FIPS 140-3 Mode機能により、Netskope Clientは連邦情報処理標準(FIPS)140-3の下で検証された暗号モジュールのみで動作します。FIPSモードが有効な場合、 Netskope Client はNSエージェント、NSサービス、すべてのTLS使うクライアントモジュールにおいて、暗号化、ハッシュ、デジタル署名、鍵管理を含むすべての暗号操作に対してFIPS承認アルゴリズムの使うを強制します。
これはインターネットセキュリティサービスのみに適用されます。
前提条件
Netskope Clientがテナントから更新された設定をダウンロードした後、使う FIPS モードに入る前にエンドポイントマシンを再起動しなければなりません。
サポートされている環境
-
対応OS：Windows（64ビット版のみ）、macOS
-
サポートされているクライアントの最小バージョン: 139.0.0
Netskope Client インストール 使う FIPS モード
使う FIPS モードは Windows と macOS に Netskope Client 使う 以下のいずれかの方法でインストールできます:
-
方法1：単一のコマンドでFIPSをインストールおよび構成する
-
方法2：まずインストールし、FIPSを別途設定する
Windows
Method 1: Install and Configure FIPS in a Single Command
管理者は、インストール時またはアップグレード時に、MSIインストーラーコマンドにfipsmodeパラメーターを直接追加することで、FIPSモードを有効にすることができます。これにより、インストール中にFipsModeの値がWindowsレジストリに自動的に書き込まれます。
以下のコマンドを実行してください。使う、Microsoft Intune、SCCM、またはコマンドラインスクリプトなどのソフトウェア展開ツールに。
-
Strict FIPS Mode (Fips Mode=1)
使う Netskope Client 使う FIPS 140-3のみがすべての操作に対して暗号アルゴリズムを検証しました。 FIPS規格に準拠しないアルゴリズムは完全にブロックされます。
msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=IDP enrollencryptiontoken=XXX fipsmode=1 /qn
-
Permissive FIPS Mode (Fips Mode=2)
Netskope Clientは使うFIPS 140-3の検証済みアルゴリズムを試みますが、必要に応じて非FIPSアルゴリズムにフォールバックします。このモードにより、クライアントはFIPSへの完全な準拠がまだ実現できない環境でも引き続き機能することができます。
msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=IDP enrollencryptiontoken=XXX fipsmode=2 /qn
-
FIPS Disabled (Fips Mode=0)
この Netskope Client はFIPSの執行なしで運営されています。 標準的な(非FIPSの)暗号アルゴリズムは使う
msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=IDP enrollencryptiontoken=XXX fipsmode=0 /qn
Method 2: Install First, Configure FIPS Separately
管理者はFIPSパラメータなしで Netskope Client を展開し、その後使うActive Directory Group ポリシー(GPO)やMDMツールでFIPS設定を適用できます。
-
ステップ 1 – インストール: 標準の STAgent.msi を fipsmode パラメータなしですべてのターゲット マシンに展開します。
-
ステップ2 — 設定:使う GPO または MDM のターゲットマシンにレジストリ更新をプッシュし、FipsModeキーを設定する:
この方法は主に、すでに Netskope Client が設置されている状況で有用です。
| Setting | レジストリパス |
|---|---|
| 鍵 | HKEY_LOCAL_MACHINE\SOFTWARE\Netskope\PersistentSettings\FipsMode |
| タイプ | DWORD |
| Value | 0 = FIPS無効、1 = 厳格FIPSモード、2 = 寛容FIPSモード |
MacOS
Method 1: Install and Configure FIPS in a Single Command
管理者は、nsclientconfig.sh スクリプトに FipsMode 引数を渡すことで、インストール時に FIPS モードを設定できます。
-
Strict FIPS Mode (FipsMode=1)
sudo -S ./nsclientconfig.sh 0 0 0 idp <domain> <tenant> 1 mode="scheme" FipsMode=1 preferephemeral="true" httpmethod=get
-
Permissive FIPS Mode (FipsMode=2):
sudo -S ./nsclientconfig.sh 0 0 0 idp <domain> <tenant> 1 mode="scheme" FipsMode=2 preferephemeral="true" httpmethod=get
-
FIPS Disabled (FipsMode=0)
sudo -S ./nsclientconfig.sh 0 0 0 idp <domain> <tenant> 1 mode="scheme" FipsMode=0 preferephemeral="true" httpmethod=get
Method 2: Install First, Configure FIPS Separately
この方法は主に、すでに Netskope Client が設置されている状況で有用です。
-
Step 1 — Install: macOSエンドポイントに Netskope Client をデプロイし、使うあなたのMDMツール(例えばJamf)をFips Modeの引数なしで使います。
-
Step 2 — Configure: 対象デバイスのmacOS設定ファイルにFIPSモードキーを追加するように、PLISTファイルを修正してください。例えば、
sudo plutil -insert FipsMode -integer 1 Library/Preferences/com.netskope.provisioning.plist
Setting Path 鍵 /Library/Preferences/com.netskope.provisioning.plist キー名 FipsMode Value 0 = FIPS無効、1 = 厳格FIPSモード、2 = 寛容FIPSモード
Netskope ClientでFIPSモードを検証する
FIPSが追加されると、 Netskope Client UIでFIPSモードが有効かどうかを確認できます。
-
厳格モードが有効になっている場合：これは、クライアントがFIPSの要件に準拠していることを意味します。
-
エラーにより厳格モードが無効になった場合：これは、FIPSエラーが発生し、クライアントがゲートウェイに接続できないことを意味します。
-
FIPSモードがN/Aの場合：これはFIPSモードが無効になっていることを意味します。
-
パーミッシブFIPSモードが有効になっている場合：これは、クライアントがFIPS要件に準拠していることを意味します。
-
パーミッシブFIPSモードが無効になっている場合：これは、クライアントが非FIPSモードにフォールバックすることを意味します。
