macOS にクライアントを導入する Omnissa Workspace ONE

プロファイルは、クライアントインストールのコア構成を管理します。以下のセクションでは、これらのプロファイルを効果的に設定する方法について詳細な概要を説明します。

ネットワーク拡張の事前承認

Netskope Client macOS上にネットワーク拡張機能をインストールしますが、動作には管理者の承認が必要です。 ネットワーク拡張機能を事前承認し、承認を求めるエンドユーザーへの通知を抑制するには、以下の設定を行ってください。

設定するには：

1. Resources > Profiles & Baselines > Profilesへ移動してください。

2. AddドロップダウンオプションからAdd Profileをクリックしてください。

3. プラットフォームのリストからApple macOS Select 。

4. Select Context Select Device ProfileしてNextをクリックします。

5. Profileの名前を入力してください。例えば、 Netskope Client構成プロファイルなど。

6. 構成プロファイルの検索テキスト ボックスにSystemと入力し始めます。

7. System Extensionsを展開してAddをクリックします。

8. システム拡張機能の許可を以下のように設定してください。

   

   • Bundle Identifier: com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy

   • Team Identifier: 24W52P9M7W

9. Nextをクリックしてください。

   Nextボタンが利用できない場合は、他のヘッダーから空の設定オプションを削除してください。例えば、取り外し可能なシステム拡張機能、取り外し不可能なシステム拡張機能など。

10. 課題の詳細を追加してください。

11. Save & Publishをクリックしてください。

フルディスクアクセス権限を承認する

macOS版Netskope Client様々な基本機能を利用するためにフルディスクアクセス権限を必要とします。 以下の設定では、これらの権限を承認し、承認を求めるエンドユーザーへの通知を抑制します。

1. Resources > Profiles & Baselines > Profilesへ移動してください。

2. AddドロップダウンオプションからAdd Profileをクリックしてください。

3. プラットフォームのリストからApple macOS Select 。

4. Select ContextでDevice Profile Select 、 Nextをクリックします。

5. Profileの名前を入力してください。例えば、 Netskope Client構成プロファイルなど。

6. 構成プロファイルの検索テキスト ボックスにPrivacyと入力し始めます。

7. Privacy Preferencesを展開してAddをクリックします。

8. サービスまたはアプリへのアクセスを許可するには、以下の設定を構成してください。

   • Bundle Identifier: com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy

   • Team Identifier: Bundle ID Select 。

   • Code Requirement:

     anchor apple generic and identifier "com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")

     

   • ServicesセクションのSystem Policy All Files見つけて、 Allowを選択します。

     

9. Nextをクリックしてください。

10. 課題の詳細を追加してください。

11. Save & Publishをクリックしてください。

アプリプロキシ用のVPNポップアップを事前承認する

Netskope Client macOSにネットワーク拡張機能をインストールし、それによってのネットワーク設定が更新されます。 以下の設定では、これらのアップデートを事前に承認し、承認を求めるエンドユーザーへの通知を抑制します。

1. Resources > Profiles & Baselines > Profilesへ移動してください。

2. AddドロップダウンオプションからAdd Profileをクリックしてください。

3. プラットフォームのリストからApple macOS Select 。

4. Select ContextでDevice Profile Select 、 Nextをクリックします。

5. Profileの名前を入力してください。例えば、 Netskope Client構成プロファイルなど。

6. 構成プロファイルの検索テキスト ボックスにVPNと入力し始めます。

7. VPNを展開してAddをクリックします。

8. サービスまたはアプリへのアクセスを許可するには、以下の設定を構成してください。

   • Connection Name: 接続名には、分かりやすい名前を入力してください。

   • Connection Type: カスタムSSL Select 。

   • Identifier: com.netskope.client.Netskope-Client

   • Server:  NetskopeのUIからVPNサーバー名を入力してください。例えば、gateway-<tenant-URL> 。

   

9. Nextをクリックしてください。

10. 課題の詳細を追加してください。

11. Save & Publishをクリックしてください。

    macOS 15 (Sequoia) でシステム拡張機能が無効化されるのを防ぐ

    Netskopeは、macOS 15（Sequoia）以降でシステム拡張機能に関するユーザー権限を管理するために、2つのオプションのデプロイメントパラメータPrevent Disabling of System ExtensionsとRestrict App Proxy Removalを追加することを推奨しています。これらの制御により、ユーザーは指定されたシステム拡張機能を削除できなくなります。

    設定するには：

    1. Resources > Profiles & Baselines > Profilesへ移動してください。

    2. AddドロップダウンオプションからAdd Profileをクリックしてください。

    3. プラットフォームのリストからApple macOS Select 。

    4. Select Context Select Device ProfileしてNextをクリックします。

    5. Profileの名前を入力してください。例えば、 Netskope Client構成プロファイルなど。

    6. 構成プロファイルの検索テキスト ボックスにSystemと入力し始めます。

    7. System Extensionsを展開してAddをクリックします。

    8. Allow Systems Extensions以下のように設定してください。

       

       • Bundle Identifier: com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy

       • Team Identifier: 24W52P9M7W

    9. Non Removable From UI System Extensions以下のように設定してください。

       • Bundle Identifier: com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy

       • Team Identifier: 24W52P9M7W

    10. Nextをクリックしてください。

    11. 課題の詳細を追加してください。

12. Save & Publishをクリックしてください。

    アプリプロキシの削除を制限する

    Netskopeは、macOS 15（Sequoia）以降において、システム拡張機能に関するユーザー権限を管理するために、2つのオプションのデプロイメントパラメータPrevent Disabling of System ExtensionsとRestrict App Proxy Removal を追加することを推奨しています。これらの制御により、ユーザーによる指定されたシステム拡張機能の削除が防止されます。

    1. Resources > Profiles & Baselines > Profilesへ移動してください。

    2. AddドロップダウンオプションからAdd Profileをクリックしてください。

    3. プラットフォームのリストからApple macOS Select 。

    4. Select Context Select Device ProfileしてNextをクリックします。

    5. Profileの名前を入力してください。例えば、 Netskope Client構成プロファイルなど。

    6. 構成プロファイルの検索テキスト ボックスにRestrictionsと入力し始めます。

    7. Restrictionsを展開してAddをクリックします。

    8. 環境設定の「システム環境設定の制限」を有効に切り替える

    9. Select DISABLE SELECTED ITEMS

    10. ネットワークを見つけてチェックボックスを選択します

    11. Nextをクリックしてください。

13. 課題の詳細を追加してください。

14. Save & Publishをクリックしてください。

    Netskopeのルート証明書とテナント証明書をプッシュする

    クライアントのインストール時に証明書をプッシュすることで、エンドユーザーへの信頼性をさらに高めることができます。ルート証明書とテナント証明書をプッシュする前に、以下の手順を実行してください。

    1. Netskope証明書ページからルート証明書とテナント証明書をダウンロードしてください。
       1. admin クレデンシャルでテナント管理コンソールにログイン Netskope 。 Settings > Manage > Certificates > SIGNING CAに行ってください。 証明書のダウンロードオプションは、「証明書設定」セクションに表示されます。
    2. ダウンロードした証明書を.pemファイルの名前を変更して.cer形式に変換します。ファイルを.cer形式に変換します。

    Omnissa Workspace ONEに証明書を追加するには、以下の手順を実行してください。

    1. Resources > Profiles & Baselines > Profilesへ移動してください。

    2. AddドロップダウンオプションからAdd Profileをクリックしてください。

    3. プラットフォームのリストからApple macOS Select 。

    4. Select Context Select Device ProfileしてNextをクリックします。

    5. Profileの名前を入力してください。例えば、 Netskope Client構成プロファイルなど。

    6. 構成プロファイルの検索テキスト ボックスにCredentialsと入力し始めます。

    7. Credentialsを展開してAddをクリックします。

    8. 以下の詳細を入力してください。

       • クレデンシャル 出典: Upload Select 。

       • クレデンシャル名: 証明書のアップロード後に名前が自動入力されます。

       • 証明書: Choose Fileをクリック > rootcaCert.cer を参照Netskopeテナントからダウンロードしたファイル。
         

       

    9. Attach Certificateをクリックしてください。

       

       Attach Certificateクリックすると、WebUI にアップロードされた証明書の詳細（有効期限、サムプリントなど）が表示されます。

    10. 別の証明書を追加するには、 +Addをクリックしてください。

    11. Choose File > Browseをクリックして  caCert.cer を取得してください。Netskopeテナントからダウンロードしたファイル。

15. Attach Certificateをクリックしてください。

    WebUI ◇ は、クレデンシャル ペイロードに 2 つのクレデンシャル タブを表示します。

    

16. Nextをクリックしてください。

17. 課題の詳細を追加してください。

18. Save & Publishをクリックしてください。

PLISTユーザー登録を行うには、事前にPlistファイルをエンドポイントにデプロイする必要があります。このファイルには、Workspace Sensor 内の電子メール変数から取得する必要があるユーザーの電子メール属性が含まれている必要があります。

Plistファイルを追加するには、以下の手順を実行してください。

1. Workspace Oneの管理コンソールにログインしてください。

2. Resources > Sensorsへ移動してください。

3. Add > macOSをクリックしてください。

4. New SensorウィンドウのGeneralセクションにNameとDescriptionを入力してください。

5. Nextをクリックしてください。

6. Detailsセクションで、以下を選択してください。

   • 言語: Bash

   • 実行コンテキスト: システム

   • 応答データのタイプ: 文字列

   • コード：

     #!/bin/bash
     emailPrefFile="/Library/Managed Preferences/com.netskope.plist"
     if [ -f "$emailPrefFile" ];
     then
         echo "exists"
         echo "plist exists" > /tmp/plist.txt
     else
         /usr/libexec/PlistBuddy -c "add email string $userMail" com.netskope.plist
         cp com.netskope.plist /Library/Managed\ Preferences/
     echo "added"
     fi

     

7. Variablesセクションで、スクリプトの実行中に使用する変数を作成します。 実行時にスクリプト内で使用されます。 KeyとValueフィールドにはそれぞれuserMailを追加し、 {EmailAddress}を選択してください。他の変数名を追加することもできます。ただし、必ず「bash」スクリプトで指定されているものと同じ変数名を追加してください。

   

8. Saveをクリックしてください。

   展開されると、管理者はmacOSデバイス内のディレクトリ/Library/ManagedPreferences/の中に.plistのファイルcom.Netskopeを確認します。 このファイルにはユーザーの電子メールアドレスが含まれていなければなりません。 もし電子メールアドレスがPlistファイルになければ、WorkspaceOneコンソールを確認してユーザーに電子メールアドレスを割り当てているか確認してください。 詳しくは、 macOSのセンサーでデータ収集 をご覧いただき、必要に応じてOmnissa Workspace Oneのサポートにお問い合わせください。

管理者は、 Netskope Clientスクリプトとパッケージ、およびスクリプトを実行するための手順を追加できます。 。 詳細については、 「macOS 内部アプリケーションのデプロイ」を参照してください。

1. Resources > Apps > Native > Interna l へ移動します。

2. Add > Add Application Select 。

3. Add Applicatio n で、 UploadをクリックしてNetskope パッケージファイルを追加します。

4. Saveをクリックしてください。

5. Continueをクリックしてください。

6. 展開タイプで「フルストレージ管理」 Select 。

7. メタデータファイル（.plist）をアップロードしてください。メタデータファイルを作成するには、 Omnissa Workspace ONE UEM Admin Assistant Tool macOSコンピュータにダウンロードしてインストールしてください。詳細については、 「メタデータの生成」をご覧ください。

8. Continueをクリックしてください。

   これは Add Applicationに移動します。

9. Details,の下で詳細を確認し、必要に応じて修正することができます。

10. Scriptsをクリックしてください。

11. Install Scriptsの下に、インストールプロセスの前に実行されるPre-Install Scriptを追加します。要件に応じて、以下のスクリプトからいずれかを選択してください。

    PLIST

    国内避難民

    登録に PLIST モードを使用している場合は、次のスクリプトを「インストール前スクリプト」フィールドに追加してください。

    #!/bin/bash
    ####
    # ws1_netskope_pre-install.sh
    # WorkspaceOne Pre-install script used to prepare macOS devices for the Netskope client. This script has support for secure enrollment.
    # You will need to set the following parameters:
    #
    # TENANT - This should be to addon-YOUR TENANT.goskope.com
    # ORGID - You can obtain your Organization ID from your tenant (Settings > Security Cloud Platform > MDM Distrubtion)
    # EMAIL - This value will be fetched from com.netskope.plist file which will be created by ws1_netskope_sensor.sh script
    # enrollencryptiontoken - encryption token on Secure Enrollment page if enabled & enforced
    # enrollauthtoken - authentication token on Secure Enrollment page if enabled & enforced
    #
    ##
    TENANT=addon-<tenant>
    ORGID=<org_key>
    EMAIL=`defaults read /Library/Managed\ Preferences/com.netskope.plist email`
    enrollauthtoken=<auth_token>
    enrollencryptiontoken=<encryption_token>
    TEMP_BRANDING_DIR="/tmp/nsbranding"
    TEMP_ENROLLMENT_TOKEN_FILE="$TEMP_BRANDING_DIR/enroll.conf"
    if [ ! -d $TEMP_BRANDING_DIR ]; then
     mkdir -p $TEMP_BRANDING_DIR
    fi
    NSINSTPARAM_JSON_FILE="${TEMP_BRANDING_DIR}/nsinstparams.json"
    echo "{\"TenantHostName\": \"$TENANT\", \"Email\": \"$EMAIL\", \"OrgKey\": \"$ORGID\"}" > "${NSINSTPARAM_JSON_FILE}"
    Create_Json() {
        if [[ -f "$TEMP_ENROLLMENT_TOKEN_FILE" ]]; then
            rm "$TEMP_ENROLLMENT_TOKEN_FILE"
        fi  
        local a=$1
        local b=$2
        if ! [[ "$a" =~ ^[a-fA-F0-9]{32}$ ]] && [[ "$a" != "0" ]]; then
            echo "Invalid auth token: must be 32 hexadecimal characters"
            return 1
        fi  
        if ! [[ "$b" =~ ^[a-fA-F0-9]{32}$ ]] && [[ "$b" != "0" ]]; then
            echo "Invalid encryption token: must be 32 hexadecimal characters"
            return 1
        fi  
        echo "{" > $TEMP_ENROLLMENT_TOKEN_FILE
        if [[ "$a" != "0" && "$b" != "0" ]]; then
            echo "\"enrollauthtoken\": \"$a\"," >> $TEMP_ENROLLMENT_TOKEN_FILE
            echo "\"enrollencryptiontoken\": \"$b\"" >> $TEMP_ENROLLMENT_TOKEN_FILE
        elif [[ "$a" == "0" && "$b" != "0" ]]; then
            echo "\"enrollencryptiontoken\": \"$b\"" >> $TEMP_ENROLLMENT_TOKEN_FILE
        elif [[ "$b" == "0" && "$a" != "0" ]]; then
              echo "\"enrollauthtoken\": \"$a\"" >> $TEMP_ENROLLMENT_TOKEN_FILE
        else
             echo "Unsupported use case"
        fi  
        echo "}" >> $TEMP_ENROLLMENT_TOKEN_FILE
        chmod 700 "$TEMP_ENROLLMENT_TOKEN_FILE"
        echo "enroll.conf created with provided tokens."
    }
    if [[ "$enrollencryptiontoken" != "0" || "$enrollauthtoken" != "0" ]]; then
        echo "Using secure enrollment"
        Create_Json "$enrollauthtoken" "$enrollencryptiontoken"
    else
        echo "Not using secure enrollment"
        if [[ -f "$TEMP_ENROLLMENT_TOKEN_FILE" ]]; then
            rm "$TEMP_ENROLLMENT_TOKEN_FILE"
        fi
    fi

    19行目、20行目、24行目、25行目を、ご自身のテナントの値に置き換えてください。Netskope管理コンソールでこれらの値をどこで見つけられるかについては、 クライアント展開パラメータ を参照してください。
    値を入力する際は、スペースを入れないようにしてください。
    – セキュア登録トークンが有効になっていない場合は、トークン値として0を追加します。例えば、テナントで暗号化トークンが有効でない場合、enrollencryptiontoken=0を追加します

    

    シングルユーザーモードのIDP登録方法を使用する場合は、インストール前スクリプトフィールドに次のスクリプトを追加してください。

    #!/bin/bash
    set -euo pipefail
    
    # Workspace ONE Pre-install script for IDP mode to prepare macOS devices for the Netskope client.
    # Supports Secure Enrollment. Requires DOMAIN, TENANT_NAME, and optionally enroll tokens.
    # ===== USER CONFIGURATION =====
    DOMAIN="<tenant domain>"        # e.g., eu.goskope.com
    TENANT_NAME="<tenant_name>"     # e.g., nsclient
    REQ_EMAIL=true                  # true or false
    perusermode=0		            # 1 for enabling per-user mode
    enrollauthtoken=0		     # Always 0 in IDP mode
    enrollencryptiontoken=0        # 32-character hex or 0 if secure enrollment not enabled
    # ==============================
    
    # Validate required inputs
    if[["$DOMAIN"=="<tenant_domain>"||"$TENANT_NAME"="<tenant_name>"];then
    echo "[ERROR] Please configure DOMAIN and TENANT_NAME before running this script."
    exit 1
    fi
    
    # Paths
    TEMP_BRANDING_DIR="/tmp/nsbranding"
    TEMP_ENROLLMENT_TOKEN_FILE="$TEMP_BRANDING_DIR/enroll.conf"
    IDPCONFIG_JSON_DIR="/Library/ApplicationSupport/Netskope/STAgent"
    IDPCONFIG_JSON_FILE="$IDPCONFIG_JSON_DIR/nsidpconfig.json"
    NSUSERCONFIG_JSON_FILE="$IDPCONFIG_JSON_DIR/nsuserconfig.json"
    
    # Create required directories
    mkdir -p "$TEMP_BRANDING_DIR"
    mkdir -p "$IDPCONFIG_JSON_DIR"
    
    echo "[INFO] Writing IDP config to $IDPCONFIG_JSON_FILE"
    cat <<EOF> "$IDPCONFIG_JSON_FILE"
    {
     "serviceProvider": {
       "domain": "$DOMAIN",
       "tenant": "$TENANT_NAME"
     },
     "requestEmail": "$REQ_EMAIL"
    }
    EOF
    # Handle per-user mode if enabled
    if[["$perusermode"-eq1]];then
    echo " [INFO] Per-user mode enabled, writing $NSUSERCONFIG_JSON_FILE"
    cat <<EOF>"$NSUSERCONFIG_JSON_FILE"
    {
     "nsUserConfig": {
       "enablePerUserConfig": "true",
       "configLocation": "~/Library/Application Support/Netskope/STAgent",
       "token": "",
       "host": "",
       "autoupdate": "true"
     }
    }
    EOF
    fi
    
    # Function: Create enrollment token file
    Create_Json(){
    local auth_token="$1"
    localencryption_token="$2"  
    # Remove old file
    rm -f "$TEMP_ENROLLMENT_TOKEN_FILE"
    # Validate tokens
    if![["$auth_token"==~ ^[a-fA-F0-9]{32}$]]&&[["$auth_token"!="0"]
    ];then
    echo"[ERROR] Invalid auth token: must be 32 hexadecimal characters or 0"
    return 1
    fi
    if![["$encryption_token"=~ ^[a-fA-F0-9]{32}$]]&&[["$encryption_token"!="0"]];then
    echo "[ERROR] Invalid encryption token: must be 32 hexadecimal characters or 0"
    return 1
    fi
    
    echo
    "[INFO] Creating secure enrollment config at
    $TEMP_ENROLLMENT_TOKEN_FILE"
    {
    echo"{"
    [["$auth_token"!="0"]]&&echo" \"enrollauthtoken\":\"$auth_token\","
    [["$encryption_token"!="0"]]&&echo" \"enrollencryptiontoken\":\"$encryption_token\""
    echo"}"
    } > "$TEMP_ENROLLMENT_TOKEN_FILE"
    
    chmod 700 "$TEMP_ENROLLMENT_TOKEN_FILE"
    echo "[INFO] enroll.conf created successfully"
    }
    
    # Secure Enrollment Block
    if [["$enrollencryptiontoken"!="0"||"$enrollauthtoken"!="0"]];then
    echo "[INFO] Using secure enrollment"
    Create_Json "$enrollauthtoken" "$enrollencryptiontoken"
    else
    echo "[INFO] Not using secure enrollment"
    rm -f "$TEMP_ENROLLMENT_TOKEN_FILE"
    fi

    7行目、8行目、9行目、10行目、11行目、12行目を、テナントのデータに置き換えてください。Netskope管理コンソールでこれらの値をどこで見つけられるかについては、 クライアント展開パラメータ を参照してください。
    – 「requestEmail」の「$REQ_EMAIL」で指定されたREQ_EMAILの値がtrueの場合、入力が必要なSAML IDP URLは アドレスとなり、OKTAログインページに移動します。 REQ_EMAILの値がfalseの場合、OKTAのログインページに直接移動します。

12. Save & Assignをクリックしてください。

13. アプリケーションをコンソールに追加したら、アプリケーションへのデバイスの割り当てを開始します。

14. 追加したアプリケーションをクリックしてください。

15. Assignmentタブをクリックしてください。

16. 画面右隅にあるAssignクリックしてください。

17. Assignmentsの下で、 Add Assignmentをクリックしてください。

18. Assignment画面で、以下の操作を実行してください。

    • 課題にはNameを入力してください。

    • Assignment Groupsで、目的のグループを選択してください。

19. Createをクリックしてください。

20. Saveをクリックしてください。

ユーザーのマシン上の /var/log/install.log フォルダにあるインストールログを確認してください。ユーザー設定のダウンロードスクリプトが失敗し、 Netskope Clientインストーラーが実行された場合、インストーラーは終了し、 Configuration file missing, aborting installation!エラーメッセージが表示されます。

Netskope Clientインストール状況を確認する

1. 各デバイスのステータスを確認するには、 Computer > Policiesに移動し、作成したポリシーをクリックします。

2. 各デバイスのログファイルを表示するには、下部にあるLogsボタンをクリックしてから、 Showボタンをクリックしてください。

   Netskope Client拡張機能の承認を確認します

   Netskope Client拡張機能が承認され、クライアントが実行されていることを確認するには、macOSのターミナルウィンドウで次のコマンドを実行します。

   systemextensionsctl list

   出力は以下のようになります。

   % systemextensionsctl list  
   1 extension(s)
   --- com.apple.system_extension.network_extension
   enabled active teamID bundleID (version) name [state]
   * * 24W52P9M7W com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy (85.2.0.269/1) 
   NetskopeClientMacAppProxy [activated enabled]

   さらに、システム環境設定とネットワークUIを確認し、Netskope Client拡張機能が有効になっていることを確認してください。

Netskope Clientアンインストール方法については、「 Netskope Clientアンインストール」を参照してください。