Chromebook 用クラウド明示プロキシ - Netskope ナレッジポータル

このガイドでは、 Netskope Chrome 拡張機能を使用して管理対象 Chromebook からの SWG / CASBトラフィックを誘導するための明示的プロキシを使用する方法について説明します。

プライベートアプリのトラフィックを制御する場合、Chrome拡張機能は、 Netskope Cloud Director for Androidと連携して動作します。 ChromebookでのNetskope Private Access （ NPA ）の制御用です。プライベートドメインが明示的なプロキシに誘導されないように、 bypass_listまたは PAC ファイルに追加してください。

前提条件

ChromebookでSWG/CASBトラフィックを制御するには、テナントをSAMLフォワードプロキシ認証で構成してください。

Google Workspace管理コンソールからNetskope Chrome拡張機能をプッシュし、必要な設定を事前にプロビジョニングできます。

Netskope TLS CA証明書のインストール

管理対象のChromebookからのトラフィックのTLS復号化を可能にするために、TLS CA証明書をインストールしてください。先に進む前に、Netskopeテナント管理コンソールから証明書をダウンロードしてください。

Netskopeテナントから証明書をダウンロードする

Netskopeテナントに管理者としてログインしてください。
Settings > Manage > Certificates > Signing CAへ移動してください。
以下の証明書をダウンロードしてください。
- ルートCA（リモートユーザー）
- ルートCA
- 中級CA

独自の署名 CA 証明書を設定している場合は、 Root CA (Remote Users)を含む必要なすべての中間 CA とともにインポートします。

Google Workspace管理コンソールで証明書をインストールする

Google Workspace 管理コンソールにログインしてください。
Devices > Networks > Certificatesへ移動してください。
Netskopeアカウントからダウンロードした証明書を追加するには、 Add Certificateをクリックしてください。

ユーザー設定を許可するようにプロキシモードを設定する

Google Workspace 管理コンソールで、 Devices > Chrome > Settings > Users & browsersに移動します。
Users & browser settingsタブをクリックしてください。
拡張機能を適用する組織単位Select 、 Proxy modeがAllow user to configureに設定されていることを確認してください（これがデフォルト設定です）。

Netskope Chrome拡張機能の設定

Google Workspace 管理コンソールで、 Devices > Chrome > Apps & extensionsに移動します。
Users & browsersタブをクリックしてください。
拡張機能をプロビジョニングする必要のある組織単位Select 。
画面右下にある+アイコンをクリックして、Chromeウェブストアから拡張機能を追加します。
ポップアップウィンドウでChromeストアのNetskopeで検索すると Netskope Chrome Extensionが表示されます。
Installation PolicyをForce Install + pin to browser toolbarに設定してください。
Netskope Chrome Extensionをクリックして、JSONオブジェクトをPolicy for extensionsとして指定します。
```
Policy for extensions
{
  "tenant": {
    "Value": "mytenant.goskope.com"
  },
  "block_disable": {
    "Value": false
  },
  "user_notification_enabled": {
    "Value": false
  },
  "enforce_os": {
    "Value": [
      "cros"
    ]
  },
  "bypass_list": {
    "Value": [
     "www.google.com"
    ]
  }
}
```
管理ポリシーでは、以下のキーが利用可能です。
- tenant （文字列）：テナント名を定義し、ユーザーがそれを変更できないようにします。必ず.goskope.comサフィックスを含めてください。この設定は、管理運用を行う上で必須です。
- block_disable （ブール値）：これをtrueに設定すると、 Steering disabledチェックボックスが削除されます。
- enforce_os （文字列の配列）：これを空でない配列に設定すると、拡張機能は対応するオペレーティングシステムでのみ動作します。有効な入力値はcros 、 win 、 mac 、 android 、 linux 、 openbsdです。これは、拡張機能と管理設定が管理対象の Chrome プロファイルを通じて複数のオペレーティングシステムにプッシュされるものの、管理者が拡張機能をそれらのオペレーティングシステムのごく一部にのみ適用したい場合に便利です。
  
  Android版Google Chromeは拡張機能をサポートしていないため、このパラメータはサードパーティ製のChromiumベースのブラウザでのみ有効です。
- bypass_list （文字列の配列）：プロキシのバイパスのリスト。オプションと構文については、 chrome.proxy | API | Chrome for Developersを参照してください。この設定は、 pac_urlとpac_dataが設定されていない場合にのみ適用されます。
- pac_data （文字列）：適用するPACファイルの内容。これを設定すると、この文字列の内容はeproxy-<tenant name>:8081の代わりにになります。また、この設定を有効にすると、 bypass_listが無効になります。
  
  pac_dataとbypass_list両方が指定されている場合、 pac_dataのみが使用されます。。
- pac_url （文字列）：適用するPACファイルのURL。これを設定すると、テナント名またはpac_dataに基づく静的構成よりも優先されます。この設定ではbypass_listが無効になります。
- user_notification_enabled (ブール数):ユーザー通知のオン・オフを切り替えるポリシー。値がtrueに設定されている場合、ユーザーのアクティビティがブロックまたは指導されたときに、ユーザー通知がポップアップ表示されます。falseに設定すると、ユーザーへの通知メッセージなしでユーザーアクティビティが許可されます。管理コンソールにポリシーが表示されない場合は、デフォルト値は false です。
拡張機能のポリシーを設定したら、右上隅のSaveをクリックして設定を保存します。

ポリシー伝播の検証

ポリシーが正しく伝播されているかどうかを確認するには、管理対象の Chromebook でchrome://policyにアクセスしてください。ページ下部には、Netskope Chrome拡張機能のポリシーをまとめた整形済みの表が表示されています。

マネージドChromebook構成の強化

ユーザーがNetskopeへの誘導を回避できないようにするために、Google Workspace管理コンソールで以下の設定を行うことをお勧めします。

Devices > Chrome > Settings > Users & browsersへ移動してください。
Disallow incognito modeをクリックしてください。
Devices > Chrome > Apps & extensions > Users & browsersへ移動してください。
Allow/block modeの場合は、 Edit in legacy viewをクリックしてください。
Additional Settingsでは、 Set proxyまたはVPN provider権限を持つ不正な拡張機能をブロックし、 *://*.goskope.com Runtime blocked hostsリストに追加することで、ユーザーがインストールした拡張機能 (広告ブロッカーや NoScript など) が goskope.com ドメインに干渉するのを無効にします。
Play StoreとChrome Web Storeの許可リストにないすべてのアプリをブロックします。
Devices > Chrome > Settings > Users & Browsersに移動し、ユーザーが証明書を管理できないようにして、Google Workspace Admin によってプッシュされた Netskope CA を改ざんできないようにします。