MacOS でのクライアント展開使う Jamf Pro

Jamf Pro は、Apple iOS および macOS デバイスのエンドポイントを管理するエンタープライズモビリティ管理ツールです。この記事では、MacOS デバイスを使う Jamf Pro にNetskope Clientをインストールする手順を説明します。

前提条件

管理者は、Jamf Proに関する十分な実務知識を有している必要があります。
管理者は、 Netskope Clientクライアント登録方法を確認し、自身の環境で利用可能なクライアントユーザー登録方法を理解する必要があります。
Netskopeテナントにユーザーをインポートします。Netskope Netskope Clientのユーザーのプロビジョニングを参照してください。
Netskopeのルート証明書およびテナント証明書をダウンロードし、必要なときに証明書が利用可能であることを確認しましょう。
「IdP 経由でNetskope Clientデプロイする場合」を参照してください。ユーザー登録方法として IDP を使用します。
PLISTユーザー登録方法の場合：
- Jamf には、既存のユーザー (電子メール) とデバイスのマッピングが必要です。
- プッシュ通知が有効になっているJamf Pro。
- コンピュータの JAMF Pro エントリには、範囲内のすべてのコンピュータで使用できる電子メールフィールドが必要です。
最新のJAMFスクリプト（JAMFScripts.zip）をダウンロードしてください。Netskopeサポートポータルから。これにより、JAMFScript_v22_Nov2024というファイルがダウンロードされます。このファイルには以下の2つのファイルが含まれています。
- jamfuninstall.sh
- nsclientconfig.sh – スクリプトを追加するときにこのファイルを使用します。

対応プラットフォームと登録方法

この記事では、次のユーザー登録方法とサポートされているプラットフォームに関するNetskope Client展開手順の概要を説明します。ここに記載されていないユーザー登録方法は、現時点ではサポートされていません。

登録方法	シングルユーザー	Multi-user
国内避難民	Y	Y
PLIST	Y	N

構成プロファイルの設定

Jamf構成プロファイルは、クライアントインストールのコア構成を管理します。以下のセクションでは、これらのプロファイルを効果的に設定する方法について詳細な概要を説明します。新しい構成プロファイルまたは既存の構成プロファイルに、以下を追加できます。

新しい構成プロファイルを作成するには：

Jamf コンソールで、 Computers > Configuration Profiles > Newに移動します。
Options > General場合。
1. 表示名を入力してください。例えば、 Netskope Client構成プロファイルなど。
2. 以下から選択してください：
  - Category: なし
  - Level: コンピュータレベル
Scopeをクリックしてください。
Targetsをクリックし、構成プロファイルを割り当てる特定のユーザーまたはデバイスを選択してください。
Saveをクリックしてください。

ネットワーク拡張の事前承認

macOS 上のNetskope Client動作するために管理者の承認を必要とするネットワーク拡張機能をインストールします。以下の設定では、ネットワーク拡張を事前に承認し、承認を求めるエンドユーザーへの通知を抑制します。

Jamfコンソールで、 Computers > Configuration Profiles > 必要な構成プロファイルを選択します。
Options > System Extensionへ移動してください。
ConfigureまたはEditをクリックしてください。
Allow users to approve system extensions Select 。
Allowed Team IDs and System Extensions下に表示名を入力してください。例えば、Netskopeシステム拡張機能など。
以下から選択してください：
- System Extension Types: 許可されているシステム拡張機能
- Team Identifier: 24W52P9M7W
Addをクリックして、次のシステム拡張機能を追加してください： com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy
Scopeタブで、対象のコンピュータを割り当てます。
Saveをクリックしてください。

macOS 14 (Sonoma) 以降でフルディスクアクセス権限を事前承認する

macOS版Netskope Client様々な基本機能を利用するためにフルディスクアクセス権限を必要とします。以下の設定では、これらの権限を事前に承認し、承認を求めるエンドユーザーへの通知を抑制します。

Jamfコンソールで、 Computers > Configuration Profiles > 必要な構成プロファイルを選択します。
Options > Privacy Preferences Policy Controlへ移動してください。
ConfigureまたはEditをクリックしてください。
App Accessの下に、以下を入力してください。
- Identifier: com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy
- IdentifierタイプにはBundle ID Select 。
- Code Requirement: anchor apple generic and identifier "com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")
+Addをクリックして、サービスまたはアプリへのアクセスを許可または拒否します。
Select SystemPolicyAllFilesApp or Service、Allow Access。
Saveをクリックしてください。
設定プロファイルを保存します。

エンドポイント DLP の場合、次の識別子とコード要件を追加できます:
– 識別子: com.netskope.epdlp.client
– コード要件:

anchor apple generic and identifier "com.netskope.epdlp.client" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")

詳細については、 macOS 用 Netskope Client でエンドポイント DLP を有効にするを参照してください。

アプリプロキシ用のVPNポップアップを事前承認する

macOS 上の Netskope Client は、デバイスのネットワーク設定を更新するネットワーク拡張機能をインストールします。以下の設定では、これらのアップデートを事前に承認し、承認を求めるエンドユーザーへの通知を抑制します。

Jamfコンソールで、 Computers > Configuration Profiles > 必要な構成プロファイルを選択します。
Options > VPNへ移動してください。
ConfigureまたはEditをクリックして、以下の設定でVPNを構成してください。
- Connection Name: Any Name
- VPN Type: Select Per-App VPN
- Per-App VPN Connection Type: カスタムSSL Select
- Identifier: Enter com.netskope.client.Netskope-Client
- Server: <tenant_hostname>テナントのNetskopeゲートウェイURLを入力してください：gateway-.goskope.com
- Provider Bundle Identifier: Enter com.netskope.client.Netskope-Client
- Provider Type: アプリプロキシSelect
- Select Include All Networks
- Specify Provider Designated Requirementには、以下を入力してください:
  anchor apple generic and identifier"com.netskope.client.Netskope-Client" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")
- Prohibit users from disabling on-demand VPN settings Select 。
Saveをクリックしてください。

macOS 15 (Sequoia) 以降でシステム拡張機能が無効化されるのを防ぐ

Netskopeは、macOS 15（Sequoia）以降において、システム拡張機能に関するユーザー権限を管理するために、2つのオプションのデプロイメントパラメータPrevent Disabling of System ExtensionsとRestrict App Proxy Removal を追加することを推奨しています。これらの制御により、ユーザーによる指定されたシステム拡張機能の削除が防止されます。

Jamf コンソールで、 Computers > Configuration Profilesに移動し、必要な構成プロファイルを選択します。
Options > System Extensionsへ移動してください。
ConfigureまたはEditをクリックしてください。
Allow users to approve system extensions Select 。
Allowed Team IDs and System Extensions下に表示名を入力してください。例えば、Netskopeシステム拡張機能など。
以下から選択してください：
- System Extension Types: UIから削除できないシステム拡張機能
- Team Identifier: 24W52P9M7W
Addをクリックして、次のシステム拡張機能を追加してください： com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy
Scopeタブで、対象のコンピュータを割り当てます。
Saveをクリックしてください。

アプリプロキシの削除を制限する

Jamf コンソールで、 Computers > Configuration Profilesに移動し、必要な構成プロファイルを選択します。
Options > Restrictionsへ移動してください。
ConfigureまたはEditをクリックしてください。
Preferencesの下で、 Restrict items in System Preferencesを選択してください。
項目Select （ここではネットワーク）。
スコープ（マシン）を追加し、プロファイルをプッシュします。
Saveをクリックしてください。

Jamf経由でNetskopeのルート証明書とテナント証明書をプッシュする

クライアントのインストール時に証明書をプッシュすることで、エンドユーザーへの信頼性をさらに高めることができます。ルート証明書とテナント証明書をプッシュする前に、以下の手順を実行してください。

Netskope証明書ページからルート証明書とテナント証明書をダウンロードしてください。
1. admin クレデンシャルでテナント管理コンソールにログイン Netskope 。 Settings > Manage > Certificates > SIGNING CAに行って。証明書のダウンロードオプションは、「証明書設定」セクションに表示されます。
ダウンロードした証明書を.pemファイルの名前を変更して.cer形式に変換します。ファイルを.cer形式に変換します。

Jamfに証明書を追加するには、以下の手順を実行してください。

Jamfコンソールで、 Computers > Configuration Profiles > 必要な構成プロファイルを選択します。
Options > Certificateへ移動してください。
ConfigureまたはEditをクリックしてください。
証明書の名前を入力してください。
変換済みのルート証明書とテナント証明書をアップロードするには、 Upload Select 。

証明書を追加するには、「+」アイコンをクリックしてください。
Scopeタブで、対象のコンピュータを選択します。
Saveをクリックしてください。

Jamf ポリシーのセットアップ

クライアントインストールのための追加のコア設定は、Jamf ポリシーを使用して実行されます。以下のセクションでは、これらのポリシーがどのように設定されるかについて詳細に説明します。

以下を新規または既存の Jamf ポリシーに追加できます。

Jamfにインストールスクリプトを追加する

Netskope ClientインストールスクリプトをJamfに追加するには、以下の手順を実行してください。スクリプトエディタ：

Jamf で、 Settings > Computer managementに移動します。
Scriptsをクリックしてください。
+Newをクリックしてください。
Generalタブで、 Display Nameおよびその他のスクリプトの基本設定を追加します。
Scriptタブで、スクリプトの内容をコピーしてスクリプトエディタに貼り付けます。

Netskopeサポートポータルからダウンロードしたファイルnsclientconfig.shからシェルスクリプトをコピー＆ペーストしてください。詳細については、「前提条件」をご覧ください。
Optionsタブで、優先度やパラメータラベルなど、スクリプトの追加設定を指定します（オプション）。

Priorityの場合は、 Beforeを選択してください。スクリプトはインストールプロセスの前に実行する必要があるため、優先度は「前」に設定する必要があります。
（オプション） Limitationsタブで、スクリプトのオペレーティングシステム要件を指定します。
Saveをクリックしてください。

スクリプトの追加方法の詳細については、「スクリプトの追加」をご覧ください。

Jamfにクライアントパッケージをアップロードする

Netskope Client macOS パッケージを Jamf にアップロードするには、以下の手順を実行してください。

パッケージをアップロードするには：

JamfでSettings > Computer managementに移動します。
Packagesをクリックしてください。
+Newをクリックしてください。
Generalタブで：
1. パッケージにDisplay Nameとその他の基本設定を追加します。
2. Filenameで、macOS 用の Netskope Client インストーラーパッケージをドラッグアンドドロップするか、[参照] をクリックしてファイルを選択し、パッケージをアップロードします。
（オプション）登録パッケージをアップロードする場合は、マニフェストファイルフィールドにドラッグアンドドロップするか、ファイルを参照して選択することで、カスタムマニフェストファイルをアップロードできます。
Optionsタブで、優先度を含むパッケージの追加設定を追加します。
（オプション） Limitationsタブで、オペレーティングシステムとアーキテクチャタイプの要件を指定します。
Saveをクリックしてください。

Jamf ポリシーの構成

Jamf ポリシーを構築するには、次の手順を実行します。

以下を新規または既存の Jamf ポリシーに追加できます。既存のポリシーを使用する場合は、ポリシーに移動してステップ 5 に進みます。

Jamfコンソールで、 Computer > Policiesに移動します。
+ Newをクリックしてください。
Options > General場合。
Display Nameを入力します (例: Netskope Clientポリシー)。
Triggerの場合は、 Loginを選択してください。

スクリプトの実行管理者の要件に応じて、ログアウトやネットワーク状態の変更などのその他のオプションも利用可能です。
Execution Frequencyの場合、 Once per computerを選択します。
Options > Packages Select 。
Configureをクリックしてください。
Addをクリックすると、このセクションにアップロードしたクライアントインストーラーパッケージを含めることができます。
Addクリックすると、パッケージUIに選択したパッケージが表示されます。
Package画面で、 ActionのドロップダウンオプションからInstall選択します。
Options > Scripts Select 。
Configureをクリックしてください。
.shを含めるにはAddをクリックしてくださいこのセクションで設定されたスクリプト。
- Priorityの場合は、 Beforeを選択してください。スクリプトはインストールプロセスの前に実行する必要があるため、優先度は「前」に設定する必要があります。
- 以下の展開モードに応じて、パラメータのスクリプトオプションを更新してください。スクリプトに必要な登録方法と関連パラメータについては、以下の説明の下にある表を参照してください。
+ボタンをクリックして、別のスクリプトを追加してください。
完了したら、 Saveをクリックしてください。

展開モード	Configuration Parameters
IDPシングルユーザーモード	Parameter 4クライアントの展開モードがIDPであることを指定するには、 idpを入力してください。このパラメータはケースに敏感です。文字はすべて小文字で入力してください。 Parameter 5ドメイン名。例えば、テナントの URL がhttps://corp.goskope.comの場合、次に*goskope.comを入力してください Parameter 6テナント名例: テナントの URL がhttps://corp.goskope.comの場合、corpを入力してください。 Parameter 7: 電子メールアドレス請求オプション。ユーザーの電子メールアドレスを要求したくない場合は、 0を入力してください。ユーザーの電子メールアドレスを要求するには 1 を入力してください。 Parameter 8: 鍵名「=」とトークン値を含む暗号化トークンを入力し、間に空白を入れません。例えば、enrollencryptiontoken=51696332b0116axxxxxxxxxxxxxxxxxx Parameter 9:ステアリングプロファイルIDを入力してください。例えば、ENFORCEENROLLSTEERINGPROFILEID=<steering profile ID value> Parameter 10*: 強制登録頻度の値を入力してください。例えば、ENFORCEENROLLFREQUENCY=<value between 1 minute - 24 hours> Netskope Clientインストール中にユーザーの登録を強制する場合にのみ、パラメータ9と10を指定してください。暗号化トークンは設定>セキュリティクラウドプラットフォーム>MDM配布>セキュアエンロールメントから取得できます。 FIDO認証のサポートについては、「外部ブラウザベース認証」を参照してください。
IDPマルチユーザーモード	Parameter 4クライアントの展開モードがIDPであることを指定するには、 idpを入力してください。このパラメータはケースに敏感です。文字はすべて小文字で入力してください。 Parameter 5ドメイン名。例えば、テナントの URL がhttps://corp.goskope.comの場合、次に*goskope.comを入力してください Parameter 6テナント名例: テナントの URL がhttps://corp.goskope.comの場合、corpを入力してください。 Parameter 7: 電子メールアドレス請求オプション。ユーザーの電子メールアドレスを要求したくない場合は、 0を入力してください。ユーザーの電子メールアドレスを要求するには 1 を入力してください。 Parameter 8: マルチユーザーIDP展開モードを指定するには、 peruserconfigを入力してください。 Parameter 9: 鍵名「=」とトークン値を含む暗号化トークンを入力し、間に空白を入れません。例えば、enrollencryptiontoken=51696332b0116axxxxxxxxxxxxxxxxxx Parameter 10:ステアリングプロファイルIDを入力してください。例えば、ENFORCEENROLLSTEERINGPROFILEID=<steering profile ID value> Parameter 11*: 強制登録頻度の値を入力してください。例えば、ENFORCEENROLLFREQUENCY=<value between 1 minute - 24 hours> 使うパラメータ10と11は、インストール時にユーザーの登録を強制したい場合 Netskope Client 。暗号化トークンは設定>セキュリティクラウドプラットフォーム>MDM配布>セキュアエンロールメントから取得できます。 FIDO認証のサポートについては、「外部ブラウザベース認証」を参照してください。
AD に参加していない macOS デバイス (シングルユーザーインストール) の場合。	Parameter 4 : Your tenant URL. テナントの URL が https://corp.goskope.com の場合、addon-corp.goskope.com にアクセスしてください。 Parameter 5：あなたの組織ID。 Parameter 6 : 設定ファイル ( plist ) の名前。ファイル名を入力する際は、拡張子「.plist」を含めた完全なファイル名を入力してください。拡大。例: Netskope .plist 。 plistファイル内のURLにHTTP:を追加しないでください。注記名前はJAMF > Computers > Configuration Profiles > Custom Settings > Preference Domainで定義されているとおりに一致する必要があります。プリファレンスドメインには.plistファイルは含まれません拡張子はありますが、JAMFスクリプトのパラメータ6には.plistを含める必要があります。拡大。 Parameter 7 キーワードpreference_emailを入力してください。 Parameter 8認証トークンを入力してください。キー名、「=」、トークン値をスペースを入れずに入力してください。例えば、enrollauthtoken=98774b6e6916f54axxxxxxxxxxxxxxxx 認証トークンは設定>セキュリティクラウドプラットフォーム>MDM配布>セキュアエンロールメントから取得できます。 Parameter 9: 鍵名「=」とトークン値を含む暗号化トークンを入力し、間に空白を入れません。例えば、enrollencryptiontoken=51696332b0116axxxxxxxxxxxxxxxxxx 暗号化トークンは、「設定」>「セキュリティクラウドプラットフォーム」>「MDM配信」>「セキュア登録」から取得できます。 PLIST の作成方法については、「PLIST ファイルの作成」を参照してください。

任意のデプロイメントモードのスクリプトオプションの最後のパラメータとしてサイレントモード（silent_mode）パラメータを追加すると、デプロイメントが失敗した場合にNetskope Clientインストーラーの失敗ポップアップを抑制できます。

外部ブラウザベースの認証

Netskope Client macOS上でFIDO認証をサポートしています当社のSAMLフォワードプロキシとの外部ブラウザ統合を介して。 Netskope Clientの展開時に外部ブラウザのサポートを有効にすると、認証フローはクライアントの組み込みブラウザからオペレーティングシステムのデフォルトブラウザに移行します。この調整により、より高度で堅牢な Web 認証メカニズムを使用できるようになります。

Safari、MS Edge、Google Chromeをデフォルトブラウザに設定した場合、外部ブラウザのサポートが利用可能です（Firefoxはサポートされていません）。

必要な Jamf で以下の追加パラメータを設定してくださいクライアントを IdP モード (シングルユーザーおよびマルチユーザー) でデプロイする場合:

以下のパラメータをJamfに追加してください。次に利用可能なものから順に追加してください。

Mode: Mode は文字列値です外部ブラウザのサポートを有効にする
- Embedded: Default value and opens the existing mini-browser.
- Scheme: 外部ブラウザ（システムデフォルトブラウザ）を開きます。
preferEphemeral:
- Trueデフォルトのブラウザから、一時的な（プライベートな）ブラウザウィンドウが起動されます。
- False: デフォルトのブラウザから、通常の（プライベートではない）ブラウザウィンドウが起動します。
httpmethod: httpmethod は、Safari ブラウザの問題や冗長な WebAuth.html 通知ポップアップを軽減するために、ウェブ認証フローを変更します。 Safariがデフォルトブラウザでない場合、このパラメータ（httpmethod）は不要です。

httpmethod=get

これらのパラメータにはNetskope サポートポータルで利用可能な最新のJAMFScript_v20_Jan2023が必要です。

例えば、
```
sudo ./nsclientconfig.sh 1 2 3 idp goskope.com corp 0 mode=scheme preferephemeral=true httpmethod=get
```

.plistファイルを作成しますPLISTユーザー登録用ファイル

このセクションではNetskope Clientインストールする手順について説明します。 PLISTユーザー登録。

この展開方法では、「peruserconfig」属性（マルチユーザーモード）はサポートされません。

ステップ1：PLISTファイルを保存する

以下のcom.Netskope Netskope Clientファイルを保存し、 Netskope Client PLIST 展開のために、MDM に添付してください。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
	<dict>
		<key>email</key>
		<string>$EMAIL</string>
	</dict>
</plist>

ステップ2：Jamfを設定してPLISTファイルをmacOSマシンにプッシュする

以下の項目は、新規または既存の構成プロファイルに追加できます。既存の構成プロファイルがある場合は、そのプロファイルに移動して手順3に進んでください。

Jamf コンソールで、 Computers > Configuration Profiles > Newに移動します。
Options > General場合。
1. 表示名を入力してください。例えば、PLISTファイルの展開など。
2. 以下から選択してください：
  - Category: なし
  - Level: コンピュータレベル
  - Distribution Method: 自動的にインストールします
Application and Custom Settingsへ移動してください。
Uploadをクリックしてください。
Addをクリックして、以前作成したplistファイルの詳細を入力してください。
1. Preference Domainには、.plist を付けずに生成した plist ファイルの名前を指定してください。例えば上記の手順に従うと、設定名は com.Netskope Netskope Clientとなります。
2. Uploadクリックすると、以前に作成した plist ファイルがアップロードされ、 Property Listの下に表示される内容を確認できます。
Scopeをクリックし、作成したplistペイロードを適切なユーザーまたはマシングループに割り当ててください。
Saveをクリックしてください。

クライアントのインストール状況を確認しています。

ユーザーのマシン上の /var/log/install.log フォルダにあるインストールログを確認してください。ユーザー設定のダウンロードスクリプトが失敗し、 Netskope Clientインストーラーが実行された場合、インストーラーは終了し、 Configuration file missing, aborting installation!エラーメッセージが表示されます。

Netskope Clientインストール状況を確認する

各デバイスのステータスを確認するには、 Computer > Policiesに移動し、作成したポリシーをクリックします。
各デバイスのログファイルを表示するには、下部にあるLogsボタンをクリックしてから、 Showボタンをクリックしてください。

Netskope Client拡張機能の承認を確認します

Netskope Client拡張機能が承認され、クライアントが実行されていることを確認するには、macOSのターミナルウィンドウで次のコマンドを実行します。
```
systemextensionsctl list
```
出力は以下のようになります。
```
% systemextensionsctl list  
1 extension(s)
--- com.apple.system_extension.network_extension
enabled active teamID bundleID (version) name [state]
* * 24W52P9M7W com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy (85.2.0.269/1) 
NetskopeClientMacAppProxy [activated enabled]
```
さらに、システム環境設定とネットワークUIを確認し、Netskope Client拡張機能が有効になっていることを確認してください。

Netskope Clientアンインストール

Netskope Clientアンインストール方法については、「 Netskope Clientアンインストール」を参照してください。