登録トークン管理 - Netskope技術文書

この文書は、セキュア登録サービスにおけるトークン管理に関するガイダンスを提供するものです。セキュア登録サービスには、以下の2つのトークンがあります。

Authentication token: このトークンはNetskope Clientが展開されたときに、ユーザーの認証パラメータを作成するために使用されます。システム上のユーザー識別子として、ユーザープリンシパル名 (UPN) またはNPA事前ログオンを使用します。 Netskope Clientが UPN および/またはNPA事前ログオンの場合、このトークンはエンドマシンに設定してプッシュすることが必須です。
Encryption token: このトークンは、通信チャネル上の TLS 上で登録構成ファイルを暗号化するために使用されます。有効化され、強制適用される場合、このトークンはUPNモードとidPモードの両方の登録において、エンドユーザーのマシン上に存在する必要があります。

このトークンはオプションであり、必要に応じて有効にすることができます。

認証トークンと暗号化トークンを作成するには、 Settings > Security Cloud Platform > Netskope Client > MDM Distribution > Secure Enrollmentに移動します。

バージョン129.0.0では、Netskopeは以下を分離しました。

Secure enrollment Service enablement.
安全な登録トークンの作成と適用。

セキュア登録機能はバージョン116.1.0以降で利用可能です。

これにより、以下のことが可能になります。

安全な登録を有効にするSecure enrollment serviceトグルオプション。
セキュアな登録トークンを生成して適用します「トークンセットの作成」オプションを使用します。

登録に関する問題を回避するため、セキュア登録サービスを有効にする前に、UPNの認証トークンと、UPNおよびIDPの暗号化トークン（生成されている場合）をエンドマシンにプッシュすることが必須です。

2トークンサポートにより、管理者は以下のことが可能になります。

認証トークンと暗号化トークンの 2 つのセットを作成します。 Create Token Set を使います。それはオプション暗号化トークンを作成する。
トークンセットの適用を解除した後、トークンセットを削除します。クライアント展開のためにトークンが既に適用されている場合、トークンセットを削除することはできません。
ウェブUIで設定したオプションに従って、トークンの有効期限を延長してください。トークンが有効になっていない場合、WebUIの「有効期限」列には「該当なし」と表示されます。詳細については、「トークンの強制」を参照してください。

新しいトークンセットを作成する

Create TokenSetをクリックして、WebUI上で新しいトークンセットを作成してください。別のトークンセットを追加すると、WebUIには認証トークンのみが表示されます。暗号化トークンの追加はオプションであり、 +Add Tokenオプションを利用して暗号化トークンを作成できます。

これらのトークンは、 Netskope Client展開中に使用するコマンドまたはスクリプトで使用できます。トークンを運用する際に役立つ以下のWebUIオプションを参照してください。

トークンのコピー: このオプションを使用すると、マウスをクリックするだけで認証トークンまたは暗号化トークンをコピーできます。
トークンの表示/非表示：トークンはデフォルトでは非表示の状態で生成されます。それらを表示するには、「表示/非表示」オプションを使用します。
トークンの削除：強制状態ではないトークンを削除します。

暗号化トークンを追加する

暗号化トークンの追加はオプションの作業であるため、管理者は手動で作成する必要があります。暗号化トークン列に表示されている+ Add Token クリックしてください。

トークンを適用する前に、必ず暗号化トークンを追加してください。

セキュア登録サービスを有効にする

セキュア登録は、 Netskope Client登録における厳格な認証を強制するための仕組みです。このオプションは、 Netskope Client登録が認証され、安全であることを保証します。

Netskopeは、登録に関する問題を回避するために、この機能を有効にすることを推奨しています。この機能は、NetskopeがNetskopeセキュリティアドバイザリ： NSKPSA-2024-001で既に通知しているセキュリティ脆弱性の問題を解決します。

Enforce Token

Netskope Clientインストールを強制するには、このオプションを使用して安全な登録トークンを使用します。トークンの強制適用を有効にするには、省略記号（…）をクリックして「強制適用」を選択します。

トークンを適用する前に、セキュア登録サービスオプションを有効にしてください。
トークンが有効になるように設定してください。各トークンセットを個別に適用する。

使うDo Not Enforce強制機能を無効にするオプション。

Token Expiry

「適用」をクリックすると、 Add Expiration For Token(s)でトークンの有効期限の詳細を設定できます。ドロップダウンリストに表示される以下のオプションから有効期限Select 。

今日から7日後
今日から30日後
今日から60日後
本日より90日後（デフォルトオプション）
今日から180日後
今日から365日後

有効期限を適用するには、 Saveをクリックしてください。保存された日付は、「有効期限」列に表示されます。一方、編集（鉛筆アイコン）をクリックして有効期限を変更または修正します。

電子メール通知

セキュア登録トークンの有効期限通知機能により、管理者はセキュア登録トークンの有効期限が切れる前にタイムリーなアラートを受け取ることができます。管理者がトークンの有効期限を延長せずに期限切れにしてしまうと、 Netskope Client登録が失敗する可能性があります。これらの自動リマインダーにより、サービスはクライアントのシームレスな展開を維持し、サービスの中断につながる可能性のある管理上の見落としを防ぐのに役立ちます。

このオプションを有効にするには、 Settings > Security Cloud Platform > Netskope Client > MDM Distributionに移動してください。トークンの有効期限が近づいていることを通知する設定は、 Secure Enrollmentの下にあります。

Notify administrators when tokens expireに、これらのアラートを受信する必要がある管理者の電子メールアドレスを追加します。電子メールアドレスは最大25件まで追加できます。トークンの有効期限が切れた後は、電子メール通知は送信されません。

セキュア登録が有効になっていることを確認してください。電子メール通知は、セキュアエンロールメントを強制した場合にのみトリガーされます。これにより、意図しない電子メールのフローを防ぎます。

構成が完了すると、サービスはトークンの有効期限が切れる前に次の間隔で電子メール通知を自動的に送信します。

30日間
15日間
7日間
1日

トークンセットを削除

管理者は、トークンが適用されていない場合に限り、トークンセットを削除できます。トークンが強制適用されている場合は、まずそれを無効にしてからトークンを削除してください。トークンが強制適用されている場合、削除オプションはグレー表示されます。

セキュア構成サービス

Netskope Client Secure Configurationは、ダウンロードされたクライアント構成の整合性を保証するセキュリティ強化機能です。 Netskope ClientによってダウンロードされたAPIを、改ざん攻撃やMITMなどのシナリオから保護します。

Prerequisite: セキュア構成サービスを有効にする前に、セキュア登録サービスを有効にしてください。
Supported Netskope Client version: 123.0.0以降

セキュア構成サービスを有効にする

このオプションを有効にするには、セキュア構成サービスの状態を「有効」に切り替えてください。

セキュア登録サービスを無効にすると、セキュア構成サービスも自動的に無効になります。

バージョン123.0.0より前のバージョンでは、Secure Enrollment Services および Secure Configuration Service を有効にすると、 Netskope Clientクライアント構成のダウンロードに失敗し、デバイスページでクライアントステータスイベントのレポートに失敗する場合があります。