macOS にクライアントを展開する Intune を使う

この記事では、Microsoft Intune を使用して macOS デバイス (Big Sur 以降) にNetskope Clientを展開する手順について説明します。以下の手順は、macOS にNetskope Clientデプロイするためのものです。 macOS 11.x (Big Sur) 以降が動作している必要があります。

前提条件

macOS 11.x（Big Sur）以降を搭載したデバイス。
Microsoftのエンドポイントマネージャーにデバイスを登録します。
Netskopeのルート証明書と中間証明書をダウンロードし、.cerファイルに変換してください。拡大。詳細については、「証明書」を参照してください。

証明書を.pemから.cerに変換するには、ターミナルで以下のコマンドを実行してください。
openssl x509 -inform PEM -in rootcaCert.pem -outform DER -out rootcaCert.cer
Netskopeテナントにユーザーがプロビジョニングされていることを確認してください。 SCIMまたはディレクトリインポーター。ユーザープロビジョニングの詳細については、「プロビジョニングと認証」および「ディレクトリインポーターの設定」を参照してください。
もしあなたがクライアント展開のIdPモードで、SAMLフォワードプロキシ認証を設定および検証します。 SAMLフォワードプロキシ認証の詳細については、「プロビジョニングと認証」を参照してください。

展開手順

macOS にクライアントをデプロイするには、以下の手順を実行してください。 Intune:

Microsoft Intune Admin Cente r にサインインしてください。
Devices > macOS devicesへ移動してください。Netskope Clientをインストールするデバイスが一覧に表示されていることを確認してください。
Netskope証明書をデプロイするための構成プロファイルを2つ作成します。
1. macOS policies > Configuration Profiles > Create Profileに移動し、 Profile Type Templatesとして、 Template nameをTrusted Certificateとして選択します。
2. Createをクリックしてください。
  
  設定内容が反映されてページが更新されます。
3. ルート証明書プロファイルの名前を入力し、 Nextをクリックしてください。
4. フォルダアイコンをクリックしてNetskopeルート証明書（.cerファイル）を選択し、 Nextをクリックして続行します。
5. 適切なデバイスグループを割り当てて、 Nextをクリックします。
6. 設定を確認し、 Createをクリックしてください。
7. 手順を繰り返しますNetskopeルート証明書をアップロードし、 Netskope中間証明書をアップロードするための別の構成プロファイルを作成します。

Netskope サポートポータルからNetskope Intuneの設定スクリプトをダウンロードしてください。

Extract the contents of MAC-MDM-script.zip file.
スクリプトをテキストエディタで開き、 #Intune Deployment exampleセクションを探してください。コメント（#）を削除して行を変更します。

要件に応じてデプロイメントモードを選択し、各モードごとにパラメータ4～8のスクリプトオプションを以下のように更新してください。

展開モード	Configuration Parameters
IDPシングルユーザーモード	パラメータ4：IDPと入力して、クライアントの展開モードがIDPであることを指定します。パラメータ5：ドメイン名。例えば、テナントの URL が https://corp.goskope.com の場合、次に、goskope.com と入力してください。 Parameter 6: Tenant name. Example, If your tenant URL is https://corp.goskope.com, enter corp. パラメータ 7: 電子メールアドレス要求オプション。ユーザーの電子メールアドレスを要求しない場合は、0 を入力します。ユーザーの電子メールアドレスを要求するには、1 を入力します。パラメータ 8: enrollencryptiontoken を入力してください。これは、 Settings > Security Cloud Platform > MDM Distribution > Secure Enrollmentでセキュア登録を有効にした場合に取得できるEnforce encryption of initial configuration of Netskope Clientトークンです。 set -- 0 0 0 idp< tenant domain name >< tenant name > 0/1 enrollencryptiontoken=< 暗号化 token > 例えば、テナントの詳細が次のようになっている場合： Tenant: abcde.eu.goskope.com 組織ID: xxxxxxxxxxxxxxxxxxx Encryption Token: yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy set -- 0 0 0 idp eu.goskope.com abcde 0 enrollencryptiontoken=yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy
IDPマルチユーザーモード	パラメータ4：IDPと入力して、クライアントの展開がIDPモードであることを指定します。パラメータ5：ドメイン名。例えば、テナントの URL が https://corp.goskope.com の場合、次に、goskope.com と入力してください。 Parameter 6: Tenant name. Example, If your tenant URL is https://corp.goskope.com, enter corp. パラメータ 7: 電子メールアドレス要求オプション。ユーザーの電子メールアドレスを要求しない場合は、0を入力してください。ユーザーの電子メールアドレスを要求するには、1 を入力します。パラメータ8：peruserconfigと入力して、マルチユーザーIDP展開モードを指定します。パラメータ 9: enrollencryptiontoken を入力してください。これは、 Settings > Security Cloud Platform > MDM Distribution > Secure Enrollmentでセキュア登録を有効にした場合に取得できるEnforce encryption of initial configuration of Netskope Clientトークンです。 Set -- 0 0 0 idp< tenant domain name >< tenant name > 0/1 peruserconfig enrollencryptiontoken=< 暗号化 token > 例えば、以下の入居者情報がある場合: Tenant: abcde.eu.goskope.com 組織ID: xxxxxxxxxxxxxxxxxxx Encryption Token: yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy set -- 0 0 0 idp eu.goskope.com abcde 0 peruserconfig enrollencryptiontoken=yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy
AD に参加していない macOS デバイス (シングルユーザーインストール) の場合	パラメータ4：テナントのURL。例えば、テナントの URL が https://corp.goskope.com の場合、addon-corp.goskope.com にアクセスしてください。パラメータ 5: リリース 90.2 以降の場合 - 組織 ID。パラメータ6：設定ファイル（plist）の名前。ファイル名を入力する際は、拡張子「.plist」を含めた完全なファイル名を入力してください。拡張機能。例: Netskope .plist 。 .plist ファイルの URL に HTTP を追加しないでくださいファイル。 Parameter 7 : Enter the keyword preference_email. パラメータ8：enrollauthtokenを入力してください。これは、 Settings > Security Cloud Platform > MDM Distribution > Secure Enrollmentでセキュア登録を有効にした場合に取得できるEnforce authentication of Netskope Client Enrollmentトークンです。パラメータ9：enrollencryptiontokenを入力してください。これは、 Settings > Security Cloud Platform > MDM Distribution > Secure Enrollmentでセキュア登録が有効になっている場合に取得できるEnforce encryption of initial configuration of Netskope clientトークンです。 set -- 0 0 0< tenant name > < tenant domain >addon-..goskope.com< Org ID >< plist file name > preference_email enrollauthtoken=< authentication token > enrollencryptiontoken=< 暗号化 token > 例えば、テナントの詳細が次のようになっている場合： Tenant: abcde.eu.goskope.com 組織ID: xxxxxxxxxxxxxxxxxxx Authentication Token: zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz Encryption Token: yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy set -- 0 0 0 addon-abcde.eu.goskope.com xxxxxxxxxxxxxxxxxxx PreferenceProfileName.plist preference_email enrollauthtoken=zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz enrollencryptiontoken=yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy Intune で plist を作成する方法については、 Intune で plist を表示してください。

展開モード

Configuration Parameters

IDPシングルユーザーモード

パラメータ4：IDPと入力して、クライアントの展開モードがIDPであることを指定します。

パラメータ5：ドメイン名。例えば、テナントの URL が https://corp.goskope.com の場合、次に、goskope.com と入力してください。

Parameter 6: Tenant name. Example, If your tenant URL is https://corp.goskope.com, enter corp.

パラメータ 7: 電子メールアドレス要求オプション。ユーザーの電子メールアドレスを要求しない場合は、0 を入力します。ユーザーの電子メールアドレスを要求するには、1 を入力します。

パラメータ 8: enrollencryptiontoken を入力してください。これは、 Settings > Security Cloud Platform > MDM Distribution > Secure Enrollmentでセキュア登録を有効にした場合に取得できるEnforce encryption of initial configuration of Netskope Clientトークンです。

set -- 0 0 0 idp< tenant domain name >< tenant name > 0/1 enrollencryptiontoken=< 暗号化 token >

例えば、テナントの詳細が次のようになっている場合：

Tenant: abcde.eu.goskope.com

組織ID: xxxxxxxxxxxxxxxxxxx

Encryption Token: yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy

set -- 0 0 0 idp eu.goskope.com abcde 0 enrollencryptiontoken=yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy

IDPマルチユーザーモード

パラメータ4：IDPと入力して、クライアントの展開がIDPモードであることを指定します。

パラメータ5：ドメイン名。例えば、テナントの URL が https://corp.goskope.com の場合、次に、goskope.com と入力してください。

Parameter 6: Tenant name. Example, If your tenant URL is https://corp.goskope.com, enter corp.

パラメータ 7: 電子メールアドレス要求オプション。ユーザーの電子メールアドレスを要求しない場合は、0を入力してください。ユーザーの電子メールアドレスを要求するには、1 を入力します。

パラメータ8：peruserconfigと入力して、マルチユーザーIDP展開モードを指定します。

パラメータ 9: enrollencryptiontoken を入力してください。これは、 Settings > Security Cloud Platform > MDM Distribution > Secure Enrollmentでセキュア登録を有効にした場合に取得できるEnforce encryption of initial configuration of Netskope Clientトークンです。

Set -- 0 0 0 idp< tenant domain name >< tenant name > 0/1 peruserconfig enrollencryptiontoken=< 暗号化 token >

例えば、以下の入居者情報がある場合:

Tenant: abcde.eu.goskope.com

組織ID: xxxxxxxxxxxxxxxxxxx

Encryption Token: yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy

set -- 0 0 0 idp eu.goskope.com abcde 0 peruserconfig enrollencryptiontoken=yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy

AD に参加していない macOS デバイス (シングルユーザーインストール) の場合

パラメータ4：テナントのURL。例えば、テナントの URL が https://corp.goskope.com の場合、addon-corp.goskope.com にアクセスしてください。

パラメータ 5: リリース 90.2 以降の場合 - 組織 ID。

パラメータ6：設定ファイル（plist）の名前。ファイル名を入力する際は、拡張子「.plist」を含めた完全なファイル名を入力してください。拡張機能。
例: Netskope .plist 。 .plist ファイルの URL に HTTP を追加しないでくださいファイル。

Parameter 7 : Enter the keyword preference_email.

パラメータ8：enrollauthtokenを入力してください。これは、 Settings > Security Cloud Platform > MDM Distribution > Secure Enrollmentでセキュア登録を有効にした場合に取得できるEnforce authentication of Netskope Client Enrollmentトークンです。

パラメータ9：enrollencryptiontokenを入力してください。これは、 Settings > Security Cloud Platform > MDM Distribution > Secure Enrollmentでセキュア登録が有効になっている場合に取得できるEnforce encryption of initial configuration of Netskope clientトークンです。

set -- 0 0 0< tenant name > < tenant domain >addon-..goskope.com< Org ID >< plist file name > preference_email enrollauthtoken=< authentication token > enrollencryptiontoken=< 暗号化 token >

例えば、テナントの詳細が次のようになっている場合：

Tenant: abcde.eu.goskope.com

組織ID: xxxxxxxxxxxxxxxxxxx

Authentication Token: zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz

Encryption Token: yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy

set -- 0 0 0 addon-abcde.eu.goskope.com xxxxxxxxxxxxxxxxxxx PreferenceProfileName.plist preference_email enrollauthtoken=zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz enrollencryptiontoken=yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy

Intune で plist を作成する方法については、 Intune で plist を表示してください。

スクリプトを保存してください。

システム拡張機能を追加するには、 macOS policies > Configuration Profiles > Create Profileに移動し、 Profile Type Settings Catalogとして選択します。

次のスクリーンショットに示すように、テンプレート「Extensions」はマイクロソフトによって非推奨となっているため、プロファイルを保存することはできません。
1. Createをクリックしてください。
  
  Create Profileウィンドウが開きます。
2. Basicsには、プロフィール名を入力してください。
3. 続行するにはNextをクリックしてください。
4. Configuration Settingsで+Add Settingsをクリックします。
5. Settings Pickerでカテゴリを選択すると、利用可能なすべての設定が表示されます。
6. System Configuration > System Extensions Select 。
  
  これにより、登録済みデバイスのシステム拡張機能ペイロード設定を構成するための別のウィンドウが開きます。
7. Allowed System ExtensionsのチェックボックスSelect 。
  
  Allowed System Extensions以下のオプションはすべてデフォルトで選択されています。
8. Allowed System Extensionsの設定を選択したら、左側のペインでConfiguration Settingsに移動し、 +Edit Instanceをクリックします。
9. Configure Instanceウィンドウに以下を追加します。
  - Bundle Identifier: com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy
  - Team Identifier: 24W52P9M7W
10. Saveをクリックしてください。
11. 続行するにはNextをクリックしてください。
12. Scope tags （オプション）では、特定のグループ内のプロファイルにタグを割り当てます。
13. 続行するにはNextをクリックしてください。
14. Assignmentで、あなたのプロフィールを受け取るユーザーまたはグループを選択してください。
15. 続行するにはNextをクリックしてください。
16. Review+Createでは、ポリシー構成を確認できます。
17. Createをクリックしてください。
18. エンドユーザーデバイスのProfilesオプションを使用して、システム拡張機能が正常にデプロイされたかどうかを検証します。
macOS Sonoma 以降でフルディスクアクセス権限を付与するには、 Dashboard > Devices > macOS > Configuration Profiles > Create Profile > New Policyに移動します。
1. TemplatesドロップダウンメニューからSettings Catalog Select 。
2. Createをクリックしてください。
  
  Create Profileウィンドウが開きます。
3. Basicsには、プロフィール名を入力してください。
4. 続行するにはNextをクリックしてください。
5. Configuration Settingsで+Add Settingsをクリックします。
6. Settings Pickerでカテゴリを選択すると、利用可能なすべての設定が表示されます。
7. Privacy > Privacy Preferences Policy Control Select 。
  
  これにより、プライバシー設定ポリシー制御ペイロードを構成するための別のウィンドウが開きます。
8. Servicesの下のSystem Policy All FilesのチェックボックスSelect 。
  
  システムポリシーのすべてのオプションのうち、「すべてのファイル」がデフォルトで選択されています。
9. プライバシー設定ポリシー制御の設定を選択したら、左側のペインでConfiguration Settingsに移動し、 +Edit Instanceをクリックします。
10. Configure Instanceウィンドウに以下を追加します。
  - 有効/無効を切り替えるには、 AllowedからTrueまで切り替えます。
  - Code Requirement:
```
anchor apple generic and identifier "com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")
```
  - Identifier: com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy
  - Identifier Type: バンドルID。
  Privacy Preferences Policy Controlの下のAuthorizationフィールドを削除できます。クリック削除するAuthorizationフィールドの横。
11. Saveをクリックしてください。
12. 続行するにはNextをクリックしてください。
13. Scope tags （オプション）では、特定のグループ内のプロファイルにタグを割り当てます。
14. 続行するにはNextをクリックしてください。
15. Assignmentで、あなたのプロフィールを受け取るユーザーまたはグループを選択してください。
16. 続行するにはNextをクリックしてください。
17. Review+Createでは、ポリシー構成を確認できます。
18. Createをクリックしてください。
  
  エンドポイントDLPの場合、以下の識別子およびコード要件を追加できます:
  – 識別子:com.Netskope.epdlp.client
  – コード要件: anchor apple generic and identifier "com.netskope.epdlp.client" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")
  詳しくは: macOSの Netskope Client でエンドポイントDLPを有効にする方法。
macOS policies > Configuration Profilesへ移動してください。
1. Netskopeサポートポータルからカスタム構成プロファイルをダウンロードしてください。ここで、 Files > View Al l をクリックして、構成プロファイルファイル (NetskopeClient.mobileconfig) を見つけます。
2. Create Profile Select 、 Profile Typesオプションの下でTemplates > Customを選択します。 Createをクリックしてください。
  
  Netskope ClientをmacOSにデプロイする前に、構成プロファイルを作成することをお勧めします。これにより、MDMを介してNetskopeアプリプロキシを事前に承認し、エンドユーザーの承認なしにトラフィックをサイレントにルーティングすることが可能になります。
3. Specify a profile name.
4. Deployment Channe l オプションをDevice Channelのままにしてください。
5. Netskopeサポートポータルからダウンロードしたカスタム構成プロファイルをアップロードしてください。続行するにはNextをクリックしてください。
6. 適切なユーザーまたはグループSelectて割り当てます。続行するにはNextをクリックしてください。
7. 設定を確認し、 Createをクリックしてください。
8. エンドユーザーデバイスのProfilesオプションを使用して、インストールが成功したかどうかを検証します。
ADドメインに参加していないデバイス用にIntuneでPLISTを作成する場合は、「IntuneでPLISTを作成する」セクションを参照してください。

証明書チェーンの検証

Macのキーチェーンに保存されている証明書チェーン全体を検証できます。

IDプロバイダー登録ワークフロー

Netskope Client登録する場合 IntuneでIdPモードを選択する場合は、以下の手順を実行してください。

IntuneでNetskope Clientをデプロイする手順を完了すると、プロキシ構成を許可するよう求める通知が届きます。
Allowをクリックしてください。
Enroll Netskope ClientにEmail Addressを入力してください。
Nextをクリックしてください。
テナント名を入力し、各ユーザーのIT部門が共有しているテナントドメインを選択してください。
◇、認証クレデンシャルを使用してサインインして、登録プロセスを完了できます。

Intuneで、Active Directoryドメインに参加していないデバイス用のPLISTを作成する

Intuneで設定ファイルを作成するには、以下の手順が必要です。

設定ファイルを使用してプロファイルを作成します。
Intuneにスクリプトファイルをアップロードしてください。

詳細については、「物件リストの追加」をご覧ください。

Create a Profile Using the Preference File

PLIST ベースのインストールを使用してクライアントを展開する場合は、プロファイルタイプをプリファレンスファイルとして作成し、トークン {{mail}} を使用して電子メール変数を定義します。

プロフィールを作成するには、以下の手順に従ってください。

Microsoft Intune Admin Centerにサインインしてください。
Devices > Configuration Profiles > Create Profileに移動します。
プロフィール作成ページで、以下の詳細情報を入力してください。
- Platform: macOS Select
- Profile Type: テンプレート。設定ファイルとしてテンプレート名Select 。
Createをクリックしてください。
Basicsに名前とデスクリプションを入力します
Nextをクリックしてください。
Configuration Settingsには、以下の詳細を記入してください。
- Preference domain name: バンドル ID を入力してください: com. Netskope Client . Netskope Client .
- 物件リストファイルをアップロードしてください。
```
<key>email</key>
<string>{{mail}}</string>
```
Next Select 。
Scopeでは、プロファイルを特定の IT グループにフィルタリングするためのタグを割り当てます。
Next Select 。
Assignmentで、あなたのプロフィールを受け取るユーザーまたはグループを選択してください。
Next Select 。
Review + Createで設定を確認し、 Createをクリックしてください。

Intuneにプリインストールスクリプトファイルをアップロードする

プリインストールスクリプトをアップロードするには、以下の手順を実行してください。 macOSアプリ（PKG）の種類：

Appsに移動 > [作成] をクリックします。
Click Create.
Select app typeで、 App typeドロップダウンメニューからmacOS app (PKG)を選択してください。
Selectをクリックしてください。
Select fileでselect app package fileをクリックします。

これにより、別の画面でアプリパッケージファイルが開きます。
app package fileで、フォルダーアイコンをクリックして.pkgを選択します。ローカルフォルダからファイルをダウンロードしてください。
OKをクリックしてください。
App Informationの下にPublisher nameを入力してください。
Nextをクリックしてください。
Programの下に、Netskope Intune 構成スクリプト (サポートポータルからダウンロードしたもの) をコピーしてPre-install scriptに貼り付けます。

インストール前のスクリプトで、次の例に示すように、スクリプト内の「環境設定モード」を更新してください。
```
set -- 0 0 0 addon-<tenant-URL> <ORG ID> template.plist preference_email
```
このセクションのConfiguration Settingsの plist ファイル名とtemplate.plistパラメータが一致する必要があります。例えば、このセクションで設定されているcom.netskope.client.Netskope-Client.plistを追加します。
Nextをクリックしてください。
Requirementsの下で、最小動作環境Select 。
Nextをクリックしてください。
Detection Rulesの下で、 AppleBundleIDsを確認してください。

バンドル ID com. Netskope Client .nsIPFilterNKE を削除できます。バンドルIDを削除するには、削除アイコンをクリックしてください。
Nextをクリックしてください。
Assignmentの下で、あなたのプロフィールを受け取るユーザーまたはグループを選択してください。
続行するにはNextをクリックしてください。
Review+Createの下で、ポリシー設定を確認できます。
Createをクリックしてください。