この記事では、Windows エンドポイントでのユーザー認証の前に、Windows エンドポイントのプレログオンを有効にしてリソースにアクセスする方法について説明します。 この機能は通常、ドメイン コントローラーにアクセスするために使用され、有効期限が切れたときに Windows エンドポイントがパスワードを更新および/またはリセットできるようにします。 以下の手順は、NPAが正しく設定されており、現在AD DCへの接続が確立されていることを前提としています。
注記
プレログオンは Windows デバイスでのみサポートされます。
エンドポイントがNPAを使用してNetskope Clientへのトンネルを確立できるコンテキストは 2 つあります。
- ログオン前のコンテキストでは、ユーザーはまだ Windows エンドポイントに対して認証されていません。 ログオン前ユーザーは、デバイス自体をNPAに認証して、リソースへの限定的なアクセスを容易にします。
- ユーザー トンネル コンテキスト ( postlogonと呼ばれることもあります) では、ユーザーは Windows エンドポイントに対して認証され、ログオンしています。Netskope Clientこの認証をシームレスに受け入れ、以降のすべてのユーザー生成トラフィックをユーザーに対して評価します。 。
重要
事前ログオンを有効にする前に、既存のアクセス ポリシーを評価して、過剰な情報漏洩を防ぐようにしてください。ログオン前の過剰な露出を防ぐために、ポリシーにユーザーを使用しないでください。
前提条件
ログオン前認証を使用するための要件は次のとおりです。
- 以下の手順に従って、推奨される AD DS 構成を完了してください。
- クライアントをインストールする権限を持つ Windows エンドポイントにアクセスします。
- ユーザーが事前ログオンユーザーである場合、一部のデバイス状態基準は適用されません。事前ログオンアクセスには、デバイス証明書の検証やCRL（証明書失効リスト）の検証などの追加的な制御策を検討する必要があります。
重要
デバイスを使用するポリシーの基準としてログオン前ユーザーが割り当てられた分類では、ログオン前ユーザーは常に管理対象外として表示されます。
注記
常時接続（AOAC）は、事前ログオンが有効になっている場合、デフォルトで有効になります。
ユースケース
ログオン前認証を使用する目的は次のとおりです。
- Windowsを初めて利用するユーザーがドメインに参加したり、パスワードをリセットしたりできるようにする。
- PCの起動後、ネットワークドライブを即座にマウントできるようにする。
- ユーザーがログインしていない場合でも、常時セキュリティを提供します。
ワークフロー
ログオン前認証を使用するには:
- ステアリング構成を作成または使用します。
- Netskope Clientを設定します。
- ローカルユーザーを作成します。
- リアルタイムの保護ポリシーを作成します。
事前ログオン認証のためのステアリング構成を確認する
Netskope Clientプライベートアプリやドメインコントローラーなどのサーバー宛てのトラフィックを適切にルーティングするには、正しいルーティング方法を適用する必要があります。 既に設定が存在し、それがグローバルに適用されている場合、右上の「編集」ボタンを選択することでこの設定を変更できます。この設定を変更すると、変更対象として設定されているユーザー/グループの範囲内で、ユーザーのトラフィックに影響が出ることに注意してください。本番環境におけるこのような変更の範囲は限定することをお勧めします。クライアントがプライベートアプリを制御するように設定されていることを確認してください。
- Settings > Security Cloud Platform > Steering Configurationに移動して、設定を開くか作成します。 事前ログオン認証用です。
- ユーザー/ユーザーグループを確認してください。
- Specify the Netskope Client will steer private apps.
- Private App Segments Selectて有効にします。
- Saveをクリックしてください。
Netskope Client事前ログオン認証用に設定する
上記の手順を完了し、クライアントが正常に認証できることを確認したら、クライアント構成を、展開先の環境の ケースおよびユーザーエクスペリエンスの要件を満たすように調整する必要があります。
クライアント構成により、Netskopeクラウドは更新されたクライアントバージョンと動作をエンドポイントに透過的にプッシュできます。プリログオン機能を使用するには、R94以降が必要です。
- Settings > Security Cloud Platform > Client Configurationsに移動してNew Client Configurationをクリックしてください。ログオン前認証に使用するデバイス構成を作成します。
- トラフィック処理に関するクライアントの動作を設定するには、「プライベートアプリセグメント」タブに移動してください。また、ここでは事前ログオンを有効にしたり、必要に応じてクライアント認証用のCA証明書を含むPEMファイルをアップロードしたりすることもできます。デバイス証明書が中間認証局によって発行されている場合は、発行元の認証局証明書のみをアップロードすればよく、証明書チェーン全体をアップロードする必要はありません。
注記
PKI を構築するには、 Netskope管理コンソール以外での追加作業が必要です。 PKIが有効になっているクライアント構成に対して認証を行う各デバイスは、デバイス証明書を準備しておく必要があります。
- Enable Prelogon for Private App Segments.
- 事前ログイン用のユーザー名を入力してください。電子メール アドレスに注意してください。このアドレスは常に
@prelogon.netskope.comで終わります。 これは、リアルタイム保護ポリシーでログオン前にローカル ユーザーを選択するために使用されます。注記
クライアント構成ごとに異なるユーザーを設定する必要があります。例えば：
- クライアント設定1：user1@prelogon.netskope.com
- クライアント設定2：user2@prelogon.netskope.com
クライアント設定を通じて構成されたプリログオンユーザーは、そのクライアント設定が割り当てられているグループのメンバーとして作成されます。
MSIEXECコマンド情報については、 Netskope Client 展開コマンド セクションのPrelogon接続リストへ行ってください。
安全な登録が有効な場合、ログオン前を有効にし、1 つの msiexec コマンドで認証トークンの登録/暗号化トークンの登録を展開するには、次のコマンドを実行します。
msiexec /I NSClient.msi host=<addon URL> token=<orgID> tenant=<tenant-name> domain=<tenant-domain-name> installmode=IDP mode=peruserconfig enrollauthtoken=<auth token> enrollencryptiontoken=<encryption token> prelogonuser=<user>@prelogon.netskope.com
事前ログオンとセキュア登録の両方が有効になっている場合は、クライアントのインストールモードに関係なく、トークンをデプロイする必要があります。そうしないと、プリログオンユーザーのプロビジョニングができなくなります。 - デバイス認証局を使用するには、 Select Fileをクリックして証明書を PEM 形式でアップロードします。
- デバイス証明書を証明書失効リストに対して検証するには、 Validate URL有効にします。デバイスを検証するために使用される URL は CA 証明書から取得されます。
- Start Prelogon tunnel when user tunnel disconnectsを有効にします。これにより、ユーザーがクライアントを無効にした場合でも、ユーザー トンネルが接続状態から切断状態に切り替わったときに、クライアントは常にプリログオン トンネルを再確立することができます。
注記
このオプションを有効にすると、ユーザーはログオン前にクライアントを完全に無効にすることができなくなります。 ログオン前。 ユーザーがクライアントを完全に無効にできるようにするには、このチェックボックスをオンにしないでください。
このオプションを有効にし、かつプライベートアプリの定期的な再認証も有効になっている場合、再認証の有効期限が切れると、プレログオントンネルは確立されません。
- Saveをクリックしてください。
プレログオントラフィックに対するリアルタイム保護ポリシーを作成する
リアルタイム保護の事前ログオンに使用するローカルユーザーを追加します。 そして、そのユーザーが以前に定義したプライベートアプリにアクセスできることを確認します。 これにより、ユーザーがNetskopeクラウドに対する認証に成功する前に、事前ログオンユーザーがドメインに参加できるようになります。
- Policies > Real-time Policiesに移動し、新しいポリシー ドロップダウン リストからPrivate App Segment Accessを選択します。
- ソースとして電子メール アドレスが
@prelogon.netskope.comであるユーザーを選択し、アクセス方法として「使う」 Clientを選択します。 - 宛先（プライベートアプリセグメントが事前に選択されています）。ドロップダウンリストから、事前ログオンユーザーの場合はPrivate App SegmentをSelect 。
- プロファイルとアクションについては、使う Allow。
- [ポリシーの設定] にポリシー名を入力します。
- Saveをクリックしてください。
ユーザートンネルトラフィックに対するリアルタイム保護ポリシーを作成する
プリログオンが有効になると、Netskopeで設定されクライアントと共に展開されたローカルユーザーを利用して、デバイストンネルが確立されます。ユーザーが Windows マシンにログインすると、ユーザー クレデンシャルが引き継がれて適用され、エンドポイントにログインしたユーザーの認証を前提として、後続のトラフィックがユーザー トンネルを通過します。 このシームレスな移行により、ユーザーのドメイン認証に関連付けられた別のポリシーセットを適用することで、ユーザーはログオン前の状態を超えた追加のアクセス権を取得できるようになります。このようなポリシーの一例として、ドメインに参加している2人のユーザーにPrivateAppTestへの追加アクセス権を付与する例を以下に示します。
- Policies > Real-time Policiesに移動し、新しいポリシー ドロップダウン リストからPrivate App Segment Accessを選択します。
- ソースにはユーザーを選択し、 アクセス方法にはClientを選択してください。
- 宛先（プライベートアプリセグメントが事前に選択されています）。ドロップダウンリストから、ユーザートンネルトラフィックの場合はPrivate App SegmentをSelect 。
- プロファイルとアクションについては、使う Allow。
- [ポリシーの設定] にポリシー名を入力します。
- Saveをクリックしてください。
事前ログオンのトラブルシューティング
この記事では、NPA Prelogon接続に関するトラブルシューティング方法について説明します。
ユーザーログイン
ユーザーがWindowsにログインできず、デバイスを再起動しても解決しない場合、表示されている画像のようなエラーが表示されます。
このエラーは、Active Directoryドメインコントローラーへの接続が確立されていないため、ログオンを完了できないことを示しています。このエラーに関連するよくあるケースがいくつかあります。
- 新たにプロビジョニングされたデバイス（例えば、Windows Autopilot を介してオンボーディングされる真新しいエンドポイント）。
- ユーザーのパスワードの有効期限が切れており、エンドポイント上にキャッシュされた他のユーザープロファイルが存在しません。
どちらのケースにおいても、Active Directoryへの接続方法としてNPAプレログオントンネルに依存している。 プリログオントンネルの動作により、ユーザーは にアクセスできず、トラブルシューティングに必要なNetskope Clientログを収集できません。
別のユーザーのキャッシュされたプロファイルが存在するか、ローカル管理者アカウントが設定されている場合、それらのクレデンシャルはデバイスへのアクセスを取得し、 Netskope Clientログを収集するために使用される必要があります。 以下の推奨事項は、いかなる手段を用いてもデバイスにログインできない場合のトラブルシューティング手順をガイドするものです。
デバイス登録
デバイスの登録状況を確認してください。Netskope UI で、 Settings > Security Cloud Platform > Devicesに移動し、 Add FilterとShow Pre-Logon Usersをクリックして、 Yesを選択します。その他のフィルターパラメータは 右上隅で、検索範囲や期間を絞り込むことができます。
事前ログオンのコンテキスト内で正常に登録されたデバイスは、リストに「_Prelogon」という接尾辞付きで表示されます。
登録済みのデバイスがリストに見つかった場合は、このセクションの残りの部分はスキップできます。
リストに が見つからない場合は、 Netskope Clientインストールまたは登録に問題がある可能性があります。 Netskope Clientインストール状況と設定パラメータの正当性を調査する必要があります。 以下のセクションでは、トラブルシューティングに関するヒントを提供します。
Netskope Clientインストール状況に関する調査
Autopilot による展開の場合、Intune はNetskope Clientインストール状況を取得できます。 Intune UI でDevices > Windows > Device Name > Managed Appsに移動し、[ユーザーのSelectドロップダウン リストからDevice without user選択します。
インストール ステータスが不明または失敗した場合は、管理対象デバイス上で同じコマンド ライン引数を使用してNetskope Clientインストールを手動で再現することをお勧めします。 管理対象デバイス OS バージョンとNetskope Clientバージョンは、デバイス管理ツール (Autopilot、SCCM など) 内で使用するセットアップをミラーリングする必要があります。 デバイス管理ツールを使わずに、デバイスと直接やり取りできるはずです。再現に成功したエラーに関する情報とNetskope ClientログをNetskopeサポートに提出してください。
Netskope Client構成パラメータの正確性に関する研究
事前ログオンコンテキスト内で正常に登録を行うには、 Netskope Client特定のコマンドラインパラメータを指定してインストールする必要があります。 これらのパラメータの正しさと構文、そしてそれらが適切なNetskopeテナント構成と一致しているかどうかを検証する必要があります。
Autopilot を利用したデプロイメントの場合、これらの引数は Intune UI で確認できます。Intuneのユーザーインターフェース内。Apps > Windowsに移動し、 Netskope Clientを選択してから、 Propertiesをクリックします。データを検証し、余分なスペース、行の欠落、その他の構文上の問題がないことを確認してください。正しいコマンドライン引数文字列の例を以下に示します。
host=addon-<tenant>.goskope.com token=<org-id token> prelogonuser=<user>@prelogon.netskope.com mode=peruserconfig /qn
コマンドラインの引数に関する詳細は /en/Netskope Client-for-windows.html をご覧ください。
Netskopeテナント構成の正確性に関する研究
事前ログオンの設定を確認することをお勧めします。NetskopeのUIで、 Settings > Security Cloud Platform > Devicesに移動し、適切なクライアント構成をクリックします。
クライアント構成で作成した事前ログオンユーザー名が、 Netskope Clientインストール用コマンドラインパラメータ内のユーザー名と一致していることを確認してください。
管理対象デバイスで問題を再現する
上記の手順をすべて実行してもデバイスを登録できない理由が見つからない場合は、管理対象デバイス上で同じコマンドライン引数を使用してNetskope Clientのインストールを手動で再現する必要があります。管理ツール（Autopilot、SCCMなど）を使用せずに、デバイスと直接やり取りできるはずです。インストール後、 Client Configurationを右クリックしてPrivate Accessの状態を確認してください。
ステータスがPrivate Access: Connected (User Tunnel)と報告された場合は、クライアント構成ダイアログのオプションStart pre-logon tunnel when user tunnel disconnectsがチェックされていることを確認してください。
Netskope Clientを無効にし、しばらくしてからNetskope Client設定を再度確認してください。 プリログオントンネルが接続されていると表示されるはずです。
プリログオントンネルの状態が「切断済み」または「該当なし」と表示される場合、管理対象デバイスにも問題があることが確認できます。Netskope Clientを右クリックし、ログバンドルを収集してNetskopeサポートと共有します。
Netskope Tenant Configuration for Prelogon
NetskopeのUIで Settings > Security Cloud Platform > App Definition >Private App Segments > Troubleshooterに移動します。
ドロップダウンリストから必要なアプリケーション（Active Directoryなど）、ログオン前のクライアント構成と登録済みの適切なユーザー名Select 。 次にTroubleshootをクリックします。
トラブルシューターツールは、Netskopeテナント構成を、考えられる問題のリストと照らし合わせて評価します。よくある問題点は以下のとおりです。
- 指定された事前ログオンユーザー名に対して、ステアリング構成がクライアント構成と一致していません。
- リアルタイム保護ポリシーには、Active Directoryリソースへの接続を許可するための適切なエントリがありません。
- パブリッシャーがActive Directoryリソースに接続できないか、プライベートアプリに対して誤ったパブリッシャーが選択されています。
- マシン証明書の検証に問題があります。
トラブルシューターツールについて詳しくは、「 Private Accessトラブルシューティング」をご覧ください。