Enforce Enrollment for Netskope Client

必須のユーザー登録は、すべてのエンドユーザートラフィックが組織のセキュリティポリシーの対象となることを保証する重要なセキュリティ強化であり、それによってポリシーの適用が確実になります。これにより、Netskope Clientのインストール後、特に管理環境において、セキュリティコンプライアンスが即座に強制されます。

Supported OS: Windows、macOS

登録を義務付けることで、ユーザーがNetskope Clientへの登録を無視してセキュリティ制御を回避することを防ぐことができます。この措置により、登録されていないエンドユーザーがセキュリティ対策なしにインターネットにアクセスするという重大なリスクが排除されます。これは、ユーザーが組織のポリシーを回避し、ネットワークを脅威にさらす可能性のある、よくある抜け穴を塞ぐものです。

最終的に、強制的な登録はポリシーの遵守を保証し、管理されていないトラフィックが重要なセキュリティ制御をすり抜けることがないようにすることで、組織がコンプライアンスを維持し、リスクを軽減するのに役立ちます。構成可能なインストールパラメーター、例外処理、カスタマイズ可能な通知頻度をサポートし、複数の OS プラットフォームで動作します。

サポートされているクライアント登録モード

シングルユーザー環境とマルチユーザー環境でサポートされている登録モードについては、以下の表を参照してください。

登録モード	シングルユーザー	Multi-User
国内避難民	はい	はい

登録設定を強制する

管理者はエンドユーザーデバイス使う IDP モードで Netskope Client を展開でき、エンドユーザーはログインで登録する必要があります。従来、エンドユーザーはクライアント登録を無期限に回避することができ、重大なセキュリティリスクと脆弱性が生じていた。使うセキュリティ上の脅威や脆弱性を軽減するための以下のステップがあります:

ステップ 1: ステアリング構成プロファイルの下で強制登録を設定する

管理者は今、Steering Configuration Web UIのEnforce Enrollmentオプションを義務付けるNetskope Client使う。この機能により、管理者は、クライアント登録がなくてもエンドユーザーがアクセスできる特定の宛先を指定することもできます。詳細については、「ステアリング構成」を参照してください（手順7へ進んでください）。

Step 2: Installation Parameters

ステアリング構成を設定した後、管理者はステアリングプロファイルIDをコピーし、そのIDをMSIEXECコマンドまたはMDMスクリプトに含めることで、WindowsおよびmacOSにNetskope Clientインストールできます。例えば：

Windowsでは、管理者はNetskope ClientをインストールするためにMSIEXECコマンドを変更し、ユーザーの登録を強制するために次のパラメーターenforceenrollsteeringprofileidとenforceenrollfrequencyを含める必要があります。詳細については、 Netskope Client for Windowsをご覧ください。

展開オプション Command

シングルユーザーモードでのインストール msiexec /I NSClient.msi tenant=<tenant-name> domain=[region.]<tenant-domain> installmode=idp host=addon-<tenant-name>.[region.]<tenant-domain> token=<Organization ID>[enrollauthtoken=<Authentication Token>] [enrollencryptiontoken=<Encryption Token>] [enforceenrollsteeringprofileid=<steering profile ID>] [enforceenrollfrequency=<time in minutes>] [/l*v %PUBLIC%nscinstall.log]

例： msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=idp host=addon-corp.goskope.com token=XXX enrollencryptiontoken=XXX enforceenrollsteeringprofileid=XXX enforceenrollfrequency=1

マルチユーザーモードでのインストール msiexec /I NSClient.msi tenant=<tenant-name> domain=[region.]<tenant-domain> installmode=idp mode=peruserconfig host=addon-<tenant-name>.[region.]<tenant-domain> token=<Organization ID>[enrollauthtoken=<Authentication Token>] [enrollencryptiontoken=<Encryption Token>] [enforceenrollsteeringprofileid=<steering profile ID>] [enforceenrollfrequency=] [/l*v %PUBLIC%nscinstall.log]

例： msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=idp enrollencryptiontoken=XXX mode=peruserconfig enforceenrollsteeringprofileid=XXX enforceenrollfrequency=1 host=addon-corp.goskope.com token=XXX [/qn]

macOS では、 Netskope Clientの展開に関する MDM 固有の手順については、 Netskope Client展開オプションを参照してください (管理者は、 Netskope Client展開するために使用できるスクリプトを変更する必要があります macOS 用の MDM (IDP モード) で、任意のユーザーの登録を強制できるようにします)。
```
sudo ./nsclientconfig.sh 0 0 0 idp <domain> <tenant-name> <email address request> enrollencryptiontoken=<Encryption Token> host=addon-<tenant-name>.<domain> token=<Organization ID> enforceenrollfrequesncy=<minutes> enforceenrollsteeringprofileid=<steering profile id> 
```
例： sudo ./nsclientconfig.sh 0 0 0 idp goskope.com corp 1 enrollencryptiontoken=XXX host=addon-corp.goskope.com token=XXX enforceenrollfrequesncy=1 enforceenrollsteeringprofileid=XXX

展開オプション	Command
シングルユーザーモードでのインストール	`msiexec /I NSClient.msi tenant=<tenant-name> domain=[region.]<tenant-domain> installmode=idp host=addon-<tenant-name>.[region.]<tenant-domain> token=<Organization ID>[enrollauthtoken=<Authentication Token>] [enrollencryptiontoken=<Encryption Token>] [enforceenrollsteeringprofileid=<steering profile ID>] [enforceenrollfrequency=<time in minutes>] [/l*v %PUBLIC%nscinstall.log]` 例： `msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=idp host=addon-corp.goskope.com token=XXX enrollencryptiontoken=XXX enforceenrollsteeringprofileid=XXX enforceenrollfrequency=1`
マルチユーザーモードでのインストール	`msiexec /I NSClient.msi tenant=<tenant-name> domain=[region.]<tenant-domain> installmode=idp mode=peruserconfig host=addon-<tenant-name>.[region.]<tenant-domain> token=<Organization ID>[enrollauthtoken=<Authentication Token>] [enrollencryptiontoken=<Encryption Token>] [enforceenrollsteeringprofileid=<steering profile ID>] [enforceenrollfrequency=] [/l*v %PUBLIC%nscinstall.log]` 例： `msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=idp enrollencryptiontoken=XXX mode=peruserconfig enforceenrollsteeringprofileid=XXX enforceenrollfrequency=1 host=addon-corp.goskope.com token=XXX [/qn]`

Netskope Client登録の実施 IDP を使う

Netskope Clientインストール後、 Netskope Clientエンドユーザーに IDP ログインを提供してNetskope Clientに登録するよう求めます。クレデンシャルはNetskope Client登録」ポップアップを使用します。

エンドユーザーが登録を延期することを選択した場合でも、「登録強制」機能により、登録を完了するためのリマインダーが継続的に送信されます。管理者がコマンドで設定した時間間隔によって、これらのリマインダーの頻度が決まります。ユーザーは通知内の「登録」ボタンをクリックすることで登録を完了できます。

WebUIの「設定」＞「ツール」にあるテンプレートを使用して、会社のロゴをカスタマイズできます。

エンドユーザーが登録を完了するまで、 Netskope Clientすべてのウェブトラフィックをブロックします。 TCPポート80番と443番。この間、エンドユーザーには、ブロックされたトラフィックに関する「アクセス拒否」のポップアップ通知が継続的に表示されます。

トラフィックがブロックされたことを示すポップアップ通知は、前の通知を閉じてから30秒後に再び表示されます。

インターネットセキュリティトンネルを無効化または登録解除した後の動作

エンドユーザーは、 Netskope Client無効化または登録解除できます。以下のいずれかのオプションを選択してください。

管理者は、ユーザーがインターネットセキュリティトンネルを無効化することを許可できます。すべてのクライアントサービスを同時に無効にするか、インターネットセキュリティの無効化を許可します。インターネットセキュリティトンネルが無効化されている場合、トラフィックは直接目的地へ向かうことが許されます。

管理者は、ユーザーがNetskope Clientから登録解除することを許可できます。このシナリオでは、が再起動されるか、クライアントサービス stAgentSvc が再起動されるまで、トラフィックは宛先に直接送信されます。以下の表は、ユーザーがNetskope Clientから登録解除した直後の、さまざまな種類のトラフィックルーティングについて示しています。

	すべてのトラフィック	ウェブトラフィック	クラウドアプリのみ
デバイスの再起動後、またはクライアントサービス（stAgentsvc）の再起動後の動作	ユーザーがNetskope Clientに登録するまで、すべてのトラフィックをブロックします。	ユーザーがNetskope Clientに登録するまで、Web トラフィックをブロックします。	ユーザーがNetskope Clientに登録するまで、クラウドアプリのトラフィックをブロックします。