaire (la plus élevée) s'applique. Les administrateurs peuvent réorganiser les politiques pour contrôler la priorité. Lorsqu'aucune politique spécifique à un groupe ne correspond à un utilisateur, la politique de base (par défaut) s'applique.

Considérations

Considerations include:

• Enterprise Browser prend uniquement en charge les utilisateurs et les groupes provisionnés par SCIM ; la création manuelle d'utilisateurs n'est pas prise en charge
  
• Lorsqu'un New utilisateur est ajouté à un groupe précédemment invité, l'utilisateur reçoit automatiquement une licence (aucune ré-invitation n'est requise)
  
• Les politiques ne sont pas appliquées lorsqu'un New utilisateur est ajouté à un groupe existant tant que la synchronisation SCIM n'est pas propagée — veuillez attendre quelques minutes pour la synchronisation
  
• Chaque politique peut cibler des utilisateurs, des groupes d'utilisateurs et des OU en combinaison — ils sont additifs (toute correspondance déclenche la politique)
  
• Le nombre maximal d'utilisateurs, de groupes d'utilisateurs ou d'UO par politique est de 100 entrées chacun
  
• Les unités organisationnelles suivent une structure plate dans Netskope : les hiérarchies d'UO imbriquées de votre IdP sont aplaties lors de la synchronisation
  

Browser Configuration

Enterprise Browser permet aux administrateurs de gérer les paramètres du navigateur de manière centralisée et de les appliquer à l'échelle de l'organisation. Vous pouvez configurer l'apparence de la page d'accueil, les moteurs de recherche par défaut, le comportement de remplissage automatique, les chemins de téléchargement, les paramètres de proxy, l'accès aux outils de développement, et plus encore. Les politiques peuvent être appliquées globalement via une politique de base ou ciblées sur des groupes d'utilisateurs et des unités organisationnelles (UO) spécifiques pour un contrôle granulaire. La configuration peut être gérée par la console d'administration Netskope One (WebUI) ou par programme via l'API REST.

Comprendre la hiérarchie des politiques

Enterprise Browser utilise un modèle de politique en couches pour la configuration du navigateur :

• Baseline policy – la configuration par défaut qui s'applique à tous les utilisateurs d'Enterprise Browser dans votre locataire. Une politique de base est automatiquement créée lorsqu'Enterprise Browser est activé. Elle ne peut pas être supprimée.
  
• User Group / OU policies – politiques supplémentaires qui ciblent des groupes d’utilisateurs ou des unités organisationnelles spécifiques. Ces politiques remplacent la base de référence pour les utilisateurs qui remplissent les critères de ciblage.
  

Lorsqu'un utilisateur appartient à plusieurs groupes ayant des politiques différentes, le système évalue les politiques par ordre de priorité. Les politiques de priorité plus élevée prévalent. La politique de base a toujours la priorité la plus basse.

Chaque politique contient un ensemble de paramètres de configuration du navigateur. Les paramètres qui ne sont pas explicitement définis dans une politique ciblée héritent des paramètres de base.

Configuration des paramètres du navigateur via la console d'administration

Chemin : Paramètres > Plateforme cloud de sécurité > Enterprise Browser > Paramètres du navigateur

La page Paramètres du navigateur affiche la politique de référence et toutes les politiques supplémentaires que vous avez créées. À partir de cette page, vous pouvez :

• afficher et modifier les paramètres de politique de base
  
• créer de New politiques ciblant des groupes d'utilisateurs ou des OU
  
• réorganiser la priorité des politiques en glisser-déposer
  
• activer ou désactiver des stratégies individuelles sans les supprimer
  

Création d'une New stratégie de configuration

1. Sur la page Paramètres du navigateur, cliquez sur New Browser Configuration.
   
2. Saisissez un nom pour la politique.
   
3. Sous Applies To, sélectionnez les groupes d'utilisateurs ou les UO visés par cette politique.
   
4. Configurez les paramètres de navigateur souhaités (voir « Paramètres de navigateur disponibles » ci-dessous).
   
5. Cliquez sur Save.
   

La New politique est ajoutée au-dessus de la ligne de base dans la liste de priorité. Vous pouvez la faire glisser pour ajuster sa priorité par rapport aux autres politiques.

Modification d'une politique existante

1. Sur la page Paramètres du navigateur, cliquez sur le nom de la politique ou sur l'icône de modification.
   
2. Modifiez les paramètres selon vos besoins.
   
3. Cliquez sur Enregistrer.
   

Les modifications sont propagées aux utilisateurs ciblés lors de leur prochain cycle de rafraîchissement de politique.

Available Browser Settings

Les paramètres suivants peuvent être configurés dans une politique de configuration de navigateur. Chaque paramètre peut être défini sur Activé ou Désactivé, et certains prennent en charge une configuration supplémentaire telle que les exceptions de site web ou la sélection du mode.

Remplissage automatique et mots de passe

• Password Manager – activer ou désactiver la fonctionnalité intégrée d'enregistrement et de saisie automatique des mots de passe. Prend en charge les exceptions de site Web.
  
• Autofill Addresses – activer ou désactiver la saisie automatique pour les formulaires d'adresse.
  
• Autofill Credit Cards – activer ou désactiver le remplissage automatique des méthodes de paiement.
  

Confidentialité et sécurité

• Developer Tools – activer ou désactiver l'accès aux outils de développement du navigateur (F12 / Inspecter).
  
• Sandbox Clipboard – activez ou désactivez le presse-papiers privé (isolé), qui restreint le transfert de données du presse-papiers entre Enterprise Browser et les applications externes. Lorsqu'elle est activée, sélectionnez un mode bac à sable (sandbox) :
  
• Full Sandbox – bloque tout transfert de presse-papiers dans les deux sens. Les données copiées dans EB ne peuvent pas être collées à l'extérieur, et les données copiées à l'extérieur ne peuvent pas être collées dans EB.
  
• Sandbox with Read Allowed – autorise le collage de données externes dans EB, mais bloque la copie de données depuis EB vers des applications externes.
  
• Sandbox with Write Allowed – permet de copier des données de EB vers des applications externes, mais bloque le collage de données externes dans EB.
  

Alertes et Notifications

• Notification – activer ou désactiver les notifications par navigateur depuis des sites web. Prend en charge les exceptions de sites web.
  
• Popups – activer ou désactiver les fenêtres contextuelles. Prend en charge les exceptions de site web.
  

Media

• Audio Input – activer ou désactiver l'accès au microphone pour des sites web. Prend en charge les exceptions de sites web.
  
• Video Input – activer ou désactiver l'accès à la caméra pour les sites web. Prend en charge les exceptions de sites web.
  
• Cast – activer ou désactiver la fonctionnalité de diffusion (Chromecast).
  

Expérience de l'utilisateur

Lorsque les politiques de configuration du navigateur sont appliquées, les utilisateurs constatent automatiquement les changements lors de la prochaine actualisation de la politique. Le navigateur met à jour ses paramètres sans interaction de l'utilisateur. Les utilisateurs ne peuvent pas outrepasser les paramètres qui ont été gérés de manière centralisée ; les options correspondantes apparaissent en gris ou sont masquées sur la page des paramètres du navigateur.

Pour la personnalisation de la page d'accueil, les utilisateurs voient la page d'accueil configurée avec l'image de marque de l'organisation (titre personnalisé, icône et image d'arrière-plan) chaque fois qu'ils ouvrent un New onglet ou lancent Enterprise Browser.

Considérations

Considerations include:

• la politique de référence s'applique à tous les utilisateurs et ne peut pas être supprimée. Pour exonérer un groupe d'un paramètre, créez une politique ciblée avec la substitution souhaitée à une priorité plus élevée.
  
• les modifications de politique sont propagées lors du prochain cycle de rafraîchissement de politique. L'intervalle de rafraîchissement par défaut est configurable par locataire.
  
• Le ciblage par groupe d'utilisateurs/OU nécessite que les utilisateurs et les groupes soient provisionnés via SCIM depuis votre fournisseur d'identité. Les groupes non synchronisés via SCIM ne sont pas disponibles pour le ciblage de politiques.
  
• tous les paramètres du navigateur ne sont pas pris en charge sur toutes les plateformes. Les plateformes mobiles (Android, ChromeOS, iOS, iPadOS) peuvent avoir un ensemble réduit d'options configurables par rapport aux ordinateurs de bureau (Windows, macOS).
  

Gouvernance des extensions

La gouvernance des extensions donne aux administrateurs un contrôle total sur les extensions de navigateur que les utilisateurs peuvent installer dans Enterprise Browser. Par défaut, toutes les extensions provenant du Chrome Web Store sont bloquées. Les administrateurs créent des politiques définissant une liste autorisée d'extensions permises et une liste d'extensions à installation forcée qui sont installées automatiquement pour les utilisateurs ciblés. Les politiques peuvent cibler tous les utilisateurs, des groupes d'utilisateurs spécifiques ou des unités organisationnelles (UO).

Conditions préalables

• Enterprise Browser déployé avec des utilisateurs inscrits
  
• Accès administratif à la Netskope One Console
  
• Utilisateurs et groupes provisionnés via SCIM (requis pour le ciblage par groupe d'utilisateurs/OU)
  

Comprendre la gouvernance des extensions

La gouvernance des extensions fonctionne selon un modèle de refus par défaut :

• Default action: Block all extensions – lorsqu’aucune politique n’est configurée, ou lorsqu’aucune extension n’est explicitement listée dans une politique, elles sont bloquées. Les utilisateurs ne peuvent pas installer d'extensions depuis le Chrome Web Store, sauf si un administrateur les a autorisés.
  
• Exception List (Allowlist) – les extensions ajoutées à cette liste peuvent être installées à la discrétion de l'utilisateur. Les utilisateurs peuvent choisir d'installer ou non ces extensions.
  
• Force Install List – les extensions ajoutées à cette liste sont automatiquement installées pour tous les utilisateurs ciblés par la politique. Les utilisateurs ne peuvent pas désinstaller les extensions installées de force.
  

Les politiques sont évaluées par ordre de priorité. Quand un utilisateur correspond à plusieurs politiques, la politique de priorité la plus élevée détermine quelles extensions sont autorisées ou installées de force pour cet utilisateur. Une politique de référence s'applique à tous les utilisateurs et a toujours la priorité la plus basse.

Configuration de la gouvernance des extensions

Chemin : Politiques > Protection Enterprise Browser > Gouvernance des extensions

L'onglet Extension Governance affiche toutes les politiques configurées dans un tableau montrant leur numéro de priorité, nom, statut, utilisateurs ciblés, action, nombre de listes d'exceptions et nombre de listes d'installation forcée.

Lorsque aucune politique n'est configurée, la configuration par défaut s'applique : toutes les extensions sont bloquées.

Création d'une politique de gouvernance des extensions

1. Dans l'onglet Gouvernance des extensions, cliquez sur New Policy.
   
2. Sous Criteria, configurez le champ Utilisateur pour sélectionner les utilisateurs, les groupes d'utilisateurs ou les UO visés par cette politique. Cliquez pour sélectionner un sous-ensemble d'utilisateurs ou laissez la valeur « Tous les utilisateurs ».
   
3. Sous Action, configurez les listes d'extensions :
   

• Dans le Exception List, cliquez sur + Extension pour rechercher des extensions par nom ou par ID. Les extensions ajoutées ici peuvent être installées par les utilisateurs à leur discrétion.
  
• Dans la Force Install List, cliquez sur + Extension pour rechercher des extensions par nom ou ID. Les extensions ajoutées ici sont automatiquement installées pour les utilisateurs ciblés.
  

1. Dans la section Général, saisissez un Name pour la politique et, éventuellement, une description. Définissez Policy Position pour contrôler l'ordre de priorité.
   
2. Définissez le bouton de bascule Status sur Enabled.
   
3. Cliquez sur Save.
   

Modification d'une politique

1. Sur l'onglet Gouvernance des extensions, cliquez sur la ligne de politique ou sur l'icône de modification.
   
2. Modifiez les critères, la liste d'exceptions, la liste d'installation forcée ou les paramètres généraux selon les besoins.
   
3. Cliquez sur Enregistrer.
   

Les modifications sont propagées aux utilisateurs ciblés lors de leur prochain cycle de rafraîchissement de politique.

Gérer plusieurs politiques

Lorsque plusieurs politiques existent, elles sont listées dans l'ordre de priorité (le chiffre le plus bas = la priorité la plus élevée). La politique de base apparaît toujours en dernier.

Les administrateurs peuvent :

• Réorganiser les politiques pour modifier leur priorité
  
• activer ou désactiver des politiques sans les supprimer (les politiques désactivées ne s'appliquent pas aux utilisateurs mais restent visibles)
  
• supprimer les politiques qui ne sont plus nécessaires
  

Expérience de l'utilisateur

Lorsque la gouvernance des extensions est active :

• Les utilisateurs ne peuvent pas installer d'extensions qui ne figurent sur aucune liste d'autorisations dans une politique qui s'applique à eux. Les tentatives d'installation d'extensions bloquées à partir du Chrome Web Store entraînent l'affichage d'une notification de blocage.
  
• les extensions de la liste d'exceptions semblent disponibles dans le Chrome Web Store. Les utilisateurs peuvent les installer et les gérer normalement.
  
• Les extensions figurant sur la liste d'installation forcée sont automatiquement installées et épinglées à la barre d'outils du navigateur. Les utilisateurs ne peuvent pas désinstaller ou désactiver les extensions installées de force.
  
• si une extension précédemment installée est supprimée de la liste d'autorisations, elle est désactivée lors de la prochaine actualisation de la politique.
  

Considérations

Considerations include:

• Par défaut, toutes les extensions sont bloquées. Vous devez explicitement autoriser chaque extension que vous souhaitez que les utilisateurs puissent installer.
  
• les extensions sont identifiées par leur ID d'extension dans le Chrome Web Store. Assurez-vous d'utiliser l'ID correct lors de l'ajout d'extensions à la liste d'autorisations ou à la liste d'installation forcée.
  
• les extensions installées de force sont installées silencieusement. Les utilisateurs n'ont aucune action à entreprendre et ils ne peuvent pas supprimer ces extensions.
  
• Les politiques sont évaluées par utilisateur. Si un utilisateur appartient à plusieurs groupes ayant des politiques d’extension différentes, la politique correspondante ayant la priorité la plus élevée détermine sa configuration d’extension effective.
  
• La gouvernance des extensions s'applique aux plateformes de bureau (Windows et macOS). Les plateformes mobiles ne prennent pas en charge les extensions de navigateur.
  

Personnalisation du profil et image de marque

Enterprise Browser permet aux administrateurs de personnaliser l’apparence de la page New onglet (page d’accueil de l’entreprise) avec l’image de marque de leur organisation. Vous pouvez configurer un logo d'entreprise, un titre, une image ou une couleur d'arrière-plan et des couleurs de texte pour renforcer votre identité d'entreprise et offrir une expérience professionnelle personnalisée à vos utilisateurs.

Configuration de la page d'accueil de l'entreprise

Les administrateurs peuvent personnaliser les aspects suivants de la page d'accueil de l'entreprise :

• Titre — le titre principal affiché sur la page du New onglet, généralement le nom de votre organisation ou le nom de l'instance du navigateur
  
• Icône — un logo d’entreprise affiché sur la page d’accueil. Le format SVG est préférable car il gère automatiquement le dimensionnement. Les formats JPEG et PNG sont également pris en charge
  
• Image d'arrière-plan — une image affichée en arrière-plan de la page. Fournissez une URL accessible au public pour l’image
  
• Couleur de fond — une couleur unie pour le fond de page, comme alternative à une image de fond
  
• Couleur du titre — (facultatif) couleur du texte du titre principal affiché à côté du logo. Revient à la couleur du thème si elle n'est pas spécifiée
  
• Couleur du titre de l'espace de travail de l'entreprise — (facultatif) couleur du texte de l'en-tête « Espace de travail de l'entreprise »
  
• Couleur du titre de l'espace de travail personnel — (optionnel) couleur du texte d'en-tête « Espace de travail personnel »
  
• Afficher la barre de recherche — contrôle si la barre de recherche est visible sur la page d'accueil
  
• Afficher l'espace de travail personnel : contrôle si la section de l'espace de travail personnel (signets et raccourcis de l'utilisateur) est visible sur la page d'accueil
  

Expérience de l'utilisateur

Lorsque la personnalisation de la page d'accueil est activée, les utilisateurs voient une page New à l'image de leur entreprise à chaque ouverture d'un onglet New ou au lancement d'Enterprise Browser. Les éléments personnalisés incluent le logo, le titre, l'arrière-plan et la disposition de l'espace de travail de l'entreprise selon la configuration de l'administrateur.

Si aucune personnalisation n'est appliquée, la page d'accueil par défaut de Netskope Enterprise Browser s'affiche.

Considérations

Considerations include:

• La personnalisation de la page d'accueil est disponible sur toutes les plateformes : Windows, macOS, iOS et iPadOS, ainsi qu'Android et ChromeOS.
  
• Les images d'arrière-plan fournies sous forme d'URL doivent être accessibles sans authentification.
  
• SVG est le format préféré pour les icônes car il est automatiquement évolutif.
  
• Cette fonctionnalité prend en charge l'actualisation dynamique des politiques : les modifications prennent effet sans nécessiter de redémarrage du navigateur.
  
• La personnalisation est appliquée par locataire. Tous les utilisateurs d'un locataire voient la même page d'accueil personnalisée.
  

Pour en savoir plus : Prérequis Enterprise Browser

Politiques de protection du navigateur — Présentation

Les politiques de protection du navigateur vous permettent de contrôler ce que les utilisateurs peuvent faire dans Netskope Enterprise Browser en fonction de la destination. Lorsqu’un utilisateur navigue vers un site web, le cloud Netskope évalue les politiques applicables et renvoie les contrôles actifs dans l’en-tête de réponse HTTP x-ns-browser-actions. Le navigateur applique ces contrôles pendant toute la durée de la session sur cette page. Si aucun en-tête n'est renvoyé (par exemple, si la page n'est pas pilotée), le navigateur applique votre politique de secours au niveau du locataire.

Politiques disponibles

Les politiques de protection du navigateur suivantes sont disponibles dans la console d'administration Netskope One :

• Filigrane — superpose un filigrane visuel contenant le nom du locataire, le nom d'utilisateur et la date sur les pages correspondant aux critères de la politique. Empêche l'exfiltration de données via la capture d'écran.
  
• Protection des captures et du partage d'écran – empêche le contenu du navigateur d'apparaître dans les captures d'écran, les enregistrements d'écran ou les partages d'écran. Les contenus protégés s'affichent sous la forme d'un espace vide lors des captures.
  
• Masquage des données – obscurcit les modèles de texte sensibles (par exemple, les numéros de carte de crédit, les numéros de sécurité sociale) sur les pages web en fonction des expressions régulières définies dans la politique.
  
• Contrôle des téléchargements de fichiers – contrôle si les utilisateurs peuvent télécharger des fichiers depuis le navigateur. Les options incluent l'autorisation des téléchargements non chiffrés, l'exigence de téléchargements chiffrés (les fichiers reçoivent une extension .eb et ne peuvent être ouverts que dans Enterprise Browser) ou le blocage total des téléchargements.
  
• Contrôle du transfert de fichiers : contrôle si les utilisateurs peuvent transférer des fichiers vers des applications web. Les options comprennent l'autorisation ou le blocage des méthodes de transfert par sélecteur de fichier standard, glisser-déposer et copier-coller.
  
• Copier/Coller – contrôle si du contenu peut être copié depuis ou collé dans le navigateur.
  
• Imprimer : contrôle si les utilisateurs peuvent imprimer des pages à partir du navigateur.
  
• Enregistrer sous – contrôle si les utilisateurs peuvent enregistrer des pages localement.
  
• Entrée de texte - contrôle si les utilisateurs peuvent saisir du texte dans les formulaires web.
  

Masquage des données

Le Enterprise Browser Netskope prend en charge le masquage des données en tant que politique de protection du navigateur, permettant aux administrateurs d'obscurcir les modèles de texte sensibles sur les pages web en temps réel.

Lorsqu'une politique de masquage des données est active pour une destination, le navigateur identifie le texte correspondant aux expressions régulières définies par l'administrateur (par exemple, numéros de carte de crédit, numéros de sécurité sociale) et remplace le contenu visible par des caractères masqués avant l'affichage de la page. Le masquage est uniquement appliqué à la vue rendue : les données sous-jacentes ne sont pas modifiées.

Qu’est-ce qui est inclus :

• Configurez le masquage des données comme politique de protection du navigateur, limitée à des destinations et des utilisateurs spécifiques.
  
• Définissez un ou plusieurs modèles d'expression régulière spécifiant les types de données sensibles à masquer.
  
• Le masquage est désactivé par défaut ; aucun contenu n’est masqué sauf si une politique est explicitement configurée.
  

Considérations :

• Le masquage des données ne s'applique qu'aux nœuds de texte basés sur DOM. Le contenu rendu via HTML5 Canvas (y compris Google Docs), les images, la vidéo, le SVG et le lecteur PDF natif n'est pas masqué.
  
• Disponible uniquement sur Windows et macOS. Les plates-formes mobiles ne sont pas prises en charge dans cette version.
  
• La configuration de l'interface Web n'est pas encore disponible. Configurer les politiques via l'API backend.
  

Contrôle des téléchargements de fichiers

Netskope Enterprise Browser applique le contrôle des téléchargements de fichiers en tant que politique de protection du navigateur, donnant aux administrateurs un contrôle par destination sur la façon dont les fichiers sont téléchargés à partir du navigateur.

Qu’est-ce qui est inclus :

• Bloquer : bloque les téléchargements vers des destinations spécifiques ; une boîte de dialogue de notification informe l'utilisateur que le téléchargement n'est pas autorisé.
  
• Autoriser — Autoriser les téléchargements normalement (aucun chiffrement appliqué) — le comportement par défaut lorsque aucune politique ne s'applique.
  
• Chiffrer – Chiffrement des téléchargements — les fichiers sont chiffrés à la volée et enregistrés avec un .eb extension. Les fichiers chiffrés ne peuvent être ouverts que dans Netskope Enterprise Browser avec le même profil que celui utilisé pour les télécharger.
  

Considérations :

• Dans cette version, la politique de téléchargement s'applique en fonction du domaine de la page Web principale, pas du domaine de l'hôte du fichier.
  
• L'application du contrôle de téléchargement de fichiers à des types de fichiers spécifiques n'est pas prise en charge dans cette version.
  
• La configuration de l'interface Web est disponible sur demande. Les politiques incluant ce contrôle peuvent être configurées via l'API backend.
  

Contrôle d'enregistrement sous

Netskope Enterprise Browser prend en charge le contrôle « Enregistrer sous » en tant que politique de protection du navigateur. Les administrateurs peuvent empêcher les utilisateurs d'enregistrer localement le contenu de pages pour des destinations spécifiques.

Actions d'enregistrement couvertes :

• Enregistrer la page sous
  
• Enregistrer sous
  
• Enregistrer l'image sous
  
• Enregistrer la vidéo sous
  
• Enregistrer le fichier sous
  
• Enregistrer le lien sous
  

Considérations :

• Le contrôle « Enregistrer sous » possède une granularité au niveau du domaine, ce qui lui permet d'être restreint sur des sites spécifiques sans affecter les autres.
  
• La fonction « Enregistrer la page au format PDF » n'est pas compatible avec le téléchargement de fichiers chiffrés dans cette version.
  

Contrôle de saisie de texte

Netskope Enterprise Browser prend en charge le contrôle de saisie de texte en tant que politique de protection du navigateur. Lorsqu’il est activé, le navigateur restreint la saisie de texte dans les formulaires Web sur les destinations correspondantes. Lorsqu’une action de saisie est bloquée, les utilisateurs voient une notification dans une barre d’information.

Méthodes de saisie couvertes :

• Entrée au clavier standard
  
• Glisser-déposer du texte
  
• Dictée vocale
  
• Saisie basée sur la composition (par exemple, l’IME japonais)
  

Informez les utilisateurs des restrictions et contrôles actifs

Enterprise Browser informe désormais proactivement les utilisateurs des politiques de protection du navigateur et des politiques de configuration qui s'appliquent sur la page qu'ils visitent.

Qu’est-ce qui est inclus :

• Un bouton Stratégie apparaît dans la barre de navigation lorsque les politiques de protection du navigateur sont actives sur la page actuelle, montrant aux utilisateurs les contrôles en vigueur (par exemple, copie bloquée, filigrane activé, téléchargement chiffré).
  
• Une liste de politiques dans la fenêtre contextuelle du profil affiche les politiques de configuration générale pour le profil de l'utilisateur (par exemple, gestionnaire de mots de passe, outils de développement, notifications, fenêtres contextuelles, entrée audio/vidéo).
  

Presse-papiers sandboxed

Le presse-papiers sandbox (également appelé presse-papiers privé) est un paramètre de configuration du navigateur qui contrôle la façon dont le presse-papiers d'Enterprise Browser interagit avec le presse-papiers du système d'exploitation. Lorsqu'elle est activée, le navigateur utilise un presse-papiers en mémoire privé isolé du presse-papiers du système d'exploitation, empêchant ainsi les données d'être copiées hors du navigateur ou collées dans celui-ci à partir d'applications externes. Il s'agit d'une configuration au niveau du locataire, et non d'une politique de protection du navigateur par destination. La fonction est disponible sous Windows et macOS.

Conditions préalables

• Enterprise Browser 1.4.0 ou version ultérieure
  
• Accès aux paramètres du navigateur dans la console d'administration Netskope One
  

Configuration du presse-papiers isolé

Chemin : Paramètres → Paramètres du navigateur → Confidentialité et sécurité

Le paramètre Presse-papiers isolés apparaît dans le groupe Confidentialité et sécurité de la table des fonctionnalités des paramètres du navigateur, sous Outils de développement.

Pour le configurer :

1. Allez dans Paramètres → Paramètres du navigateur.
   
2. Dans le groupe Confidentialité et sécurité, recherchez la ligne Presse-papiers isolé.
   
3. Dans la colonne Statut, mettez le bouton de bascule sur Activé.
   
4. Dans la colonne Configuration, cliquez sur + Configuration du mode bac à sable pour ouvrir le panneau de configuration.
   
5. Dans le panneau, sélectionnez le mode sandbox :
   1. Bac à sable (sandbox) : le navigateur utilise un presse-papiers en mémoire totalement isolé. Le contenu ne peut pas être copié du navigateur vers des applications externes, et le contenu des applications externes ne peut pas être collé dans le navigateur. C'est la valeur par défaut lors de l'activation de la fonctionnalité.
      
   2. Lire le presse-papiers du système : le navigateur utilise un presse-papiers en mémoire mais peut recevoir des données du presse-papiers du système d'exploitation. Les utilisateurs peuvent coller du contenu provenant d'applications externes dans le navigateur, mais ne peuvent pas copier le contenu du navigateur vers l'extérieur.
      
   3. Écrire dans le presse-papiers du système : le navigateur utilise un presse-papiers en mémoire mais peut écrire dans le presse-papiers du système d'exploitation. Les utilisateurs peuvent copier du contenu du navigateur vers des applications externes, mais ne peuvent pas coller de contenu d'applications externes dans le navigateur.
      
6. Cliquez sur Enregistrer.
   

Pour désactiver le bac à sable (sandbox) du presse-papiers, réglez le bouton de bascule Statut sur Désactivé. Le navigateur revient à l'utilisation du presse-papiers standard du système d'exploitation.

Comment ça marche

Lorsque le presse-papiers en bac à sable est activé, Enterprise Browser remplace le presse-papiers standard du système d'exploitation par un presse-papiers en mémoire privée limité au profil du navigateur. Le mode de fonctionnement détermine si la synchronisation avec le presse-papiers du système d'exploitation est autorisée et dans quelle direction

mode	Copy out (browser → OS)	Paste in (OS → browser)
Bac à sable (sandbox) complet	Blocked	Blocked
Lire le presse-papiers du système	Blocked	Allowed
Écrire dans le presse-papiers du système	Allowed	Blocked
Désactivé (sans sandboxing)	Allowed	Allowed

Le mode s'applique à l'ensemble du profil de navigateur et se met à jour dynamiquement lorsque la configuration du locataire est actualisée ; aucun redémarrage du navigateur n'est requis.

Expérience de l'utilisateur

Lorsque le Presse-papiers sandbox est activé, les utilisateurs peuvent remarquer que le copier-coller entre le navigateur et les applications externes ne fonctionne pas comme prévu :

• Mode Sandbox complet : tenter de coller du contenu copié depuis l'extérieur du navigateur ne produira aucun résultat dans le navigateur, et le contenu copié dans le navigateur ne sera pas disponible dans les applications externes.
  
• Mode Lecture du presse-papiers système : coller à partir d'applications externes fonctionne normalement, mais copier du navigateur vers des applications externes est bloqué.
  
• Mode Écriture du presse-papiers du système : la copie du navigateur vers des applications externes fonctionne normalement, mais le collage à partir d'applications externes est bloqué.
  
• Actions bloquées : lorsqu’une action est bloquée, les utilisateurs voient une notification dans une barre d’information expliquant que l’action du presse-papiers est restreinte.
  

Il affiche les messages de notification suivants :

• Lorsque la copie depuis le navigateur est bloquée :
  

« Le collage de données en dehors de ce navigateur a été bloqué par les politiques de l'administrateur — Netskope Enterprise Browser. »

• Lorsque le collage dans le navigateur est bloqué :
  

« La copie de données depuis l'extérieur de ce navigateur a été bloquée par les politiques de l'administrateur : Netskope Enterprise Browser. »

Considérations

Considerations include:

• Le Presse-papiers sandbox est un paramètre de configuration du navigateur qui s'applique à l'ensemble du profil de navigateur. Il n'est pas limité par destination ou par groupe d'utilisateurs.
  
• Cette fonctionnalité est disponible uniquement sur Windows et macOS. iOS, Android et ChromeOS ne sont pas pris en charge.
  
• Le presse-papiers est isolé par profil de navigateur. Les données copiées dans un profil ne sont pas accessibles dans un autre profil.
  
• Le presse-papiers privé n'empêche pas les utilisateurs de retaper manuellement le contenu.
  

Configuration des politiques de protection du navigateur

Chemin d'accès : Politiques → Enterprise Browser Protection

Depuis cette page, vous pouvez créer, modifier et hiérarchiser les politiques de protection du navigateur. Chaque politique spécifie :

• Critères — les destinations (URL, catégories ou instances d'application) auxquelles la politique s'applique
  
• Utilisateurs/Groupes — la portée de l'utilisateur à laquelle la politique s'applique
  
• Actions — l'ensemble des contrôles à appliquer (filigrane, blocage de capture d'écran, isolement du presse-papiers, etc.)
  

Les politiques sont évaluées par ordre de priorité. La première politique correspondant à une destination et à un utilisateur donnés prend effet.

Application des politiques

Les politiques sont transmises au navigateur via deux canaux :

• Par page (en-tête CEP) : le cloud Netskope renvoie l'en-tête x-ns-browser-actions pour chaque demande pilotée, en précisant les contrôles à appliquer pour cette page spécifique.
  
• Solution de repli (service de configuration) : le navigateur reçoit une politique de repli au niveau du locataire via le service de configuration. Cela s'applique lorsqu'aucun en-tête par page n'est présent (par exemple, sur des pages non dirigées ou lorsque le navigateur est hors ligne).
  

Expérience de l'utilisateur

Lorsqu’une politique de protection du navigateur est active sur une page, les utilisateurs voient un bouton Politique dans la barre de navigation. Un clic dessus affiche une liste des contrôles actuellement appliqués sur cette page. Cela permet aux utilisateurs de comprendre pourquoi certaines actions sont restreintes.

Pour les politiques qui bloquent une action spécifique (comme la copie, la capture d'écran ou le téléchargement), le navigateur affiche une notification informative expliquant que l'action est bloquée par la politique de votre organisation.

Prise en charge des plateformes

Politique	Fenêtres	macOS	iOS et iPadOS	Android et ChromeOS
Watermarking	✓	✓	✓	✓
Protection des captures d'écran et du partage d'écran	✓	✓	✓	✓
Masquage des données	✓	✓	—	—
Contrôle des téléchargements de fichiers	✓	✓	—	—
Contrôle des chargements de fichiers	✓	✓	—	—
Copier/Coller	✓	✓	✓	✓
Print	✓	✓	✓	✓
Enregistrer sous	✓	✓	—	—
Text Input	✓	✓	—	—

Considérations

Considerations include:

• Les politiques ne s'appliquent qu'aux pages dirigées vers le cloud Netskope. Les pages consultées sans pilotage sont régies par la politique de secours au niveau du locataire.
  
• Le navigateur évalue la première politique correspondante. Les politiques de priorité inférieure ne s’appliquent pas si une politique de priorité supérieure correspond.
  
• La disponibilité des fonctionnalités varie selon la plateforme. Voir le tableau ci-dessus et les pages de politiques individuelles pour les configurations prises en charge.