iOS にクライアントを展開する Intune

Netskope 、iOS デバイス用の Intune オンデマンドおよびアプリごとの VPN をサポートしています。 これにより、機密情報を安全に保ちながら、ユーザーに企業アプリケーション、データ、リソースへのアクセスを提供できます。

前提条件

Intuneを設定する前に：

• Netskope UI で、 Settings > Manage > Certificates > Signing CAに移動します。Netskopeのルート証明書をダウンロードしてください。

  – このバンドルには、地域証明書、中間証明書、およびnsrootCA証明書の3つの証明書が含まれています。Intuneはプロファイルごとに1つの証明書しか取り込めないため、これらの証明書を3つの個別の証明書に分割し、Intuneで対応する3つの証明書プロファイルを作成する必要があります。
  – Netskopeのルート証明書は.pem形式です形式。.cer または .crt に変換してくださいインポート前にフォーマットしてください。証明書を.pemから.cerに変換するには、ターミナルで次のコマンドを実行してください:
  openssl x509 -inform PEM -in <filename.pem> -outform DER -out <filename.cer>

• Settings > Security Cloud Platform > Netskope Client > MDM DistributionからOrganization IDトークンを見つけて保存します。

• Settings > Security Cloud Platform > Netskope Client > MDM DistributionからSecure Enrollmentトークンを見つけて保存します。

• MDM/EMM プラットフォーム内でプロビジョニングされたユーザー アカウントが、 Netskopeテナントでプロビジョニングされたユーザー アカウントと一致することを確認します。

展開手順

Netskope Clientデプロイするには、以下のセクションの手順に従ってください。 Intune。

Netskope iOSクライアントをMS Intuneに登録する

1. Apps > iOS/iPadOS appsへ移動してください。

2. + Addをクリックしてください。

3. App typeドロップダウン メニューからiOS store app Select 。

   

   組織がApple Business ManagerまたはApple School Managerを利用している場合は、それぞれのツールを通じてNetskope Clientを購入してください。トークンの同期が完了すると、Netskope Clientがデプロイ可能なアプリケーションの一覧に表示されます。

4. Selectをクリックしてください。

5. App InformationからSearch the App Storeをクリックし、 Netskope Client アプリを選択してアプリケーションを追加します。

   

6. Selectをクリックしてください。App Informationセクションには、UI に関する詳細情報が表示されます。ここでは追加の設定は必要ありません。

   

7. Nextをクリックしてください。

8. アプリケーションをデバイスまたはユーザーに割り当てます。続行するにはNextをクリックしてください。

   

9. アプリケーションの作成を完了するには、 Createをクリックしてください。

ゼロタッチ登録とオンデマンドVPN構成

設定するには：

1. Devices > iOS/iPadOS > Configuration > Create New Policyへ移動してください。

2. テンプレートとしてProfile Type 、カスタムとしてTemplate name Select 。

   

3. Createをクリックしてください。

4. Basicsには、プロフィールの説明的な名前を入力してください。例えば、iOSのゼロタッチオンデマンド機能など。

5. Nextをクリックしてください。

6. Configuration settings内:

   1. Custom configuration profile nameに分かりやすい名前を入力してください。

   2. 以下のXMLコンテンツを保存し、必要な変更を加えてください。

   3. テナント固有の詳細情報で XML ファイルを更新した後、 Configuration profile fileの下にファイルをアップロードしてください。

      
      <?xml version="1.0" encoding="UTF-8"?>
      <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
      <plist version="1.0">
      <dict>
         <key>PayloadContent</key>
         <array>
             <dict>
                 <key>IPv4</key>
                 <dict>
                     <key>OverridePrimary</key>
                     <integer>1</integer>
                 </dict>
                 <key>PayloadDescription</key>
                 <string>Configures VPN settings</string>
                 <key>PayloadDisplayName</key>
                 <string>VPN</string>
                 <key>PayloadIdentifier</key>
                 <string>com.apple.vpn.managed.BB54E90D-B34E-4C96-97B3-EBC608E10C7C</string>
                 <key>PayloadType</key>
                 <string>com.apple.vpn.managed</string>
                 <key>PayloadUUID</key>
                 <string>BB54E90D-B34E-4C96-97B3-EBC608E10C7C</string>
                 <key>PayloadVersion</key>
                 <integer>1</integer>
                 <key>Proxies</key>
                 <dict>
                     <key>HTTPEnable</key>
                     <integer>0</integer>
                     <key>HTTPSEnable</key>
                     <integer>0</integer>
                 </dict>
                 <key>UserDefinedName</key>
                 <string>Netskope VPN</string>
                 <key>VPN</key>
                 <dict>
                     <key>AuthenticationMethod</key>
                     <string>Password</string>
                     <key>IncludeAllNetworks</key>
                     <integer>0</integer>
                      <key>OnDemandUserOverrideDisabled</key>
                      <true/>
                     <key>OnDemandEnabled</key>
                     <integer>1</integer>
                     <key>OnDemandRules</key>
                     <array>
                       <dict>
                       <key>Action</key>
                       <string>Connect</string>
                       </dict>
                     </array>
                     <key>RemoteAddress</key>
                     <string>gateway-<tenant-URL></string>
                 </dict>
                 <key>VPNSubType</key>
                 <string>com.netskope.Netskope</string>
                 <key>VPNType</key>
                 <string>VPN</string>
                 <key>VendorConfig</key>
                 <dict>
                     <key>AddonHost</key>
                     <string>addon-<tenant-URL></string>
                     <key>OrgKey</key>
                     <string><your organization ID></string>
                     <key>UserEmail</key>
                     <string>{{mail}}</string>
                     <key>enrollauthtoken</key>
                     <string><Secure Enrollment Auth token></string>
        <key>enrollencryptiontoken</key>
                     <string><Secure Enrollment Encryption token></string>
                 </dict>
             </dict>
         </array>
         <key>PayloadDisplayName</key>
         <string>Netskope VPN</string>
         <key>PayloadIdentifier</key>
         <string>MacBook-Air</string>
         <key>PayloadRemovalDisallowed</key>
         <false/>
         <key>PayloadType</key>
         <string>Configuration</string>
         <key>PayloadUUID</key>
         <string>64A21995-FBDA-4824-8DA9-1789F40E4869</string>
         <key>PayloadVersion</key>
         <integer>1</integer>
      </dict>
      </plist>
      

      {{mail}}の代わりに{{userprincipalname}}を文字列値として追加することもできます。

      

      以下のパラメータをテナントに応じて値に置き換えてください。
      – 52 行目: gateway-<tenant-URL>
      – 61 行目: addon-<tenant-URL>
      <organization ID>
      – 63 <Secure Enrollment Auth token>
      行目:<Secure Enrollment Encryption token> – 67 行目: – 69 行目:

7. 適切なユーザー/デバイスグループを割り当ててください。

8. Nextをクリックしてください。

9. 設定を確認してください。

10. Createをクリックしてください。

Netskope Client 、登録データがXML経由で提供される場合、ユーザーの操作なしにサイレント登録を行うことができます。 構成プロファイル。 現在、Intune は VPN プロファイルのキーと値のペアで {{mail}} などの変数をサポートしていません。したがって、App Configuration は主要な登録データとして使用されます。

アプリごとのVPN設定

1. Apps > App Configuration Policiesに移動して、必要なポリシーを Unified Netskope Client に追加してください。

2. +AddをクリックしてManaged Devicesを選択してください。

3. Create app configuration policyページのBasicsセクションに以下の詳細を入力し、 Nextをクリックしてください。

   • Name: ポリシーに名前を付けます。

   • Platform: iOS/iPadOS Select 。

   • Targeted App: Netskope Client Select 。

4. Create app configuration policyページのSettingsセクションで、[構成設定形式] ドロップダウン メニューから [構成デザイナーを使う] オプションを選択します。

5. Netskope Client登録プロセスを完了するために必要なキーと値のペアを提供してください。

   • UserEmail: {{郵便}}

     ADからNetskopeにUPNが同期されている場合、 キーと値のペア – UserEmail: {{userPrincipalName}} 。

   • AddonHost: <addon-hostname>. For example, addon-<tenant-URL>.

   • OrgKey: <Organization Key>＜組織図の凡例＞

   • enrollauthtoken: < Authentication Token>

   • enrollencryptiontoken: <Encryption Token>

   キー <enrollauthtoken> と <enrollencryptiontoken> は、テナントでセキュア登録を有効にしている場合にのみ必要です。
   – enrollauthtoken Enforce authentication of Netskope Client Enrollmentトークンを指定します (必須)。
   – enrollencryptiontoken Enforce encryption of initial configuration of Netskope clientトークンを指定します (オプション)。

   

6. アプリ構成ポリシーの作成ページのAssignmentsセクションで、ポリシーを適用するグループを [割り当て先] ドロップダウン メニューから選択し、 Nextをクリックします。

   

7. アプリ構成ポリシーページReview + createセクションで、構成を確認し、 Createをクリックします。

VPNプロファイルを作成する

Netskope Clientインストールされると、モバイル端末にオンデマンドVPNプロファイルを作成しようとします。 その結果、追加のユーザープロンプトが表示されます。ユーザーへのプロンプトを抑制したり、VPNプロファイルの設定をカスタマイズしたり（例えば、オンデマンドではなくアプリごとに作成するなど）するには、Intuneを使用してVPNプロファイルを作成してプッシュすることをお勧めします。詳細については、 「プロフィールの作成」をご覧ください。

1. Devices > iOS/iPadOS  policies > Configuration Profiles > Create Profileへ移動してください。

2. テンプレートとして Profile Type選択し、テンプレート名としてVPN Select 。

3. Createをクリックしてください。

4. Basicsにプロフィールの説明的な名前を入力し、 Nextをクリックしてください。

5. Configuration settingsでは、 Connection Typeを Custom VPNとして選択します。

6. 接続タイプを選択したら、以下の手順を実行してください。

   1. Base VPNの下に以下を入力してください。

      • Connection name

      • VPN server address: gateway-<tenant-URL>

      • Authentication method: ユーザー名とパスワード

      • VPN identifier: com. Netskope . Netskope

      要件に応じて、キーと値のペアのセクションに以下を入力してください。

      鍵	Value	デスクリプション
      SingleSignOn	真実	-
      TerminateOnSleepThreshold	推奨値の範囲：20～75秒。 値：0（デフォルト）は、既存のレガシー動作（スリープ／ウェイク処理なし）を意味します。	Netskope Clientネットワークアクティビティがない状態でスリープモードから復帰した後のスリープ時間を確認します。 値が指定された秒数を超えた場合、即座に終了します。
      ステアリング操作を強制的に無効にします	真実	展開に必要なのはNPAのみの交通誘導である場合。
      オンデマンド接続ホールドタイムアウト	秒単位の数値。例えば、20	iOSのオンデマンド接続保持機能を制御するためのタイムアウトを定義します。VPNプロファイル内のこの数値は、トンネルが正常に確立され、トラフィックが処理されるまで、接続をより長時間維持することができます。Netskope通常の接続時間をカバーするのに十分な大きさの値を推奨します。

      

      Key-value pairs for Netskope Client enrollment using IDP in iOS devices (Optional)

      以下の 4 つのキーと値のペアはオプションであり、 ユーザー登録を実行する必要がある場合にのみ使用できます。 IDP。

      鍵	Value	デスクリプション
      IDPMode	組み込み型、または Scheme	クライアントのインストール時に有効にするブラウザサポートを指定するモードを選択してください。Modeは値を持つ文字列であり、スクリプトには以下のいずれかの値を追加できます。 埋め込み：デフォルト値で、既存のミニブラウザを開きます（NPA再認証の場合のみ適用されます）。 Scheme: Uses default browser.
      IDPpreferEphemeral	True, or False	値を次のように設定した場合： 正しい：これは、デフォルトのブラウザから一時的な（プライベートな）ブラウザウィンドウを要求することを意味します。 誤り：これは、デフォルトのブラウザから通常の（プライベートではない）ブラウザウィンドウを要求することを意味します。
      IDPTenant	<tenant-name>	テナントの URL が acme.eu.goskope.com の場合、テナント価値は最高潮だ。
      IDPDomain	<domain-name>	テナントの URL が acme.eu.goskope.com の場合、その場合、ドメインはeu.goskope.comとなります。
      IDPScope	all	この文字列は、Netskope Private Access (NPA) の再認証にのみ適用されます。IDScopeの値をNPAに設定してくださいNPA再認証専用の外部ブラウザ。 これは、非 IDP 登録方法を使用する場合に便利です。 Note: NPA再認証のデフォルトブラウザを有効にするためのこのオプション

      

      Custom Device Identity Key-Value Pairs for iOS

      Netskope Client for iOS は、以前はデバイス識別子およびホスト名として独自の不透明な UUID を生成していました。シリアル番号は常に「N/A」と報告されていました (Apple プラットフォームの制限)。その結果、IT 管理者とセキュリティ管理者は、 Netskopeウェブ UI のデバイスを MDM またはヘルプ デスク システムの既知の資産と照合することが困難になり、インシデント対応とデバイス監査が遅くなりました。 MDMがプロファイルプッシュ時に設定できる、以下のオプションのVPNプロファイルキー：

      鍵	Value	デスクリプション
      CustomDeviceSerialNumber	資産のシリアル番号を入力してください。定義されていない場合、システムはWebUIに「N/A」と表示します。 使う この変数でデバイスのシリアル番号を送信します: {{SerialNumber}}	CustomDeviceSerialNumberは動的な値です。接続ごとに、MDM VPNプロファイル内の現在の値を取得します。
      CustomDeviceName	人間が読みやすいデバイス名を入力してください。 この変数を使用してデバイス名を送信します: {{DeviceName}}	CustomDeviceNameは動的な値です。接続ごとに、MDM VPNプロファイル内の現在の値を取得します。

      例えば、iOSに追加された以下のデバイスキーと値のペアを考えてみましょう。

      

      デバイス WebUI には、MDM プロファイルに追加された値に従ってデバイス名とシリアル番号が表示されます。

      

   2. Automatic VPNの下で、次の VPN タイプを選択してください。

      • Per-App VPN

        • プロバイダの種類として「packet-tunnel」を指定してください。

        • 必要に応じて、関連ドメイン、SafariのURL、および除外ドメインを指定してください。

          

   3. 適切なユーザー/デバイスグループを割り当てて、 Nextをクリックします。

   4. 設定を確認してクリック Create

アプリごとの VPN プロファイルをアプリに関連付ける

VPN接続を経由させるアプリケーションに、アプリごとのVPNプロファイルを関連付けます。

1. MEM管理コンソールで、 Apps > All apps に移動し、そこにリストされているアプリのいずれかを選択して、 Propertiesをクリックします。

   

2. アプリのPropertiesページで、 Edit をクリックして課題を確認してください。

   

3. Requiredセクションで、 Add Groupをクリックします。検索して1つ以上のグループを選択し、 Selectをクリックします。

   

4. VPNをクリックし、ドロップダウンメニューから適切なアプリごとのVPN設定を選択してください。