始める（クイックスタートガイド）
エンタープライズブラウザーのSAML&SSO設定
Enterprise Browserは、Cloud Explicit ProxyおよびForward Proxy構成を利用するため、サポートされているすべてのSSOおよびSAMLプロトコルと互換性があります。
To learn more: comprehensive configuration instructions regarding SAML/SSO Setup for Enterprise Browser
メインフロー
（管理者）ブラウザ設定
ユーザーがNetskope Enterprise Browserをインストールしてポリシーをセットアップするように招待する前に、Enterprise Browserの基本設定を行う必要があります。
Path: Settings → Security Cloud Platform → Enterprise Browser → Browser Setup
- Set up the identity provider:
- NestkopeのフォワードプロキシにIDプロバイダーを接続するには、「フォワードプロキシSAML」セクションに移動してください。これにより、 Netskopeユーザーを認証できるようになりますNetskope Enterprise Browser 。 アクセス方法Select = 「 Enterprise Browser 」。
- NestkopeのフォワードプロキシにIDプロバイダーを接続するには、「フォワードプロキシSAML」セクションに移動してください。これにより、 Netskopeユーザーを認証できるようになりますNetskope Enterprise Browser 。 アクセス方法Select = 「 Enterprise Browser 」。
- Set up the Bypass Settings:
EBからの受信リクエストは、前の手順で設定した顧客のSSOに対してユーザーが認証された後にのみ受け入れられます。
- SSOへのユーザー認証を許可するには、IdPドメインを指定する必要があります。このリストに IdP ドメインを含めない場合、ユーザーは認証のために IdP ドメインにアクセスできず、 Enterprise Browserも利用できません。
- 例えば。IdPがOktaの場合は、次を含める必要があります：*.okta.com、*.oktacdn.comを各行に1つずつ。
（管理者）ユーザープロビジョニング
ユーザーを招待して、Netskope Enterprise Browserをダウンロードしてインストールしてもらうことができます。以下のロゴ、ボタンの色、テンプレートを編集して、招待およびインストール電子メールのスタイルとコンテンツを設定します。
Path: Settings → Security Cloud Platform → Enterprise Browser → User Provisioning
- Provisioning Users: 「ユーザーを招待」ボタンをクリックしてください。オンボーディングするユーザー、ユーザーグループ、またはOU Select 。 Netskope Enterprise Browser 。
個別の招待状は、電子メールの招待状テンプレートを使用して送信されます。 テンプレートを編集したり、 会社のロゴを追加したりできます。
注：
- 以前招待したユーザーを招待すると、オンボーディング電子メールが再送信されます。 ライセンスキーは変更ありません。
- 「オンボーディング電子メールを送信しない」オプションは、MDMスクリプトを実行する前に管理者がEnterprise Browserサービスでユーザーをプロビジョニングする必要があるMDM展開シナリオで使用されます。
(管理者) Enterprise Browser用の最初の RTP ポリシーの設定
Netskope Enterprise Browserで独自のリアルタイム保護（RTP）ポリシーを定義できます。
Path: Policies → Real-time Protection
- ウェブアクセス ポリシーの場合: 例特定のカテゴリの Web サイトへのトラフィックをブロックするポリシーを作成できます (例: 「ニュース＆メディア」「新しいポリシー」→「ウェブアクセス」をクリックします。
- Access Method = “Enterprise Browser”を選択して、これらのポリシーを「Enterprise Browser」のトラフィックに適用します。
- 注：Access Methodを空のままにすると、EBなどすべてのAccess Methodに適用されます（例：「Client」、「GRE」、「Enterprise Browser」…）
- Access Method = “Enterprise Browser”を選択して、これらのポリシーを「Enterprise Browser」のトラフィックに適用します。
- クラウドアプリ / DLPポリシーの場合：例管理者はクラウドアプリでのアクティビティを制御するポリシーを作成し、それらをDLPプロファイルと組み合わせて、EBユーザーが対話する際のデータ漏洩を防ぐことができます。例：Googleドライブから機密データを含むファイルのダウンロードをブロックする.. 「新しいポリシー」→「DLP」をクリックします。
（管理者向け） Enterprise Browserの最初のブラウザコントロールの設定
Enterprise Browserポリシー（コピー、貼り付け、印刷）を定義し、Netskope Enterprise Browserに適用することができます。
Path: Policies → Enterprise Browser Control
- Select ユーザーまたはユーザーグループ、およびポリシーを適用する宛先を選択します。定義済みのカスタムカテゴリ、および任意のクラウドアプリケーションを活用したきめ細かなポリシーを作成できます（例：Googleドライブでのコピーと印刷をブロックするポリシーを作成する）
Note: Enterprise Browser保護ポリシーの処理中にエラーが発生した場合は、EBは顧客が定義したフォールバックアクションを適用します
Path: Policies → Enterprise Browser Control → “Settings”
(管理者) ユーザーのホームページの設定
トップページには、UI管理パネルで定義されたアプリケーションやウェブサイトの一覧が表示されます。
ホームページはグループまたはOU（組織単位）に関連付けられています。つまり、ユーザーは自分のグループやOUに属するホームページを取得します。
アーキテクチャの概要
Netskope Enterprise Browserは、Netskope Oneプラットフォームに直接統合されたChromiumベースのセキュアブラウザです。エンタープライズグレードのセキュリティ制御、データ保護ポリシー、一元的な管理を提供します。すべて、エンドポイントに Netskope Client を必要とせずに Netskope Security Cloud を通じて強制適用されます。このページでは、Enterprise BrowserがNetskope Oneアーキテクチャにどのように適合し、セキュリティポリシーがどのように提供されるかを説明します。
Enterprise BrowserがNetskope Oneに適合する仕組み
Enterprise Browserは、Netskope Oneプラットフォーム内のクライアントレスアクセス方法です。すべてのブラウジングトラフィックをNetskope Security Cloud経由で誘導し、そこでセキュリティポリシーがインラインで評価されます。アーキテクチャは、以下のコンポーネントで構成されています：
- Enterprise Browser (エンドポイント) — ユーザーのデバイスで実行されるセキュアなChromiumベースのブラウザ。Netskopeクラウドから設定を取得し、すべてのウェブトラフィックをNetskopeエッジ経由で検査します。
- Edge Proxy（NewEdge）— Enterprise Browserからすべてのトラフィックを受信するNetskopeエッジサービス。ブラウザーを認証し、インラインでセキュリティポリシーを適用して、インラインで適用するポリシー決定をブラウザーに返します。
- Netskopeポリシーエンジン — 各リクエストに対してリアルタイム保護ポリシーとブラウザ保護ポリシーを評価し、許可またはブロックされるアクションを決定します。
- 構成サービス — ブラウザー構成、ユーザー登録、およびブラウザー保護ポリシーの定義を管理します。管理者は、Netskope One管理コンソールから構成を行います。
- Downloader Service — ブラウザのインストール配信と自動アップデートを処理します。
- 管理コンソール (WebUI) — 管理者がEnterprise Browserを有効にし、ユーザーを管理し、ブラウザ設定を構成し、保護ポリシーを定義するNetskope OneのWebインターフェース。
交通誘導
Enterprise Browserからのすべてのウェブトラフィックは、最も近いNewEdgeデータセンターのNetskope Edge Proxy経由で誘導されます。これにより、以下が保証されます：
- すべてのトラフィックはNetskopeのポリシーエンジンによって検査され、
- リアルタイム保護ポリシー (DLP、脅威防御、クラウドアプリケーション制御) はEnterprise Browserセッションに適用され、
- ブラウザ保護ポリシーはインラインで評価され、ブラウザによってローカルで適用されます。
Enterprise Browserは証明書ピンニングを使用して、Netskopeエッジへの接続を保護します。
ブラウザの識別
Enterprise Browserは、安全な識別メカニズムを使用して、Netskope Security Cloudに対して自身を認証します。テナント管理者によってプロビジョニングされた承認済みEnterprise Browserインスタンスのみが、専用ブラウザエンドポイントを介してNetskopeインフラストラクチャにアクセスできます。
ユーザーが登録されると、管理者はそのユーザーとテナントに関連付けられた一意のクレデンシャルを生成します。ブラウザは、このクレデンシャルを使用して短期間有効なトークンを定期的に取得し、そのトークンをNetskopeエッジへのすべてのリクエストに含めます。エッジは、トラフィックを処理する前にトークンを検証します。検証に失敗すると、接続は拒否されます。
このブラウザ識別は、ユーザー認証(SAML/SSO)と並行して機能します。トラフィックが処理されるためには、この両方が成功する必要があります。
ポリシー評価フロー
ユーザーがEnterprise Browserでブラウジングすると、ポリシー評価が次のように発生します。
- ブラウザは、識別クレデンシャルとともに、リクエストをNetskopeエッジプロキシに送信します。
- エッジはSAMLを介してユーザーを認証し、ブラウザIDを検証します。
- Netskopeポリシーエンジンは、リクエストに適用されるポリシーを評価します。
- ポリシー決定がブラウザに返され、ブラウザがそれをローカルに適用します。
ブラウザがポリシーエンジンに到達できない場合（一時的な接続中断時など）、フォールバックアクションが適用されます。管理者は管理コンソールでフォールバック動作を定義し、安全なデフォルト状態を確保します。
ブラウザ保護ポリシー
他のNetskopeアクセス方法と共有されるリアルタイム保護ポリシーに加えて、Enterprise Browserはクライアント側の動作を制御する一連の専用ブラウザ保護ポリシーをサポートします。管理者は、ユーザー、グループ、アプリケーション、カテゴリ、または宛先ごとにきめ細かいポリシーを定義できます。サポートされているコントロールは次の通りです。
- コピー — 保護されたアプリケーションからのコンテンツのコピーを許可またはブロックする
- 貼り付け — 保護されたアプリケーションへのコンテンツの貼り付けを許可またはブロックする
- 印刷 — 保護されたアプリケーションからの印刷を許可またはブロックする
- スクリーンショットと画面共有 — 保護されたコンテンツの画面キャプチャと画面共有を許可またはブロックします
- 透かし — 機密コンテンツ（ユーザー名、タイムスタンプ、テナント）の上に目に見える抑止オーバーレイを表示します
- データマスキング — 機密データのパターンをリアルタイムでマスキングします
- ファイルのダウンロード — 保護されたアプリケーションからのファイルのダウンロードを制限または制御します
- テキスト入力制御 — 特定のコンテキストでのテキスト入力を制限する
パス: ポリシー → Enterprise Browser保護
Private Access（NPA）の統合
Enterprise Browserは、Netskope Private Access (NPA) との統合により、プライベートアプリケーションへのクライアントレスアクセスを提供します。ユーザーは、VPNやNetskope Clientを必要とせずに、Enterprise Browserから直接社内のWebアプリケーションにアクセスできます。管理者はNPAポリシーを通じてプライベートアプリケーションへのアクセスを設定し、Enterprise BrowserはSaaSおよびWebトラフィックと同じブラウザ保護ポリシーをプライベートアプリケーションに適用します。
マルチプラットフォーム対応
Enterprise Browser は次のプラットフォームで利用できます:
- Windows — MDMおよびセルフサービス展開用のMSIおよびEXEインストーラーによるフルデスクトップサポート
- macOS — MDMおよびセルフサービスでの導入に対応するPKGおよびDMGインストーラーによるデスクトップ全体のサポート
- iOSおよびiPadOS — App StoreおよびMDM展開から利用可能
- AndroidおよびChromeOS - Google Playストアおよび管理されたGoogle Playから入手可能
すべてのプラットフォームは、同じ集中管理された構成およびポリシーエンジンを共有します。適用におけるプラットフォーム固有の違いは、個々の機能ドキュメントに記載されています。
デバイス分類
Netskope Enterprise Browser がデバイスポスチャチェックとデバイス分類をサポートすることで、管理者は Netskope Client をインストールすることなく、管理外 (BYOD) のデバイスや委託業者のデバイスに顧客定義のデバイス分類ラベルを割り当てることができます。これらのラベルは、デバイスのリスクに基づいてゼロトラストアクセスとブラウザ制御を推進するために使うことができます。
この機能には以下が含まれます。
- Enterprise Browser用の顧客定義デバイス分類ラベル: Enterprise Browser (WindowsおよびmacOS) によって収集されたポスチャシグナルに基づいて分類ルールとラベルを作成します。
ポリシー適用における分類を使う：
- Enterprise Browser トラフィックのリアルタイム保護 (RTP) ポリシー：顧客が定義したデバイス分類ラベルに基づいてアクセス制御を適用します。
- Enterprise Browser 保護ポリシー：デバイスのリスク分類に基づいてブラウザ制御を適用します。
サポートされている主要な姿勢シグナル（例）
- OSバージョン：必要な最低限のOSレベル（WindowsおよびmacOS）。
- アンチウイルス（AV）&ファイアウォール（FW）：ローカルセキュリティソフトウェアが存在し、アクティブであることの確認。
- プロセスとファイル：指定された実行プロセスまたは特定のファイルの存在（フルパスが必要です）の検出。
- レジストリ&証明書：レジストリキーまたは特定のローカル証明書の高度なチェック。
- ADドメイン：Active Directoryドメインメンバーシップの検証。
Enterprise Browserの構成
パス: [設定] → [セキュリティ クラウド プラットフォーム] → Enterprise Browser → [ユーザー プロビジョニング]
Netskope One管理コンソールでテナントのEnterprise Browserを有効にするには、アクティブなEnterprise Browserライセンスが必要です。有効にすると、管理者は次の操作を行うことができます。
- ユーザーを登録してクレデンシャルを生成します（電子メール招待またはMDM経由）。
- ブラウザー設定および保護ポリシーを構成する。
- デバイス分類の基準を定義し、
- ブラウザのアップデートとバージョン管理を管理します。
注：Enterprise Browser機能は、管理コンソールに表示される前にテナントに対して有効になっている必要があります。
考慮事項
考慮事項には以下が含まれます。
- Enterprise Browserは、中国のPoP経由では利用できません。
- Enterprise BrowserとNetskope Clientを併用する場合は、トラフィックの競合を防ぐために、Certificate Pinned Applicationの例外を構成する必要があります。
- ブラウザーの識別はユーザー認証と並行して動作し、両方のレイヤーが成功した場合にのみトラフィックが処理されます。
- NewEdgeデータセンターの選択にはDNSベースのルーティングが使用されますが、これは同じデバイス上のNetskope Clientのルーティングとは異なる場合があります。
詳細については、Enterprise Browserの前提条件をご覧ください
導入とインストール
Windowsのインストール
インストール方法の理解
導入方法を選択する前に、利用可能なオプションの違いを確認してください。
システム全体でのMSI | ユーザー全体でのMSI | 電子メール招待インストーラー
| |
|---|---|---|---|
Installation scope | システム全体（C:\Program Files\Netskope\） | Per-user (%LOCALAPPDATA%\Netskope\) | Per-user (%LOCALAPPDATA%\Netskope\) |
Admin privileges required | はい | いいえ | いいえ |
Profile creation | 個別のステップ（修復スクリプト） | 個別のステップ（ログオンユーザーとしてスクリプトを実行） | 組み込み（招待リンク経由のシングルステップ） |
Intended deployment method | MDM（Intune LOBアプリ、SCCM）、GPO、スクリプト実行 | MDM（Intune LOBアプリ、ユーザーコンテキスト）、スクリプト実行 | 電子メールの招待リンクによるセルフサービス |
Auto-update | はい（システムレベルのアップデーター） | Yes（ユーザーレベルのアップグレーダー） | Yes（ユーザーレベルのアップグレーダー） |
Visibility in system inventory | はい（すべてのユーザーの [プログラムの追加と削除] に表示されます） | 制限付き（インストールしたユーザーにのみ表示されます） | 制限付き（インストールしたユーザーにのみ表示されます） |
Filename | NetskopeSetupSystem-<MP>_<Version>.msi | NetskopeSetup-<MP>_<Version>.msi | NetskopeOnlineSetup-<MP>-<Version>.exe |
When to use the system-wide MSI: 展開、バージョニング、可視性に対する集中的なITコントロールを求めます。ブラウザがインストールされ、登録されていることをIT部門が保証する必要があるマネージドフリートに最適です。管理者権限が必要です。
When to use the user-wide MSI: 管理者権限を必要とせずに、MDM管理による展開を行いたい場合。MSIは、電子メールの招待インストーラーと同様にユーザーの %LOCALAPPDATA% ディレクトリにインストールされますが、Intuneやスクリプトを介して一元的に展開および管理できます。
When to use the email invitation: 管理対象外のデバイスを使用しているユーザーや、管理者権限がなくMDMが使用されていない環境向けに、軽量でセルフサービスのオプションが必要な場合。
MSIインストーラーのダウンロード
MSIインストーラーは、テナント固有のダウンロードURLから入手できます：
- Windows x64:
https://browser-downloads-<tenant-name>.goskope.com/mdm/win/x64/get/pkg
- Windows ARM64:
https://browser-downloads-<tenant-name>.goskope.com/mdm/win/arm64/get/pkg
<tenant-name> を、組織のテナント名に置き換えます。
共存動作
マシンごとに単一のインストール方法に標準化します。方法間で移行する場合は、まず既存のインストールをアンインストールしてください。
システム全体用 MSI の展開
システム全体でのMSIの展開は、次の2つのステップで構成されます。
- System として実行されるLine-of-businessアプリを介してMSIパッケージをインストールします。
- logged-on user として修復スクリプトを実行してブラウザプロファイルを作成します。
ステップ1：システム全体のMSIのインストール
Creating the Line-of-Business App in Intune
- Intune管理センターで、Apps > All apps > Add に移動します。
- Select app typeペインで、Otherの下にあるLine-of-business appを選択し、Selectをクリックします。
- Select app package fileをクリックし、システム全体のMSIファイル（例：NetskopeSetupSystem-<MP>_<Version>.msi）をアップロードします。
- App informationタブで、名前、デスクリプション、および発行者を構成します。
- Command-line arguments フィールドに次を入力します。
/qn /norestart /l*v “%TEMP%\NetskopeInstall.log”
6. Ignore app versionをYesに設定します。Enterprise Browserは内蔵の自動更新機能で自身を更新するため、新しいMSIをアップロードする際にIntuneでアプリを更新しようとしないでください。 設定新しいMSIパッケージをIntuneにアップロードしてバージョン更新を管理する場合は、これをNoのみに設定します。
7. アプリを確認してCreateします。
Expected Install Locations
システム全体のMSIのインストールが成功すると、次のパスにデータが格納されます：
- Browser: C:\Program Files\Netskope\Browser\Application
- Updater: C:\Program Files (x86)\Netskope\NetskopeBrowserUpdater
- Registry keys: HKLM\SOFTWARE\WOW6432Node\Netskope\Update
ステップ 2：ユーザープロファイルの作成（システム全体）
プロファイルがユーザーのIDにバインドされ、Windowsのユーザーディレクトリ下に保存されるため、プロファイルの作成にはログオンユーザーのセキュリティコンテキストが必要です。システム全体のMSI（Intune経由でSYSTEMとしてインストールされる）の場合、これは個別の修復スクリプトを意味します。
以下の Profile Creation Scripts セクションで説明されている検出および修復スクリプトを使用して、Devices > Scripts and remediations で修復を作成します。
次の設定を使用して修復を設定します：
Setting | Value
|
|---|---|
ログオンしたクレデンシャルを使用してこのスクリプトを実行します。 | Yes |
64ビットPowerShellでスクリプトを実行する | Yes |
割り当てとスケジュールを設定します（例：プロファイルが検出されるまで 1 日に 1 回実行）。
ユーザー全体向け MSI の展開
ユーザー全体のMSI展開も2つのステップで構成されますが、完全にユーザーのコンテキストで実行されます。
- user groupに割り当てられた基幹業務アプリを介してMSIパッケージをインストールします。
- logged-on user として修復スクリプトを実行してブラウザプロファイルを作成します。
ステップ1：ユーザー全体のMSIのインストール
Creating the Line-of-Business App in Intune
システム全体の導入と同じ手順に従いますが、次の相違点があります。
- App information タブで、App install context を User に設定します。
- ユーザー全体の MSI アーティファクトをアップロードします（例: NetskopeSetup-<MP>_<Version>.msi）。
- Assignments タブで、アプリをユーザーグループ（デバイスグループではない）に割り当てます。
コマンドライン引数は同じです:
/qn /norestart /l*v “%TEMP%\NetskopeInstall.log”
Expected Install Locations
ユーザー全体のMSIインストールが成功すると、次のパスが設定されます。
- Browser: %LOCALAPPDATA%\Netskope\Browser\Application
- Updater: %LOCALAPPDATA%\Netskope\NetskopeBrowserUpdater
- Registry keys: HKCU\Software\Netskope\Update
ステップ2：ユーザープロファイルの作成（ユーザー全体）
プロファイルの作成手順は、システム全体への導入の場合と同じです。以下で説明する同じ検出スクリプトと修復スクリプトを使用します。スクリプトによって、両方のインストールパスが自動的に検出されます。
注意：作成されたプロファイルには、ユーザーの電子メールアドレス（–netskope-user-emailに渡される値）の名前が付けられます。これは、ブラウザのプロファイルUIでユーザーに表示される内容です。
プロファイル作成スクリプト
以下のスクリプトは、システム全体とユーザーごとの両方のインストールにおけるプロファイル作成を処理します。システム全体のパスを最初にチェックし、ユーザーごとのパスにフォールバックします。
検出スクリプト
$systemExe = “C:\Program Files\Netskope\Browser\Application\nsbrowser.exe”
$userExe = “$env:LOCALAPPDATA\Netskope\Browser\Application\nsbrowser.exe”
$browserExe = if (Test-Path $systemExe) { $systemExe }
elseif (Test-Path $userExe) { $userExe }
else { $null }
if (-not $browserExe) {
Write-Host “Netskope Enterprise Browserはインストールされていません。”
exit 0
}
$regPath = “HKCU:\Software\Netskope\Browser”
if (Test-Path $regPath) {
$props = Get-ItemProperty -Path $regPath -ErrorAction SilentlyContinue
if ($null -ne $props.LastProfileCreationStatus) {
$status = [int]$props.LastProfileCreationStatus
if ($status -eq 0 -or $status -eq 6) {
Write-Host “プロファイルはすでに存在します（ステータス：$status）。”
exit 0
}
}
}
Write-Host “ブラウザーはインストールされていますが、プロファイルが見つかりません。修復が必要です。」
exit 1
修復スクリプト
YOUR_MP_HOSTとYOUR_TENANT_NAMEを組織の値に置き換えます。mpHost値は、nsbrowser-config.<MP>.goskope.com（例：nsbrowser-config.sjc1.goskope.com）の形式を使用します。
To learn more: Endpoints per Management Plane for the full list of configuration service hostnames per Management Plane
$systemExe = “C:\Program Files\Netskope\Browser\Application\nsbrowser.exe”
$userExe = “$env:LOCALAPPDATA\Netskope\Browser\Application\nsbrowser.exe”
$logFile = “$env:TEMP\NetskopeProfileCreation.log”
$mpHost = “YOUR_MP_HOST”
$tenantName = “YOUR_TENANT_NAME”
$browserExe = if (Test-Path $systemExe) { $systemExe }
elseif (Test-Path $userExe) { $userExe }
else { $null }
$upn = (whoami /upn 2>$null)
if (-not $upn) {
$upn = [System.Security.Principal.WindowsIdentity]::GetCurrent().Name
}
$upn = $upn.Trim()
$timestamp = Get-Date -Format “yyyy-MM-dd HH:mm:ss”
function Write-Log {
param ([string]$Message)
$entry = “$timestamp – $Message”
Write-Host $entry
Add-Content -Path $logFile -Value $entry
}
if (-not $browserExe) {
Write-Log “ERROR: nsbrowser.exe not found.MSIはインストールされていますか？」
exit 1
}
Write-Log “Using browser at: $browserExe”
$arguments = @(
“–netskope-mp-host=$mpHost”,
“–netskope-user-email=$upn”,
“–netskope-tenant-name=$tenantName”,
“–no-startup-window”
)
Write-Log “Starting profile creation for: $upn”
try {
$process = Start-Process -FilePath $browserExe `
-ArgumentList $arguments `
-Wait -PassThru -NoNewWindow
$exitCode = $process.ExitCode
} catch {
Write-Log “ERROR: Failed to launch nsbrowser.exe:$_”
exit 1
}
switch ($exitCode) {
0 { Write-Log “Profile created successfully for $upn.”;exit 0 }
6 { Write-Log “Profile for $upn already exists.”;exit 0 }
7 { Write-Log “ERROR: Profile creation failed (exit code 7).”; exit 1 }
default { Write-Log “ERROR: Unexpected exit code: $exitCode”; exit 1 }
}
MSIコマンドラインリファレンス
Netskope Enterprise Browser MSIを展開する際には、次のmsiexecオプションが関連します。
Standard msiexec Options
OPTION | デスクリプション |
|---|---|
/i “path.msi” | 指定された MSI パッケージをインストールします |
/x “path.msi” | 指定された MSI パッケージをアンインストールします。 |
/qn | サイレントインストール（UIなし） |
/qr | UIを簡素化（進行状況バーのみ） |
/qf | 完全なUI |
/norestart | 必要な場合でも再起動を抑制する |
/l*v “path.log” | 詳細なログファイルを出力する（トラブルシューティングに推奨） |
トラブルシューティングの終了コード
MDM インストールプロセスには、MSI インストーラー、オフラインインストーラー（メタインストーラー）、インストーラー実行ファイル、ブラウザー実行ファイルの一連のコンポーネントが含まれます。各コンポーネントは、チェーンに伝播するステータスコードを生成します。
MSIインストーラーの終了コード
これらは、MSIインストールの完了後にmsiexecによって返される終了コードです。MDMレポートでmsiexecプロセスの終了コードを確認し、インストールの結果を判断します。
終了コード | 名前 | デスクリプション | NOTES |
|---|---|---|---|
0 | ERROR_SUCCESS | 処理は正常に完了しました。 | ブラウザが正常にインストールされ、インストール済みアプリのリストに登録されました。実行前に古いバージョンが存在していた場合、ブラウザとインストール済みアプリのエントリが更新されました。 |
1602 | ERROR_INSTALL_USEREXIT | ユーザーがインストールをキャンセルしました。 | ユーザーによってMSIのインストールが中断されました。 |
1603 | ERROR_INSTALL_FAILURE | インストール中に致命的なエラーが発生しました。 | まれに、これが原因でブラウザのインストールが失敗することがあります（たとえば、ディスク容量が不足している場合など）。詳細については、詳細ログをご確認ください。 |
1619 | ERROR_INSTALL_PACKAGE_OPEN_FAILED | このインストールパッケージを開くことができませんでした。 | 指定されたMSIファイルが見つからない場合に msiexec.exe によって返されます。考えられる原因は、インストールに干渉しているアンチウイルスまたはEDRシステムです。パッケージが存在し、アクセス可能であることを確認してください。 |
1638 | ERROR_PRODUCT_VERSION | この製品の別のバージョンがすでにインストールされています。 | Enterprise Browserの古いバージョンがすでにインストールされており、新しいインストーラーでアップグレードできない場合にこれが表示されます。ブラウザの古いバージョンを完全にアンインストールしてもう一度試すか、ALLOWDOWNGRADE=1を使用してください。 |
MSIからのエラー終了コードは、次の条件によって発生する可能性があります：
- 基盤となるブラウザのインストールに失敗しました（例：ディスクの空き容量不足など）
- ユーザーが MSI パッケージの実行をキャンセルしました
- MSIパッケージが見つからないか、アクセスできません。
- 現在インストールされているMSIパッケージと実行中のパッケージに互換性がありません
インストーラーのレジストリステータス
ブラウザーのインストールが完了すると、インストーラーの実行ファイルに追加のステータスデータがWindowsレジストリに書き込まれます。これらの値は、MSIの終了コード単体よりも詳細な情報を提供します。
system-wide MSI については、ステータスが次に書き込まれます：
- HKLM:\SOFTWARE\WOW6432Node\Netskope\Update
- HKLM:\SOFTWARE\WOW6432Node\Netskope\Update\ClientState\{b65831c5-a4c1-4a0a-9d70-03488008ffea}
user-wide MSI については、ステータスが次に書き込まれます：
- HKCU:\Software\Netskope\Update
次のレジストリ値を使用できます：
KEY | デスクリプション |
|---|---|
LastInstallerResult | インストールが成功した場合は0を、失敗した場合は1を保存します。 |
LastInstallerError | インストールの失敗が発生した場合に、インストーラーのエラーコードを保存します。 |
LastInstallerResultUIString | インストールの失敗を説明する人間が読める形式の文字列を保存します。メタインストーラー（オンラインまたはオフライン）を介してインストールする場合は利用可能ですが、MSIを介してインストールする場合は利用できません。 |
システム全体のMSIインストールの後にこれらの値を取得するには：
$RegPath = “HKLM:\SOFTWARE\WOW6432Node\Netskope\Update”
Get-ItemProperty -Path $RegPath -Name LastInstallerResult, LastInstallerError -ErrorAction SilentlyContinue
ユーザー全体の MSI インストール後にこれらの値を取得するには：
$RegPath = “HKCU:\Software\Netskope\Update”
Get-ItemProperty -Path $RegPath -Name LastInstallerResult, LastInstallerError -ErrorAction SilentlyContinue
プロファイル作成の終了コード
nsbrowser.exeがプロファイル作成モードで実行されると、その結果はHKCU:\Software\Netskope\Browserの以下の2つの値に書き込まれます：LastProfileCreationStatus（数値）およびLastProfileCreationStatusString（人間が読める形式）。
障害が発生した場合、3番目の値である LastProfileCreationFailureDetail に、マシン読み取り可能な理由が含まれます：INVALID_PARAMS（値に記載されている必要なパラメータが欠落している）、NOT_INTERACTIVE_SESSION、LICENSE_KEY_NOT_FOUND、LICENSE_KEY_TIMEOUT、LICENSE_KEY_PERMISSION_DENIED、LICENSE_KEY_SERVER_UNAVAILABLE、LICENSE_BLOCKED（ライセンスが削除または無効化されている）、SYSTEM_PROFILE_UNAVAILABLE、PROFILE_MANAGER_UNAVAILABLE、または DIRECTORY_CREATION_FAILED。
VALUE | NAME | デスクリプション |
|---|---|---|
0 | PROFILE_CREATED | 要求されたプロファイルが正常に作成されました。 |
6 | PROFILE_WITH_NAME_EXISTS | 同じ名前のプロファイルがすでに存在します。これは成功条件であり、要求されたプロファイルを利用できます。 |
7 | PROFILE_CREATION_FAILED | 要求されたプロファイルを作成できませんでした。または、非インタラクティブセッションまたは昇格されたセッションからプロファイルを作成しようとしました。 |
プロファイル作成ステータスを取得するには:
Get-ItemProperty -Path “HKCU:\Software\Netskope\Browser” -Name LastProfileCreationStatus, LastProfileCreationStatusString, LastProfileCreationFailureDetail -ErrorAction SilentlyContinue
プロファイル作成の失敗の診断
プロファイルの作成に失敗した場合は（ステータス7）、以下を確認してください：
- Correct mpHost format — the value must use the format nsbrowser-config.<MP>.goskope.com. To learn more: Endpoints per Management Plane
- User is provisioned — ユーザーの電子メールアドレスをEnterprise Browserに招待する必要があります。[設定] > [セキュリティ クラウド プラットフォーム] > [Enterprise Browser] > [ユーザー プロビジョニング] > [ユーザーの招待] に移動して確認します。サイレントMDMフローには「オンボーディング電子メールを送信しない」を使用します。
- Interactive user session — プロファイル作成コマンドは、ログオンしたユーザーの対話型セッションで実行する必要があります。SYSTEMアカウント、サービス、ユーザーがログオンしているかどうかに関係なく実行されるスケジュールされたタスクなど、非対話型セッションから実行された場合は失敗します。これが発生すると、LastProfileCreationFailureDetailはNOT_INTERACTIVE_SESSIONに設定されます。Intune修復スクリプトを使用してログオンしたユーザーとしてコマンドを実行する（「ログオンしたクレデンシャルを使用してこのスクリプトを実行する」を「はい」に設定）ことで、この要件を満たすことができます。
- Network connectivity — マシンは https://nsbrowser-config.<MP>.goskope.com にアクセスできる必要があります。ファイアウォール、プロキシ、または DNS のブロックにより、エラーコード 7 が発生します。
- Profile creation log — 障害の詳細については、%TEMP%\NetskopeProfileCreation.logを確認してください。
ユーザーエクスペリエンス
デプロイメントが完了すると、ユーザーのデスクトップにNetskope Enterprise Browserアイコンが表示され、企業のプロファイルが自動的に登録されます。MSIのバリエーションに応じて、ブラウザーは次の場所から実行されます：
- System-wide MSI: C:\Program Files\Netskope\Browser\Application\nsbrowser.exe
- User-wide MSI: %LOCALAPPDATA%\Netskope\Browser\Application\nsbrowser.exe
ブラウザはバックグランドアップグレーダーを介して自動的に更新されます。システム全体を対象としたMSIの場合、アップグレーダーはシステムレベルで実行されます。ユーザー全体を対象としたMSIの場合、アップグレーダーはユーザーレベルで実行されます。
考慮事項
考慮事項には以下が含まれます。
- ユーザー全体のMSIと電子メールによる招待インストーラーは、同じファイルパス（%LOCALAPPDATA%\Netskope\）に書き込みます。マシンに存在できるのは 1 つのみです。メソッドを切り替える前に、既存のインストールをアンインストールします。
- 同じマシンの両方にシステム全体のMSIとユーザー全体のMSIがインストールされている場合、ショートカットとファイルの関連付けにおいてはシステムレベルのインストールが優先されます。この組み合わせは推奨されません。1台のマシンにつき1つの展開モデルに標準化してください。
- NETSKOPEPROFILE msiexecプロパティは、新しいデプロイでは非推奨となっています。プロファイルの作成は、MSIのインストール後に常に別のステップとして実行する必要があります。
- どの MSI バリアントを使用するかに関係なく、プロファイルの作成はログオンしたユーザーのインタラクティブセッションで実行する必要があります。非インタラクティブセッション（SYSTEM、サービスアカウント、または非インタラクティブなタスクスケジューラ）から nsbrowser.exe を実行すると、ステータス 7 で失敗します。
- プロファイルの作成は、ユーザーがEnterprise Browserの実行中のインスタンスを持っていない場合にのみ成功します。コマンドの実行時にブラウザが開いている場合、起動は実行中のインスタンスに引き渡され、プロファイルの作成やレジストリステータスの書き込みを行わずにコード0で終了します。修復を繰り返し実行するようにスケジュールします（例：1日1回）。ステータスが記録されていないため、検出スクリプトは次回の実行時に修復を再トリガーします。
- すべての MSI ダウンロード URL はテナント固有です。ユーザー全体のインストーラーは /mdm/win/<arch>/get を使用し、システム全体のインストーラーは /mdm/win/<arch>/get/system を使用します。
- MSIのインストールが正常に完了すると、ブラウザが[プログラムの追加と削除]に表示され、Netskopeのバージョンが表示されます。MSIのインストールに失敗した場合、ブラウザやアップデータがディスク上に残っている可能性がありますが、インストール済みアプリのリストには表示されません。
- 展開の失敗に関するトラブルシューティングを支援するため、標準のインストールコマンドの一部として詳細ログ（/l*v）が推奨されます。
詳細情報：Netskope Enterprise Browser Installation and Troubleshooting
macOSのインストール
macOS向け Netskope Enterprise Browser は、セルフサービスの電子メール招待（DMGインストーラー）または一元化されたMDM展開（PKGインストーラー）の2つの方法で展開できます。PKGインストーラーはIT部門が管理するシステムレベルのインストールを提供し、DMGはエンドユーザーによってトリガーされるユーザーごとのインストールです。このページでは、Microsoft IntuneおよびJAMF Proのステップバイステップの手順を含め、両方の方法について説明します。
前提条件
- macOS 12 Monterey以降
- Intel (x64) または Apple Silicon (ARM64) プロセッサ
- 対象ユーザーに割り当てられた Enterprise Browser ライセンス
- エンドユーザーは Netskope Enterprise Browser でプロビジョニングされている必要があります
パス：Settings > Security Cloud プラットフォーム > Enterprise Browser > User Provisioning > Invite Users
- Network connectivity to the Netskope Enterprise Browser endpoints for your Management Plane. To learn more: Endpoints per Management Plane
- MDM 展開の場合：MDM 管理コンソール（Intune、JAMF Pro、Kandji、Mosyle、または Workspace ONE）へのアクセス
インストール方法の理解
導入方法を選択する前に、利用可能なオプションの違いを確認してください。
PKGインストーラー（MDM） | DMGインストーラー（電子メール招待）
| |
|---|---|---|
Installation scope | システム全体 (/Applications/) | ユーザー別（/Applications/） |
Admin privileges required | はい（ルートとしてMDM経由でインストール済み） | いいえ（ユーザーのドラッグ＆ドロップ） |
Profile creation | 個別のステップ（インストール後スクリプト） | 組み込み（ライセンスキーによる1ステップ） |
Intended deployment method | MDM（Intune、JAMF、Kandji、Workspace ONE） | 電子メールの招待リンクによるセルフサービス |
Auto-update | はい（システムレベルのアップデーター） | Yes（ユーザーレベルのアップグレーダー） |
Updater location | /Library/Netskope/NetskopeBrowserUpdater/ | ~/Library/Application Support/Netskope/NetskopeBrowserUpdater/ |
Installer artifact | PKG | DMG |
When to use the PKG (MDM): 展開およびプロファイルの自動登録に対して、一元的なIT制御が必要となります。管理対象のフリートに最適です。
When to use the DMG (email invitation): 管理対象外のデバイスを使用する個々のユーザー向けに、軽量なセルフサービスオプションが必要となります。
PKGインストーラーのダウンロード
PKG インストーラーは、テナント固有のダウンロード URL から入手できます。
- macOS x64 (Intel): https://browser-downloads-<tenant-name>.goskope.com/mdm/mac/x64/get/pkg
- macOS ARM64 (Apple Silicon): https://browser-downloads-<tenant-name>.goskope.com/mdm/mac/arm64/get/pkg
<tenant-name> を、組織のテナント名に置き換えます。
注意：DMG（ユーザー全体用）インストーラーは、/pkgサフィックスなしの同じベースURLで利用できます：
- macOS x64 DMG: https://browser-downloads-<tenant-name>.goskope.com/mdm/mac/x64/get
- macOS ARM64 DMG: https://browser-downloads-<tenant-name>.goskope.com/mdm/mac/arm64/get
共存動作
ユーザーがDMG経由でEnterprise Browserをすでにインストールしており、その後PKGがMDM経由でインストールされた場合、PKGは/Applications/内のアプリケーションを上書きし、新しいシステムレベルのアップデーターをインストールします。DMGインストールからのユーザーレベルのアップデーターはそのまま残りますが、干渉することはありません。ユーザーが何らかの問題に直面した場合は、手動で削除できます。
MDMでのデプロイ
Microsoft Intuneを使用したデプロイ
ステップ1：macOSアプリの作成
- Intune 管理センターで、Apps > macOS > Add に移動します。
- ドロップダウンで macOS App (PKG) を選択します。
- Select をクリックし、PKG ファイルをアップロードします。
- Publisher を Netskope に指定します。追加設定は任意で、組織の標準に従う必要があります。
- Next .
をクリックしてください
ステップ2：インストール後スクリプトの追加
Post-install script セクションに、インストール後にユーザープロファイルを作成するための次のスクリプトを入力します。PKGはrootとしてインストールされますが、プロファイルはユーザーのホームディレクトリに保存されるため、プロファイルの作成はログイン中のユーザーとして実行する必要があります。
#!/bin/bash
# 現在ログインしているユーザーを取得する（rootを除く）
CURRENT_USER=$(stat -f%Su /dev/console)
CURRENT_UID=$(id -u “$CURRENT_USER”)
# ユーザーがログインしていない場合（DEP登録時など）、正常に終了します。
# プロファイルの作成は、初回のログイン時に別のメカニズムで処理する必要があります。
if [[ “$CURRENT_USER” == “root” ]] || [[ “$CURRENT_USER” == “loginwindow” ]] || [[ -z “$CURRENT_USER” ]]; then
echo “ユーザーがログインしていません。プロファイルの作成をスキップします。”
exit 0
fi
BROWSER_PATH=”/Applications/Netskope Enterprise Browser.app/Contents/MacOS/NetskopeEnterprise Browser”
if [[ !-x “$BROWSER_PATH” ]]; then
echo “期待されるパスにブラウザが見つかりません。”
exit 1
fi
echo “ユーザー $CURRENT_USER としてプロファイルを作成しています…”
launchctl asuser “$CURRENT_UID” sudo -u “$CURRENT_USER” “$BROWSER_PATH” \
–netskope-mp-host=<MP-HOSTNAME>\
–netskope-user-email={{mail}} \
–netskope-tenant-name=<tenant-name>.goskope.com \
–no-startup-window &
sleep 30
# ブラウザを終了します
echo “Netskope Enterprise Browserを終了しています…”
pkill -f “Netskope Enterprise Browser” || true
Replace <MP-HOSTNAME> with your Management Plane region code.
To learn more: Endpoints per Management Plane
Replace <tenant-name> with your Netskope tenant name.
{{mail}} 変数は、登録済みユーザーの電子メールアドレスに解決されるIntuneトークンです。
注意：インストール時にログインしているユーザーがいない場合（自動デバイス登録 [Automated Device Enrollment] の場合など）、スクリプトはプロファイルを作成せずに終了します。この場合、同じプロファイル作成ロジックを持つ個別の Intune シェル スクリプトを構成し、ユーザーのログイン時に実行されるように割り当てます。
Nextをクリックしてください。
ステップ3：最小OS要件の設定
ドロップダウンで、環境の最小 macOS バージョンを選択します（例: macOS 12 Monterey）。
Nextをクリックしてください。
ステップ4：割り当てと作成
PKGアプリの検出ルールは自動的に事前入力されます。手動による検出ルールは必要ありません。
アプリを適切なユーザーまたはデバイスグループに割り当てます。Saveをクリックします。
JAMF Pro を使用したデプロイ
JAMF Proの展開には、パッケージ、構成プロファイル（PLIST）、およびインストール後スクリプトを含む展開ポリシーの3つのコンポーネントが必要です。
ステップ1：PKGパッケージの追加
- Settings > Computer Management > Packages > New に移動します。
- PKGファイルをアップロードします。
- Save .
をクリックしてください
ステップ2：PLIST構成プロファイルの作成
このプロファイルは、プロファイル作成時に使用するユーザーの電子メールアドレスをデバイスに配信します。
- Computers > Configuration Profiles > Newに移動します。
- 名前を定義します（例: Netskope EB Configuration Profile）。
- Level を Computer Level に設定します。
- Distribution Method を Install Automatically に設定します。
- Application & Custom Settings で Upload をクリックし、以下を追加します。
- Preference Domain: Netskope
- Property List:
- Preference Domain: Netskope
<?xml version=”1.0″encoding=”UTF-8″?>
<!DOCTYPE plist PUBLIC “-//Apple//DTD PLIST 1.0//EN”
“http://www.apple.com/DTDs/PropertyList-1.0.dtd”>
<plist version=”1.0″>
<dict>
<key>email</key>
<string>$EMAIL</string>
</dict>
</plist>
- Save .
をクリックしてください - Scope タブで、適切なスコープを構成します。
- Save .
をクリックしてください
ステップ3：導入スクリプトの作成
- Settings > Computer Management > Scripts > New に移動します。
- 名前を定義します（例：Netskope Enterprise Browser Script）。
- Script タブに切り替えて、次を貼り付けます：
#!/bin/bash
PLIST_PATH=”/Library/Managed Preferences/$4.plist”
# ログイン中の現在のユーザーと UID を取得する
CURRENT_USER=$(stat -f%Su /dev/console)
CURRENT_UID=$(id -u “$CURRENT_USER”)
# plist からユーザーの電子メールを読み取る
if [[ -f “$PLIST_PATH” ]]; then
VALUE=$(defaults read “${PLIST_PATH%.plist}”email 2>/dev/null)
echo “Plist からのユーザーの電子メール: $VALUE”
else
echo “$PLIST_PATH に plist ファイルが見つかりません”
exit 1
fi
# Netskope Enterprise Browser バイナリへのパス
BROWSER_PATH=”/Applications/Netskope Enterprise Browser.app/Contents/MacOS/NetskopeEnterprise Browser”
# すべての引数を指定してブラウザを起動する
if [[ -x “$BROWSER_PATH” ]]; then
echo “ユーザー $CURRENT_USER として Netskope ブラウザを起動しています…”
launchctl asuser “$CURRENT_UID” sudo -u “$CURRENT_USER” “$BROWSER_PATH” \
–netskope-mp-host=<MP-HOST> \
–netskope-user-電子メール=”$VALUE” \
–netskope-tenant-name=<tenant-name>.goskope.com \
–no-startup-window &
else
echo “想定されるパスにブラウザが見つかりません: $BROWSER_PATH”
exit 1
fi
sleep 30
# ブラウザを終了する
echo “Netskope Enterprise Browser を終了しています…”
osascript -e ‘quit app “Netskope Enterprise Browser”‘
4. Save をクリックします。
ステップ4：導入ポリシーの作成
- Computers > Policies > Newに移動します。
- 名前を定義します（例：Netskope EB Policy）。
- 組織の設定（スタートアップ、ログイン、登録完了、定期的なチェックインなど）に従って Trigger を設定します。
- Execution Frequency を Ongoing または必要に応じて設定します。
- Packages の下で、Configure > Add をクリックし、事前作成済みのパッケージを選択します。アクションを Install に設定します。
- Scripts の下で、Configure > 事前作成されたスクリプトを次の内容で Add クリックします:
- Priority: After
- Parameter 4: netskope（PLIST構成名）
- Parameter 5: your tenant MP code (for example, sjc1, dfw3)
- Parameter 6: テナント名（例：acme.goskope.com）
- Priority: After
- Scope タブで、適切なスコープを構成します。
- Save .
をクリックしてください
Enterprise Browserが導入され、ユーザープロファイルが自動的に作成されます。
他のMDMソリューションでの展開（Kandji、Mosyle、Workspace ONE）
他のMDMソリューションについても、同様の一般的なパターンに従ってください。
- PKG をカスタムアプリまたはパッケージとしてアップロードします。
- ログオンユーザーとしてプロファイル作成コマンドを実行する、インストール後のスクリプトを設定します。
- プロファイル作成コマンドは常時次のようになります：
“/Applications/Netskope Enterprise Browser.app/Contents/MacOS/NetskopeEnterprise Browser” \
–netskope-mp-host=<MP-HOSTNAME> \
–netskope-user-電子メール=<user-email> \
–netskope-tenant-name=<tenant-name>.goskope.com \
–no-startup-window
4. プロファイルの作成が完了するまで30秒待ち、ブラウザープロセスを終了します。
5. プロファイルを正しく作成するには、スクリプトがログインユーザー（ルートではない）として実行される必要があります。
MDMを使用したiOSおよびiPadOSのデプロイ
iOS および iPadOS 向けの Netskope Enterprise Browser は、Apple App Store で入手できます。組織のモバイルデバイス管理（MDM）ソリューションを使用して管理対象デバイスに展開することも、従業員が電子メールの招待状に従って手動でインストールすることもできます。登録すると、ブラウザが Netskope テナントに接続し、ブラウザ構成が適用されます。
前提条件
- Enterprise Browser 1.5.0以降（iOSおよびiPadOS）
- ターゲットデバイス上の iOS 17.0 / iPadOS 17.0 以降
- Enterprise Browserの権利を持つ Netskope One テナント
- MDMコンソールへのアクセス（管理対象のデプロイの場合）
- Netskopeコンソールで設定されたNPAアクセス（プライベートアプリアクセスを導入する場合）
MDM経由でのデプロイ
MDM展開を使用すると、管理対象アプリの承認以外のユーザー操作を必要とせずに、Enterprise Browserアプリとその構成をデバイスにプッシュできます。
ステップ 1：MDMへのアプリの追加
- MDMコンソールで、アプリカタログまたはアプリ管理セクションに移動します。
- Apple App StoreからNetskope Enterprise Browserを追加します（App Store ID: 6744964352）。
- アプリを適切なユーザーグループまたはデバイスグループに割り当てます。
ステップ2：管理アプリの構成の設定
Enterprise Browser は、MDM によってプッシュされた管理対象アプリの構成から次のキーを読み取ります。
Key | Required | Description |
|---|---|---|
netskope-tenant-name | はい | Netskope テナント名 (例: tenantname.goskope.com) |
netskope-user-email | はい | 登録されたユーザーの電子メールアドレス |
netskope-mp-host | はい | 管理プレーンのホスト名（付属書を参照）MPあたりのエンドポイント） |
3つのキーがすべて揃うと、Enterprise Browserによってユーザープロファイルが自動プロビジョニングされます。手動でライセンスキーを入力する必要はありません。
ステップ 3: ネットワークアクセスの構成（NSClientの共存）
iOS に Enterprise Browser を Netskope Client (NSClient) とともに展開する場合:
- Netskopeコンソールで、[Security Cloud プラットフォーム] ＞ [アプリ定義] に移動します。
- [証明書ピン留めアプリ] タブで、[新しい証明書ピン留めアプリケーション] をクリックします。
- Select iOS as the platform, then add the relevant domains (for example, <MP>.goskope.com).
To learn more: Endpoints per Management Plane - アプリのエントリの [Steering Config Exceptions] に移動し、適切なユーザーグループの例外を構成します。
ステップ4：配布
標準のMDM展開ワークフローを使用して、アプリと構成をデバイスにプッシュします。有効な管理対象構成を持つデバイスは、ユーザーが最初にブラウザーを開いたときに自動プロビジョニングされます。
考慮事項
考慮事項には以下が含まれます。
- iOSおよびiPadOSはバージョン17.0以降が必要です。古いOSバージョンはサポートされていません。
- サイドローディングはサポートされていません。Enterprise Browser は、App Store または MDM アプリカタログから配布する必要があります。
- NPA（プライベートアプリアクセス）には、前述のNSClient共存構成が必要です。
- iOSでは、WebRTCベースの画面共有のインターセプションはサポートされていません。
- コピーポリシーがブロックに設定されている場合でも、ハイライト付きのリンクのコピーはiOSで許可されます（既知の制限）。
MDM を使用した Android および ChromeOS の展開
Android および ChromeOS 向け Netskope Enterprise Browser は Google Play でご利用いただけます。Microsoft Intune、VMware Workspace ONE、Google Workspace などの Android Enterprise MDM ソリューションを使用して、管理対象デバイスに展開できます。登録されると、ブラウザーは Netskope テナントに接続し、構成されたブラウザー保護ポリシー（Browser Protection Policies）を適用します。
前提条件
- Enterprise Browser 1.5.0 以降（Android および ChromeOS）
- ターゲットAndroidデバイス上のAndroid 12（Snow Cone）以降
- 対象のChromebook上のChromeOS 89以降（ARC++経由でAndroidアプリを実行）
- Enterprise Browserの権利を持つ Netskope One テナント
- 組織向けに構成された Android Enterprise MDM コンソール
Android Enterprise MDMによる展開
MDM展開では、Android Enterprise管理対象アプリ構成を使用して、ブラウザーアプリとプロファイル設定をデバイスに自動的にプッシュします。
ステップ 1：MDMへのアプリの追加
- MDM コンソールで、管理対象アプリカタログに移動します。
- Google Play から Netskope Enterprise Browser を追加します。
- アプリを適切なユーザーグループまたはデバイスグループに割り当てます。
ステップ2：管理アプリの構成の設定
Enterprise Browserは、MDMでプッシュされた管理対象アプリの設定（Android Enterprise）から次のキーを読み取ります。
鍵 | Required | デスクリプション |
|---|---|---|
netskope-tenant-name | はい | Netskope テナント名 (例: tenantname.goskope.com) |
netskope-user-email | はい | 登録されたユーザーの電子メールアドレス |
netskope-mp-host | はい | 管理プレーンのホスト名（付属書を参照）MPあたりのエンドポイント） |
3つのキーがすべて揃っている場合、Enterprise Browserはユーザープロファイルを自動プロビジョニングするため、手動でのライセンスキーの入力は必要ありません。いずれかのキーが不足しているか空である場合、ブラウザは手動プロファイル作成フローにフォールバックします。
ステップ3：配布（Distribute）
標準のMDM展開ワークフローを使用して、アプリと構成をデバイスにプッシュします。有効な管理対象構成を持つデバイスは、ユーザーが最初にブラウザーを開いたときに自動プロビジョニングされます。
ステップ 4: 登録の検証
展開後、ブラウザがテナントに正しく接続されていることを確認します。
- テストデバイスで Netskope Enterprise Browser を開きます。
- netskope://policy に移動して、テナントからポリシーが受信されていることを確認します。
- Netskopeコンソールで、ユーザーのデバイスの下にデバイスが表示されていることを確認します。
ChromeOS固有の注意事項
ChromeOS 上では、Enterprise Browser は ARC++ (Android Runtime for Chrome) を介して Android アプリとして実行されます。展開手順は Android の場合と同じです。注記：
- ChromeOS 89以降が必要です。
- ブラウザウィンドウは、ChromeOSのウィンドウマネージャーに合わせてサイズが変更されます。ウォーターマークのレンダリングは、ウィンドウサイズの変更に適応します。
- ChromeOS上のマネージドアプリ構成は、Androidモバイルと同様に、EMMソリューションを介してプッシュされます。
ユーザーエクスペリエンス
展開後、ユーザーはアプリドロワーまたはChromeOSシェルフからNetskope Enterprise Browserを起動します。ブラウザーは標準のAndroidブラウザーの外観と動作を持ち、Netskopeによって強制されたポリシーが透過的に適用されます。ユーザーには次が表示される場合があります：
- 保護されたページ上のウォーターマークオーバーレイ（ウォーターマークが有効な場合）
- 保護されたページのスクリーンショットの撮影を試みた際の画面の黒い表示（スクリーンショットおよび画面共有の保護が有効な場合）
- アクティブなブラウザー保護ポリシーを示すポリシーインジケーター
- 保護されたサイトでのコピー/ペースト動作の制限（サンドボックス化されたクリップボードが有効な場合）
考慮事項
考慮事項には以下が含まれます。
- Android 12以降が必要です。Android 11以前を搭載したデバイスはサポートされていません。
- ChromeOS では、デバイスで Android アプリ（ARC++）を有効にする必要があります。
- インテリジェントタブ共有は、AndroidおよびChromeOSではサポートされていません。
- Google Playは古いAPKへのダウングレードをサポートしていません。ホットフィックスは新しいバージョンとして配信されます。
詳細情報：プラットフォーム サポート マトリックス | Enterprise Browserのインストールとトラブルシューティング
手動登録（電子メール招待）による展開
MDM を使用していない組織、または個々のユーザー登録の場合：
- Netskopeコンソールで、[Security Cloud プラットフォーム] ＞ [User Management] に移動します。
- ユーザーを見つけて［招待の送信］をクリックするか、新しいユーザーを作成して招待を送信します。
- ユーザーは、アプリをインストールするためのリンクと構成プロファイルが含まれた電子メールを受信します。
- ユーザーはiPhoneまたはiPadで次の手順を実行します：
- ブラウザで招待リンクを開き、構成プロファイルをダウンロードします。
- [設定] → [プロファイルがダウンロードされました] に移動し、[インストール] をタップしてプロファイルを信頼します。
- 電子メール内の App Store のリンクを開き、Netskope Enterprise Browser をインストールします。
- ブラウザーを開き、招待メールに含まれるライセンスキーを使用してプロファイルを作成します。
- ブラウザで招待リンクを開き、構成プロファイルをダウンロードします。
登録の検証
展開後、ブラウザがテナントに正しく接続されていることを確認します。
- ブラウザがエラーなく起動することをユーザーに確認するか（またはMDM経由で検証）してください。
- ブラウザで netskope://policy に移動し、テナントからポリシーが受信されていることを確認します。
- Netskopeコンソールで、ユーザーのデバイスの下にデバイスが表示されていることを確認します。
Enterprise Browser のインストール後のユーザーエクスペリエンス
展開後、ユーザーはホーム画面からNetskope Enterprise Browserを起動します。ブラウザは標準的なブラウザのように見え、動作しますが、Netskopeで強制されるポリシーが透過的に適用されます。ユーザーには次のようなメッセージが表示される場合があります。
- 保護されたページ上のウォーターマークオーバーレイ（ウォーターマークが有効な場合）
- 保護されたページのスクリーンショットを試みた際の画面のホワイトアウトまたは通知（スクリーンショット保護が有効な場合）
- アクティブなブラウザー保護ポリシーを示すナビゲーションバーのポリシーインジケーター
- 保護されたサイトでのコピー/ペースト動作の制限（サンドボックス化されたクリップボードが有効な場合）
詳細情報：プラットフォーム サポート マトリックス | Enterprise Browserのインストールとトラブルシューティング
アップデーター＆バージョン管理
Netskope Enterprise Browserには、MacおよびWindowsプラットフォームで、ブラウザを最新のセキュリティパッチと機能で常に最新の状態に保つ自動アップデート機能が組み込まれています。アップデートは、ユーザーの作業を中断させることなく、バックグランドで自動的に配信されます。管理者は、組織の変更管理要件に合わせてアップデートポリシーを介してアップデート動作を制御できます。
自動更新の仕組み
Enterprise Browserは、ブラウザプロセスとは独立して実行される専用のアップデータコンポーネントを使用します。アップデータは定期的にNetskopeサービスにコンタクトし、エンドポイントのプラットフォームとアーキテクチャで使用可能な新しいバージョンを確認します。
更新プロセスは次の手順に従います：
- アップデーターは、定期的に（約5時間ごとに）利用可能なアップデートをチェックします。
- 新しいバージョンが利用可能な場合、アップデーターはそのバージョンをバックグランドでダウンロードします。
- 新しいバージョンは、現在のブラウザのインストールと並行してインストールされる。
- ブラウザーが実行されていない場合、アップデートによって既存のインストールが直ちに置き換えられます。
- ブラウザが起動中の場合、更新は準備され、ユーザーがブラウザを再起動したときに適用されます。
アップデーターは、Enterprise Browserが最初に起動されると自動的にインストールされます。これはバックグランドプロセスとして実行され、自身とブラウザの両方を独立して更新できます。
通知の更新
新しいバージョンが準備され、再起動が必要になると、エンドユーザーに通知されます。通知は以下のステージで進行します。
- メニュインジケーター — ブラウザのメニュに色付きのドットが表示され、アップデートが利用可能であることを示します
- 推奨される再起動 — アップデートを適用するためにブラウザを再起動するようにユーザーに促す通知
- 再起動が必要 — ブラウザが自動的に再起動されることをユーザーに通知する通知
Enterprise Browserは、設定された時間枠が経過すると、強制的な再起動を適用します。その期間内にユーザーが再起動しない場合、ブラウザは自動的に再起動し、アップデートを適用します。
ポリシーの更新
管理者はアップデートの動作を構成して、アップデートの適用方法と適用時期を制御できます。以下のポリシーが利用可能です。
- Updates enabled — アップデータはすべてのアップデートを自動的に確認およびインストールします（デフォルトの動作）
- Automatic updates only — 更新はユーザーの手動介入なしで自動的にダウンロードおよびインストールされます。手動更新チェックは無効になります
- Manual updates only — 更新は手動で実行した場合にのみ適用されます
- Updates disabled — アップデートの確認やインストールは行われません
注意：アップデートポリシーはアカウントレベルで設定されます。テナントのポリシー設定を調整および更新するには、Netskopeアカウントチームにコンタクトしてください。これらの設定は、管理コンソールからは利用できません。
Versioning
Enterprise Browserは、次の2つのバージョン番号を維持します。
- Netskope Product Version （例：1.4.13）— Netskope固有の機能と修正を含む、Enterprise Browserのリリースを識別する
- Chromium Version （例えば、140.0.7339.256）— 基盤となるChromiumエンジンのバージョンを識別します
ユーザーは、メニュ → Enterprise Netskope Enterprise Browserについてを開くか、アドレスバーにnetskope://versionと入力することで、現在のバージョンを確認できます。
リリースサイクル
Enterprise Browserのリリースサイクルは、次の2つの要因によって決まります。
- Security vulnerabilities — Chromiumのアップストリームから検出された、または内部で検出された重大な脆弱性は、深刻度SLAに従って対処されます。重大な問題は直ちに修正され、展開されます。
- Feature releases —新しい機能と機能強化は毎月提供され、ChromiumのリリースサイクルとEnterprise Browserのリベース戦略に合わせて調整されます。
プラットフォーム固有の更新動作
プラットフォームによってアップデートの仕組みが異なります。
- Windows and macOS — 上記の説明に従って、組み込みアップデータがすべてのアップデートを自動的に処理します
- iOS and iPadOS – アップデートは Apple App Store から配信されます。管理者は MDM ポリシーを通じてアップデートのタイミングを制御できます
- Android and ChromeOS — アップデートはGoogle Playストアまたは管理対象Google Playから配信されます。管理者はEMMポリシーを使用してアップデートのタイミングを制御できます
考慮事項
考慮事項には以下が含まれます。
- 自動更新プログラムがアップデートを確認およびダウンロードするには、Netskopeサービスへのネットワーク接続が必要です。
- エンドポイントセキュリティソフトウェア（CrowdStrikeやその他のEDRソリューションなど）は、アップデータプロセスをフラグ付ける場合があります。これが発生した場合は、Enterprise Browserアップデータを許可リストに登録してください。
- macOSでは、ブラウザをアンインストールした後、アップデータプロセスが短時間残ってから、自己削除されることがある。
- 更新ポリシーはアカウントレベルで構成され、変更するにはNetskopeサポートが必要です。ユーザーごと、または管理コンソールから設定することはできません。
- Enterprise BrowserをNetskope Clientと併用する場合は、Certificate Pinned Applicationの例外にnsbrowser.exeとnetskopebrowserupdater.exe（Windows）またはNetskope Enterprise Browserとnetskopebrowserupdater（macOS）の両方を含めてください。
Uninstallation
このページでは、Windows、macOS、iOS、iPadOS、Android、ChromeOSのデバイスからNetskope Enterprise Browserを削除する方法について説明します。
Windows
手動アンインストール
- 「設定」→「アプリ」（または古いWindowsバージョンの「コントロールパネル」→「プログラムと機能」）に移動します。
- リストからNetskope Enterprise Browserを探してください。
- 「アンインストール」をクリックし、画面の指示に従います。
または、MSIパッケージを使用してコマンドラインからアンインストーラーを実行します。
msiexec /x <path-to-installer.msi>/quiet
MDMベースの削除（サイレントアンインストール）
MDMソリューションを使用して管理対象WindowsデバイスからEnterprise Browserを削除するには：
- MDMコンソールで、Netskope Enterprise Browserのアプリ割り当てに移動します。
- 対象デバイスグループの割り当てをアンインストールに変更します。
- 変更を反映してください。ブラウザは、次のMDM同期でサイレントに削除されます。
削除後、アンインストーラーによって次のディレクトリとレジストリエントリが自動的にクリーンアップされます。
- C:\Users\<USERNAME>\AppData\Local\Netskope\Browser
- C:\Users\<USERNAME>\AppData\Local\Netskope\NetskopeBrowserUpdater
- HKCU\Software\Netskope\Update
プロファイルデータがローカルに保存されていた場合、ブラウザと共に削除されます。ブラウザデータはアンインストール後に復元できません。
macOS
手動アンインストール
- Finderを開き、「アプリケーション」に移動します。
- Netskope Enterprise Browser をゴミ箱にドラッグするか、右クリックして「ゴミ箱に移動」を選択します。
- ごみ箱を空にして削除を完了してください。
残りのプロファイルデータが ~/Library/Application Support/Netskope/ に残っている可能性があります。完全に削除する場合は、このフォルダを手動で削除してください。
MDMベースの削除
管理対象macOSデバイスからEnterprise Browserを削除するには、
- MDMコンソール（Jamf、Kandji、Mosyleなど）で、Netskope Enterprise Browserのアプリポリシーを見つけます。
- ターゲットデバイスのスコープのポリシーアクションを削除またはアンインストールに設定します。
- 変更をプッシュする。ブラウザは次のMDMポリシー評価で削除されます。
iOSおよびiPadOS
手動削除
- デバイスのホーム画面で、Netskope Enterprise Browserアプリのアイコンを長押しします。
- 「アプリの削除」をタップし、続いて「削除」をタップします。
- 削除を確認します。
MDMベースの削除
MDMコンソールで、対象のデバイスまたはユーザーのNetskope Enterprise Browserアプリの割り当てを削除します。アプリは次のMDM同期で削除されます。
AndroidとChromeOS
手動削除（Android）
- 設定 → アプリの順に移動します。
- Netskope Enterprise Browserを見つけて、 [アンインストール] をタップします。
- アンインストールを確定します。
MDMベースの削除
MDMコンソールで、Netskope Enterprise Browserアプリの割り当てを「アンインストール」に変更するか、ターゲットデバイスまたはユーザーグループの管理対象アプリカタログから削除します。アプリは次のMDMポリシー同期時に削除されます。
アンインストールのトラブルシューティング
Windows MSIインストールでのエラー1638
このエラーは、以前のバージョンのEnterprise Browserがすでにインストールされている場合に表示されます。既存のバージョンをアンインストールしてから、新しいインストーラーを実行してください。
管理されたデバイス上でアプリを削除できない
MDM管理デバイスでは、MDMポリシーによってユーザーによる手動削除が許可されない場合があります。MDMコンソールを使用して削除をプッシュします。
詳細については、以下を参照してください。 システム要件 | Enterprise Browserのインストールとトラブルシューティング
ユーザーデータを Enterprise Browser に移行する
Enterprise Browserは、Chromiumベースの他のブラウザーやFirefoxから、ブックマーク、閲覧履歴、パスワード、自動入力データなどのユーザーデータのインポートをサポートしています。これにより、従業員はChrome、Microsoft Edge、またはFirefoxの個人ブラウジングデータを失うことなく、Enterprise Browserに移行できます。インポートプロセスはブラウザー内からユーザーが開始するもので、管理コンソールの設定は必要ありません。
前提条件
- WindowsまたはmacOSにインストールされたEnterprise Browser
- ソースブラウザ（Chrome、Microsoft Edge、またはFirefox）が同じデバイスにインストールされている必要があります
- インポートプロセス中はソースブラウザを閉じる必要があります
インポートの仕組み
Enterprise Browserは、Chromiumの組み込みデータインポート機能を継承します。この機能を有効または無効にする管理コンソールの設定はありません。ユーザーは、ブラウザ設定から直接インポート機能にアクセスします。
ユーザーは、サポートされているソースブラウザから以下のデータ型をインポートできます：
- Bookmarks – ソースブラウザのすべてのブックマークとブックマークフォルダ
- Browsing history – 以前にアクセスしたサイト
- Saved passwords – ソースブラウザに保存されているログイン認証情報
- Autofill form data – 住所、電話番号、その他のフォームエントリ
- Search engines – カスタム検索エンジンの設定
サポートされているソースブラウザは次の通りです。
- Google Chrome
- Microsoft Edge
- Mozilla Firefox
- Safari (macOSのみ)
- ブックマークHTMLファイル（任意のブラウザからエクスポート）
ユーザーエクスペリエンス
ユーザーは、Enterprise Browser内の Settings > Import bookmarks and settings に移動して、いつでもデータをインポートできます。ダイアログが表示され、ユーザーはソースブラウザを選択し、インポートするデータ型を選択できます。ほとんどのユーザーの場合、インポートは数秒で完了します。
注：ソースブラウザのクラウド同期データとEnterprise Browserの間には自動同期はありません。ユーザーは手動でインポートをトリガーする必要があり、インポートされたデータはインポート時点でのソースブラウザのローカルプロファイルの状態を反映します。
管理されたChromeまたはEdge環境からの移行
管理されたChromeまたはEdge環境からユーザーを移行する際は、次のことを考慮してください。
- Managed bookmarks ChromeまたはEdgeのグループポリシーを使用して構成された設定は、自動的に転送されません。Enterprise BrowserのCompany Workspace機能を使用して、組織管理のブックマークとアプリのショートカットを提供できます。
- Passwords stored in Chrome or Edge ローカルブラウザプロファイルに保存されている場合はインポート可能です。クラウドにのみ同期され（ローカルにキャッシュされない）、パスワードはインポートできません。
- Extensions 移行しないでください。Enterprise Browserの拡張機能ガバナンス（Extension Governance）ポリシーを使用して、ユーザーに必要な拡張機能を事前インストールします。
- Browser policies （ホームページ、プロキシ設定、コンテンツ制限など）はChromeまたはEdgeから引き継がれません。Netskope One管理コンソールの[ブラウザ設定]で、同等のポリシーを構成します。
考慮事項
考慮事項には以下が含まれます。
- インポートはWindowsとmacOSでのみ利用できます。モバイルプラットフォーム（iOS、iPadOS、Android、ChromeOS）はインポートダイアログをサポートしていません
- ファイルロックの問題を避けるため、インポート中はソースブラウザを閉じる必要があります
- ChromeやEdgeのクラウド同期されたブックマークは、デバイス上のローカルプロファイルに存在する場合のみインポートできます
- 自動または定期的な同期はありません — インポートは1回限りの操作です
- Enterprise Browserは、データを別のブラウザにエクスポートする機能をサポートしていません
ユーザーとデバイスの管理
Enterprise Browserは、組織のIDプロバイダー（IdP）を使用してユーザーを認証し、アクセスを管理します。管理者はSAMLベースの認証を設定し、SCIMを通じてユーザーをプロビジョニングし、ライセンスを管理します。このガイドでは、初期IdP構成からライセンス管理、グループベースのプロビジョニングまで、登録のライフサイクル全体をカバーしています。
前提条件
- サポートされているIDプロバイダー：Okta、Microsoft Entra ID（旧Azure AD）、PingIdentity（PingOne）、またはADFSを含むSAML 2.0準拠のIdP
- ユーザーおよびグループエンドポイントに対する読み取り/書き込み権限を持つ SCIM API v2 トークン（自動プロビジョニング用）
- Netskope One Consoleと ID プロバイダーの両方への管理アクセス権
登録アーキテクチャについて
Enterprise Browserユーザーの登録には、3つの調整されたシステムが必要です：
- Identity Provider (IdP) – SAML を介してユーザーを認証し、SCIM を介してユーザー/グループデータをプロビジョニングします
- Netskope Forward Proxy SAML – SAMLアサーションを検証し、認証されたIDをNetskopeユーザーにマッピングします
- Enterprise Browser License Management – ユーザーにライセンスを割り当て、ブラウザプロファイルを作成できるようにします
登録された各ユーザーは、テナントに紐付けられたライセンスキーを受け取ります。ユーザーがこのキーでブラウザプロファイルを作成すると、ブラウザはIDPのSAMLフローを介して認証します。認証されたセッションは、ポリシーの適用とトラフィックの帰属を目的とした、ブラウザインスタンスの一意の識別子として機能します。
アイデンティティプロバイダーの構成
以下のIdP固有のガイドでは、SAMLやSCIMを含む完全なセットアップ手順について説明しています。
- OktaをEnterprise Browser向けにセットアップしました。
- Microsoft Entra をEnterprise Browser用にセットアップしました
- Enterprise Browser向けにPingIdentityを設定しました
- Netskope SAML 用に ADFS を構成する
SAML Subject (NameID) の設定
Netskopeは電子メールアドレスでユーザーを識別します。IdPは、アサーションのSAMLサブジェクト（NameID）としてユーザーのメールアドレスを送信する必要があります。これは以下の理由から重要です。
- リアルタイム保護（RTP）ポリシーは、メールアドレスに基づいて評価されます
- Enterprise Browser保護ポリシーは、電子メールでユーザーを照合します
- SCIMプロビジョニングは電子メールを一意の識別子として使うします
組織が電子メールアドレスと異なるユーザープリンシパル名（UPN）を使うしている場合は、SAMLアサーションを構成して、UPNではなく電子メールアドレスをNameIDクレームとして送信するようにします。ユーザーはIdPログインページでUPNを使用してサインインできますが、Netskopeに送信されるアサーションには電子メールが含まれている必要があります。
ライセンスの管理
パス：設定 > セキュリティクラウドプラットフォーム > Enterprise Browser > ライセンス管理
ライセンスによって、Enterprise Browserプロファイルを作成できるユーザーが決まります。各ライセンスは、特定のユーザーおよびテナントに結び付けられています。
管理者は、ライセンスを次の方法で管理できます。
- Individual license assignment – ライセンス管理ページから特定のユーザーにライセンスを手動で割り当てます
- Bulk invitation – 電子メールでユーザーを招待します。各電子メールには、一意のライセンスキーとダウンロード手順が含まれています
- IdP Group Sync – IdPグループメンバーシップに基づいてライセンスを自動的にプロビジョニングします（以下の「IdPグループ同期の設定」を参照）
ライセンスのライフサイクル
- Issued – ユーザーにライセンスが割り当てられているが、プロファイルがまだ作成されていない
- Active – ユーザーがライセンスを使用してブラウザプロファイルを作成しました
- Revoked – ライセンスが削除されました。ユーザーは新しいプロファイルを作成できなくなります（既存のプロファイルは次の認証サイクルまで引き続き機能します）
ユーザーは、複数のデバイス（たとえば、仕事用ノートPCと個人用デバイス）で同じライセンスを使うことができます。各デバイスは、同じライセンスに紐付いた個別のブラウザプロファイルを作成します。
電子メールによる招待
パス：設定 > セキュリティクラウドプラットフォーム > Enterprise Browser > 電子メールテンプレート
ライセンスを割り当てるときにユーザーに送信される招待電子メールをカスタマイズします。電子メールテンプレートは以下の変数をサポートしています：
- {{NS_WINADDON}} – Windows インストーラーのダウンロードリンク
- {{NS_MACBROWSER}} – macOSインストーラーダウンロードリンク
- {{NS_ANDROIDBROWSER}} – Android インストーラーのダウンロードリンク
- {{NS_IOSBROWSER}} – iOS/iPadOSインストーラーのダウンロードリンク
- {{NS_EBENROLLKEY}} – ユーザー固有のライセンスキー
IdPグループ同期（自動プロビジョニング）の構成
IdP Group Syncは、Enterprise Browserライセンスの割り当てをIdPのグループまたは組織単位（OU）メンバーシップと同期することにより、ユーザーのオンボーディングとオフボーディングを自動化します。ユーザーがIdPの同期グループに追加されると、Enterprise Browserライセンスが自動的に付与されます。削除されると、ライセンスは取り消されます。
仕組み
- IdPは、SCIMを介してユーザーとグループの変更をNetskopeにプッシュします
- Enterprise Browserはメンバーシップの変更について構成されたグループ/OUを監視します
- 同期されたグループに新しいユーザーが表示されると、ライセンスが自動的に割り当てられ、オプションで招待電子メールが送信されます
- ユーザーがすべての同期されたグループから削除されると、ライセンスが取り消されます
SCIMプロビジョニングの設定
IdPグループ同期を有効にする前に、IDプロバイダでSCIMプロビジョニングを設定します：
- Netskopeで、ユーザーとグループの読み取り/書き込み権限を持つSCIM API v2トークンを生成します。
- IdPのSCIMプロビジョニングをベースURL：https://<tenant-url>/api/v2/scimで設定します。
- IdPでユーザーとグループのプロビジョニングを有効にします。
- SCIMを介して少なくとも1つのグループをNetskopeにプッシュします。
- [設定] > [セキュリティクラウドプラットフォーム] > [Netskope Client] > [ユーザー] に移動して、同期を確認してください。
Enterprise Browserのユーザーグループとポリシー割り当ての管理
Enterprise Browserは、グループと組織単位 (OU) を使用して、どのユーザーにどのポリシーを適用するかを制御します。ブラウザ保護ポリシー、ブラウザ構成ポリシー、および拡張機能ガバナンスポリシーを特定のグループまたはOUに割り当てることで、管理者はチームごとに異なるセキュリティ体制を強制できます。たとえば、財務部門にはより厳格なクリップボード制御を適用し、エンジニアリング部門にはより寛容な構成を適用できます。すべてのユーザーおよびグループデータはSCIMを通じてIDプロバイダーから同期されるため、Enterprise Browserは常に組織の現在のディレクトリ構造を反映します。
SCIMを使用したユーザーとグループのプロビジョニング
Enterprise Browserは、SCIMプロビジョニングされたユーザーのみをサポートします。Netskope UIで手動で作成されたユーザーは、Enterprise Browser登録には利用できません。ユーザーとグループをプロビジョニングするには、IDプロバイダーとNetskopeテナント間でSCIM統合を構成してください。SCIM同期がアクティブになると、IdPのユーザーグループと組織単位がNetskope One管理コンソールに自動的に表示され、Enterprise Browserポリシーのターゲットとして使用できるようになります。Enterprise Browserに既に招待されているSCIM同期グループに新しいユーザーが追加されると、そのユーザーは自動的にライセンスとオンボーディング電子メールを受け取ります。同様に、IdPからユーザーが削除されると、そのEnterprise Browserライセンスは無効になります。
グループの作成と管理
グループと組織単位は、Netskope管理コンソールではなく、アイデンティティプロバイダーで管理します。Enterprise Browserのポリシー対象にする新しいグループを作成するには、IdP（OktaやMicrosoft Entraなど）でグループを作成し、該当するユーザーを割り当て、そのグループがSCIMプロビジョニングの対象範囲に含まれていることを確認してください。次回のSCIM同期サイクル後、グループがNetskopeに表示され、Enterprise Browserポリシーの設定時に選択できるようになります。「設定」>「Security Cloud プラットフォーム」>「Enterprise Browser」>「User Provisioning」の順に移動し、Invite Users, をクリックしてから目的のグループまたはOUを選択すると、グループ全体を一度にEnterprise Browserに招待できます。
グループおよび組織単位ごとのポリシーの割り当て
Enterprise Browserは、優先順位が高い順に評価される複数の構成ポリシーをサポートしています — 最初に一致したポリシーが適用されます。各ポリシーは、特定のユーザー、ユーザーグループ、OU、またはそれらの組み合わせをターゲットにできます。ポリシーをグループに割り当てるには、関連するポリシーセクション（ブラウザ保護、ブラウザ構成、または拡張機能管理）に移動し、ポリシーを作成または編集して、ユーザー範囲セクションでターゲットグループまたはOUを選択します。ポリシーは優先順位の高い順（上から下）に評価されます。ユーザーが異なるポリシーを持つ複数のグループに所属している場合は、優先順位が最も高い（一番上の）ポリシーが適用されます。管理者はポリシーの優先順位を制御するためにポリシーを並べ替えることができます。グループ固有のポリシーがユーザーと一致しない場合は、ベースライン（デフォルト）ポリシーが適用されます。
考慮事項
考慮事項には以下が含まれます。
- Enterprise Browserは、SCIMプロビジョニングされたユーザーとグループのみをサポートしています。手動によるユーザー作成はサポートされていません。
- 以前に招待されたグループに新しいユーザーが追加されると、ユーザーは自動的にライセンスを受け取ります（再招待は不要です）
- 既存のグループに新しいユーザーが追加された場合、SCIM同期が伝播するまでポリシーは適用されません — 同期には数分かかります
- 各ポリシーは、ユーザー、ユーザーグループ、OUを組み合わせてターゲットにできます。これらは加算的です（一致するものがあればポリシーがトリガーされます）
- ポリシーあたりのユーザー、ユーザーグループ、またはOUの最大数はそれぞれ100エントリです
- 組織単位はNetskopeでフラットな構造に従います。IdPからのネストされたOU階層は同期時にフラット化されます
Browser Configuration
Enterprise Browserを使用すると、管理者はブラウザの設定を一元管理し、組織全体で強制的に適用できます。ホームページの外観、デフォルトの検索エンジン、自動入力の動作、ダウンロードパス、プロキシ設定、開発者ツールのアクセスなどを設定できます。ポリシーはベースラインポリシーを通じてグローバルに適用することも、特定のユーザーグループや組織単位（OU）をターゲットにしてきめ細かく制御することもできます。構成は、Netskope One 管理コンソール（WebUI）を使用するか、REST API を介してプログラムで管理できます。
ポリシー階層の理解
Enterprise Browserは、ブラウザ設定に階層型ポリシーモデルを使用します：
- Baseline policy – テナント内のすべてのEnterprise Browserユーザーに適用されるデフォルト設定。Enterprise Browserが有効になると、ベースラインポリシーが自動的に作成されます。削除できません。
- User Group / OU policies – 特定のユーザーグループまたは組織単位を対象とする追加のポリシー。これらのポリシーは、ターゲット基準に一致するユーザーのベースラインを上書きします。
ユーザーが異なるポリシーを持つ複数のグループに属している場合、システムは優先順位順にポリシーを評価します。優先度の高いポリシーが優先されます。ベースラインポリシーは、常に最低の優先度を持ちます。
各ポリシーには、一連のブラウザ構成設定が含まれています。ターゲットポリシーで明示的に定義されていない設定は、ベースラインから継承されます。
管理コンソールによるブラウザ設定の構成
パス：設定 > セキュリティクラウドプラットフォーム > Enterprise Browser > ブラウザ設定
[ブラウザ設定]ページには、ベースラインポリシーと、作成した追加のポリシーが表示されます。このページから次のことができます：
- ベースラインポリシー設定を表示および編集する
- ユーザーグループやOUをターゲットにした新しいポリシーを作成する
- ドラッグアンドドロップを使うしてポリシーの優先順位を並べ替える
- 個々のポリシーを削除せずに有効または無効にする
新しい設定ポリシーの作成
- [ブラウザ設定]ページで、New Browser Configurationをクリックします。
- ポリシーの名前を入力してください。
- Applies Toの下で、このポリシーの対象となるユーザーグループまたはOUを選択します。
- 目的のブラウザ設定を設定します（以下の「利用可能なブラウザ設定」を参照）。
- Save .
をクリックしてください
新しいポリシーは、優先順位リストのベースラインの上に追加されます。ドラッグして、他のポリシーに対する優先順位を調整できます。
既存のポリシーの編集
- [ブラウザ設定]ページで、ポリシー名または編集アイコンをクリックします。
- 必要に応じて設定を変更します。
- 「保存」をクリックしてください。
変更は、次のポリシー更新サイクルでターゲットユーザーに反映されます。
Available Browser Settings
ブラウザ構成ポリシー内で次の設定を構成できます。各設定は有効または無効に設定でき、ウェブサイトの除外やモードの選択など、追加の設定をサポートするものもあります。
自動入力およびパスワード
- Password Manager – ブラウザに組み込まれているパスワードの保存および自動入力機能を有効または無効にします。Webサイトの例外をサポートします。
- Autofill Addresses – 住所フォームの自動入力を有効または無効にします。
- Autofill Credit Cards – 支払い方法の自動入力の有効化または無効化を行います。
プライバシーとセキュリティ
- Developer Tools – ブラウザの開発者ツール（F12 / 検証）へのアクセスを有効または無効にします。
- Sandbox Clipboard – プライベート（サンドボックス）クリップボードを有効または無効にして、Enterprise Browserと外部アプリケーション間のクリップボードデータ転送を制限します。有効にした場合は、サンドボックスモードを選択します：
- Full Sandbox – 双方向のすべてのクリップボード転送をブロックします。EBの内部でコピーされたデータは外部に貼り付けることができず、外部でコピーされたデータはEBに貼り付けることができません。
- Sandbox with Read Allowed – 外部データをEBに貼り付けることは許可しますが、EBから外部アプリケーションにデータをコピーすることはブロックします。
- Sandbox with Write Allowed – EBから外部アプリケーションへのデータのコピーを許可しますが、外部データをEBに貼り付けることはブロックします。
アラートとNotification
- Notification – Webサイトからのブラウザ通知を有効または無効にします。Webサイトの例外をサポートします。
- Popups – ポップアップウィンドウの有効/無効を切り替えます。ウェブサイトの例外をサポートします。
Media
- Audio Input – Webサイトのマイクアクセスを有効または無効にします。Webサイトの例外をサポートします。
- Video Input – Webサイトのカメラアクセスを有効または無効にします。Webサイトの例外をサポートします。
- Cast – キャスト（Chromecast）機能を有効または無効にします。
ユーザーエクスペリエンス
ブラウザ構成ポリシーが適用されると、ユーザーは次のポリシー更新時に変更を自動的に体験します。ブラウザはユーザーの操作なしで設定を更新します。ユーザーは一元管理された設定を上書きすることはできません。対応するオプションはブラウザの設定ページでグレー表示されるか非表示になります。
ホームページのカスタマイズでは、ユーザーが新しいタブを開くかEnterprise Browserを起動するたびに、組織のブランディング（カスタムタイトル、アイコン、バックグランド画像）が設定されたホームページが表示されます。
考慮事項
考慮事項には以下が含まれます。
- ベースラインポリシーはすべてのユーザーに適用され、削除することはできません。グループをポリシーから除外するには、優先順位の高い優先度で必要な上書きを指定したターゲットポリシーを作成します。
- ポリシーの変更は、次のポリシー更新サイクルで伝播します。デフォルトの更新間隔は、テナントごとに設定可能です。
- ユーザー、グループ/OUを対象とするには、アイデンティティプロバイダーからSCIM経由でユーザーとグループがプロビジョニングされている必要があります。SCIM経由で同期されていないグループは、ポリシーの対象として選択できません。
- すべてのブラウザ設定がすべてのプラットフォームでサポートされているわけではありません。モバイルプラットフォーム（Android、ChromeOS、iOS、iPadOS）は、デスクトップ（Windows、macOS）と比較して、構成可能なオプションのセットが制限されている場合があります。
拡張機能のガバナンス
拡張機能の管理（Extension Governance）により、管理者はユーザーがEnterprise Browserにインストールできるブラウザ拡張機能を完全に制御できます。デフォルトでは、Chromeウェブストアからのすべての拡張機能がブロックされます。管理者は、許可された拡張機能の許可リストと、対象ユーザーに対して自動的にインストールされる拡張機能の強制インストールリストを定義するポリシーを作成します。ポリシーは、すべてのユーザー、特定のユーザーグループ、または組織単位（OU）を対象にできます。
前提条件
- Enterprise Browserがデプロイされ、ユーザーが登録済み
- Netskope One Consoleへの管理アクセス権
- SCIMを介してプロビジョニングされたユーザーとグループ (ユーザーグループ/OUのターゲット設定に必要)
拡張機能ガバナンスの理解
拡張機能ガバナンスはデフォルト拒否モデルで動作します：
- Default action: Block all extensions – ポリシーが構成されていない場合、または拡張機能がどのポリシーにも明示的にリストされていない場合、それらはブロックされます。管理者が許可しない限り、ユーザーはChrome ウェブ Storeから拡張機能をインストールできません。
- Exception List (Allowlist) – このリストに追加された拡張機能は、ユーザーの裁量でインストールできます。ユーザーは、これらの拡張機能をインストールするかどうかを選択できます。
- Force Install List – このリストに追加された拡張機能は、ポリシーによってターゲットにされているすべてのユーザーに対して自動的にインストールされます。ユーザーは、強制的にインストールされた拡張機能をアンインストールできません。
ポリシーは優先度の高い順に評価されます。ユーザーが複数のポリシーに一致する場合、最も優先度の高いポリシーが、そのユーザーに対してどの拡張機能を許可または強制インストールするかを決定します。ベースラインポリシーはすべてのユーザーに適用され、常に最も優先度が低くなります。
拡張機能のガバナンスの構成
パス：ポリシー > Enterprise Browser保護 > 拡張機能ガバナンス
拡張機能ガバナンスのタブには、設定されたすべてのポリシーが表形式で表示され、優先度番号、名前、ステータス、対象ユーザー、アクション、例外リストの数、強制インストールリストの数が表示されます。
ポリシーが設定されていない場合、デフォルトの設定が適用され、すべての拡張機能がブロックされます。
拡張機能ガバナンスポリシーの作成
- 「Extension Governance」タブで、New Policyをクリックします。
- Criteria で、[ユーザー] フィールドを構成して、このポリシーの対象とするユーザー、ユーザーグループ、または OU を選択します。ユーザーのサブセットを選択する場合はクリックします。または、そのまま「すべてのユーザー」にしておきます。
- アクションで、拡張機能リストを設定します：
- Exception List で、+ Extension をクリックして拡張機能の名前またはIDで検索します。ここにリストされている拡張機能は、ユーザーが自分の裁量でインストールできます。
- Force Install List で、+ Extensionをクリックし、名前またはIDで拡張機能を検索します。ここに追加された拡張機能は、ターゲットとなるユーザーに対して自動的にインストールされます。
- 「全般」で、ポリシーのNameとオプションでデスクリプションを入力します。Policy Positionを設定して優先順位を制御します。
- Status トグルを Enabled に設定します。
- Save .
をクリックしてください
ポリシーの編集
- [拡張機能のガバナンス]タブで、ポリシー行または編集アイコンをクリックします。
- 必要に応じて、条件、除外リスト、強制インストールリスト、または一般設定を変更します。
- 「保存」をクリックしてください。
変更は、次のポリシー更新サイクルでターゲットユーザーに反映されます。
複数のポリシーを管理する
複数のポリシーが存在する場合、優先順位が高い順に表示されます（数字が小さいほど優先順位が高い）。ベースラインポリシーは常に最後に表示されます。
管理者は次のことができます：
- ポリシーを並べ替えて優先順位を変更する
- ポリシーを削除せずに有効または無効にできます（無効にしたポリシーはユーザーに適用されませんが、表示されたままです）
- 不要になったポリシーを削除する
ユーザーエクスペリエンス
Extension Governanceがアクティブな場合：
- ユーザーは、適用されるポリシーの許可リストにない拡張機能をインストールできません。Chrome ウェブストアからブロックされた拡張機能をインストールしようとすると、ブロック通知が表示されます。
- 例外リストの拡張機能は、Chromeウェブストアで利用可能として表示されます。ユーザーは通常どおりにインストールおよび管理できます。
- 強制インストールリストの拡張機能は自動的にインストールされ、ブラウザのツールバーに固定されます。ユーザーは、強制的にインストールされた拡張機能をアンインストールまたは無効にすることはできません。
- 以前にインストールされた拡張機能が許可リストから削除された場合、次のポリシー更新で無効になります。
考慮事項
考慮事項には以下が含まれます。
- デフォルトでは、すべての拡張機能がブロックされます。ユーザーがインストールできるようにしたい拡張機能は明示的に許可する必要があります。
- 拡張機能は、Chrome ウェブストアの拡張機能 ID によって識別されます。拡張機能を許可リストまたは強制インストールリストに追加する際は、正しい ID を使用してください。
- 強制インストールされる拡張機能はサイレントインストールされます。ユーザーは操作を行う必要はなく、これらの拡張機能を削除することもできません。
- ポリシーはユーザーごとに評価されます。ユーザーが異なる拡張ポリシーを持つ複数のグループに属している場合、最も優先順位の高い一致ポリシーが有効な拡張構成を決定します。
- 拡張機能のガバナンスは、デスクトッププラットフォーム（WindowsおよびmacOS）に適用されます。モバイルプラットフォームはブラウザ拡張機能をサポートしていません。
プロファイルのカスタマイズとブランディング
Enterprise Browserでは、管理者が組織固有のブランディングで新しいタブページ（会社のホームページ）の外観をカスタマイズできます。会社のロゴ、タイトル、バックグランド画像または色、およびテキストの色を構成して、企業のアイデンティティを強化し、ユーザーにプロフェッショナルなブランド体験を提供できます。
企業ホームページの構成
管理者は、会社のホームページの次の側面をカスタマイズできます。
- タイトル — 新しいタブページに表示されるメインタイトル。通常は組織名またはブラウザインスタンス名
- アイコン — ホームページに表示される会社のロゴ。SVG形式はサイズ設定が自動的に処理されるため、推奨されます。JPEGおよびPNG形式もサポートされています
- バックグランド画像 — ページの背景として表示される画像。画像に公開アクセス可能なURLを提供します
- バックグランド色 — バックグランド画像の代わりとして、ページバックグランドの単色
- タイトル色 — （オプション）ロゴの横に表示されるメインタイトルテキストの色。指定がない場合はテーマ色に戻る
- 「企業ワークスペース」見出しテキストの色（オプション）
- 個人用ワークスペースのタイトル色 — （オプション）「個人用ワークスペース」ヘッダーテキストの色
- 検索バーの表示 — ホームページに検索バーを表示するかどうかを制御します
- 個人用ワークスペースを表示 — 個人用ワークスペースのセクション（ユーザーのブックマークとショートカット）をホームページに表示するかどうかを制御します
ユーザーエクスペリエンス
ホームページのカスタマイズが設定されている場合、新しいタブを開くか、Enterprise Browserを起動するたびに、ブランド化された新しいタブページが表示されます。カスタマイズできる要素には、管理者の設定に基づいた企業ロゴ、タイトル、バックグランド、ワークスペースレイアウトが含まれます。
カスタマイズが適用されていない場合は、デフォルトのNetskope Enterprise Browserホームページが表示されます。
考慮事項
考慮事項には以下が含まれます。
- ホームページのカスタマイズは、Windows、macOS、iOS、iPadOS、Android、ChromeOSなど、すべてのプラットフォームで利用できます。
- URLとして提供されるバックグランド画像は、認証を必要とせずにアクセスできる必要があります。
- SVGは自動的にスケーリングされるため、アイコンに推奨される形式です。
- この機能は動的なポリシー更新をサポートしています — 変更はブラウザを再起動せずに反映されます。
- カスタマイズはテナントごとに適用されます。テナント上のすべてのユーザーに同じブランドのホームページが表示されます。
詳細については、Enterprise Browserの前提条件をご覧ください
ブラウザ保護ポリシー — 概要
ブラウザ保護ポリシーを使用すると、宛先単位でNetskope Enterprise Browserでユーザーができることを制御できます。ユーザーがWebサイトに移動すると、Netskopeクラウドは適用されるポリシーを評価し、x-ns-browser-actions HTTP応答ヘッダーでアクティブなコントロールを返します。ブラウザは、そのページのセッション期間中、そのコントロールを適用します。ヘッダーが返されない場合（ページがステアリングされていない場合など）、ブラウザはテナントレベルのフォールバックポリシーを適用します。
利用可能なポリシー
Netskope One 管理コンソールでは、次のブラウザ保護ポリシーを使用できます。
- ウォーターマーク – ポリシー条件に一致するページに、テナント名、ユーザー名、日付を含む視覚的なウォーターマークを重ねます。画面キャプチャによるデータ流出を防止します。
- スクリーンショットおよび画面共有の保護 – ブラウザのコンテンツがスクリーンショット、画面録画、または画面共有に表示されないようにします。保護されたコンテンツは、キャプチャ時に空白として表示されます。
- データマスキング：ポリシーで定義された正規表現に基づき、ウェブページ上の機密テキストパターン（クレジットカード番号、社会保障番号など）を難読化します。
- ファイルダウンロード制御 - ユーザーがブラウザからファイルをダウンロードできるかどうかを制御します。暗号化されていないダウンロードを許可する、暗号化されたダウンロードを要求する（ファイルは .eb拡張子が付き、Enterprise Browserでしか開けなくなる）、ダウンロードを完全にブロックするなどのオプションがあります。
- ファイルアップロード制御 – ユーザーがウェブアプリケーションにファイルをアップロードできるかどうかを制御します。オプションには、標準のファイル選択、ドラッグ＆ドロップ、クリップボード貼り付けのアップロード方法を許可またはブロックする設定があります。
- コピー/貼り付け — ブラウザーからコンテンツをコピーしたり、ブラウザーに貼り付けたりできるかどうかを制御します。
- 印刷 – ユーザーがブラウザからページを印刷できるかどうかを制御します。
- 名前を付けて保存 – ユーザーがページをローカルに保存できるかどうかを制御します。
- テキスト入力 – ユーザーがWebフォームにテキストを入力できるかどうかを制御します。
データマスキング
Netskope Enterprise Browserは、ブラウザ保護ポリシーとしてデータマスキングをサポートしており、管理者はWebページ上の機密テキストパターンをリアルタイムで難読化できます。
データマスキングポリシーが宛先に対して有効な場合、ブラウザは管理者が定義した正規表現 (クレジットカード番号、社会保障番号など) に一致するテキストを特定し、ページが表示される前に表示されるコンテンツをマスクされた文字で置き換えます。マスキングはレンダリングされたビューにのみ適用され、基になるデータは変更されません。
含まれるもの：
- 特定の宛先とユーザーを対象とするブラウザ保護ポリシーとしてデータマスキングを構成します。
- マスクする機密データのタイプを指定する1つ以上の正規表現パターンを定義します。
- マスクはデフォルトで無効になっています。ポリシーが明示的に構成されていない限り、コンテンツはマスクされません。
考慮事項：
- データマスキングは、DOMベースのテキストノードにのみ適用されます。HTML5 Canvas (Google Docsを含む)、画像、動画、SVG、およびネイティブPDFビューアを介してレンダリングされたコンテンツはマスクされません。
- WindowsおよびmacOSでのみ利用可能です。このリリースではモバイルプラットフォームはサポートされていません。
- WebUI構成はまだ利用できません。バックエンドAPI経由でポリシーを構成します。
ファイルダウンロード制御
Netskope Enterprise Browserは、ブラウザ保護ポリシーとしてファイルダウンロード制御を適用し、管理者がブラウザからファイルをダウンロードする方法を宛先ごとに制御できるようにします。
含まれるもの：
- ブロック – 特定の宛先のダウンロードをブロックします。通知ダイアログでユーザーにダウンロードが許可されていないことが通知されます。
- 許可 – ダウンロードを通常どおり許可（暗号化は適用されない） — ポリシーが適用されない場合のデフォルト動作。
- 暗号化 – ダウンロードを暗号化 — ファイルはオンザフライで暗号化され、.ebとして保存されます拡張子。暗号化されたファイルは、ダウンロードに使用したのと同じプロファイルを持つNetskope Enterprise Browserでしか開くことができません。
考慮事項：
- このリリースでは、ダウンロードポリシーはファイルのホストドメインではなく、メインのウェブページのドメインに基づいて適用されます。
- このリリースでは、特定のファイルタイプに対するファイルダウンロード制御の適用はサポートされていません。
- WebUI構成はリクエストに応じて利用可能です。このコントロールを含むポリシーは、バックエンドAPIを介して設定できます。
名前を付けて保存の制御
Netskope Enterprise Browserは、ブラウザ保護ポリシーとして「名前を付けて保存」の制御をサポートしています。管理者は、ユーザーがページコンテンツを特定の保存先にローカルに保存できないようにすることができます。
保存アクション対象：
- 名前を付けてページを保存
- 名前を付けて保存
- 名前を付けて画像を保存
- 動画を保存
- 名前を付けて保存
- リンク先を別名で保存
考慮事項：
- 「名前を付けて保存」の制御にはドメインレベルの粒度があり、特定のサイトで制限しながら他のサイトには影響を与えないようにすることができます。
- このリリースでは、ページをPDFとして保存は暗号化されたファイルのダウンロードと互換性がありません。
テキスト入力コントロール
Netskope Enterprise Browserは、ブラウザ保護ポリシーとしてテキスト入力制御をサポートしています。有効にすると、ブラウザは一致する宛先のWebフォームへのテキスト入力を制限します。入力アクションがブロックされると、ユーザーにインフォバー通知が表示されます。
対象の入力方法：
- 標準的なキーボード入力
- テキストのドラッグアンドドロップ
- 音声入力
- 構成ベースの入力 (例: 日本語IME)
アクティブな制限および制御についてユーザーに通知する
Enterprise Browserは今、閲覧中のページに適用されるブラウザー保護ポリシーと構成ポリシーについて、ユーザーに積極的に通知します。
含まれるもの：
- ブラウザ保護ポリシーが現在のページで有効になっている場合、ナビゲーションバーにポリシーボタンが表示され、有効になっているコントロール（コピーのブロック、透かしの有効化、ダウンロードの暗号化など）がユーザーに示されます。
- プロファイルポップアップのポリシーリストには、ユーザープロファイルの一般的な構成ポリシーが表示されます（例：パスワードマネージャー、開発者ツール、通知、ポップアップ、オーディオ/ビデオ入力）。
サンドボックス化されたクリップボード
サンドボックス化されたクリップボード（プライベートクリップボードとも呼ばれます）は、Enterprise Browserのクリップボードがオペレーティングシステムのクリップボードとどのように対話するかを制御するブラウザ構成設定です。有効にすると、ブラウザはOSのクリップボードから分離されたプライベートなメモリ内クリップボードを使うため、ブラウザからデータをコピーしたり、外部アプリからデータを貼り付けたりできなくなります。これはテナントレベルの構成であり、宛先ごとのブラウザ保護ポリシーではありません。この機能はWindowsとmacOSで利用できます。
前提条件
- Enterprise Browser 1.4.0以降
- Netskope One 管理コンソールのブラウザ設定へのアクセス
サンドボックス化されたクリップボードの構成
パス：設定 → ブラウザ設定 → プライバシーとセキュリティ
サンドボックス化されたクリップボード設定は、ブラウザ設定機能テーブルのデベロッパーツールの下のプライバシーとセキュリティグループに表示されます。
設定するには：
- 設定 → ブラウザ設定に移動します。
- 「プライバシー&セキュリティ」グループで、「サンドボックス化されたクリップボード」の行を見つけてください。
- Status列で、トグルを有効に設定します。
- [構成]列で、[+ サンドボックスモードの構成]をクリックして、構成パネルを開きます。
- パネルで、サンドボックスモードを選択します：
- サンドボックス化 — ブラウザーは完全に分離されたインメモリクリップボードを使用します。ブラウザーから外部アプリケーションにコンテンツをコピーすることはできず、外部アプリケーションのコンテンツをブラウザーに貼り付けることもできません。この機能を有効にした場合、これがデフォルトです。
- システムクリップボードを読む - ブラウザはメモリ内クリップボードを使用しますが、OSクリップボードからデータを受け取ることができます。ユーザーは外部アプリケーションからブラウザにコンテンツを貼り付けることができますが、ブラウザのコンテンツを外部にコピーすることはできません。
- システムクリップボードに書き込む — ブラウザはメモリ内のクリップボードを使用しますが、OSのクリップボードに書き込むことができます。ユーザーはブラウザのコンテンツを外部アプリケーションにコピーできますが、外部アプリケーションからブラウザにコンテンツを貼り付けることはできません。
- サンドボックス化 — ブラウザーは完全に分離されたインメモリクリップボードを使用します。ブラウザーから外部アプリケーションにコンテンツをコピーすることはできず、外部アプリケーションのコンテンツをブラウザーに貼り付けることもできません。この機能を有効にした場合、これがデフォルトです。
- 「保存」をクリックしてください。
クリップボードのサンドボックス化を無効にするには、ステータスのトグルを無効に設定します。ブラウザは、標準のOSクリップボードを使う動作に戻ります。
仕組み
サンドボックス化されたクリップボードが有効になっていると、Enterprise Browserは標準のOSクリップボードを、ブラウザプロファイルにスコープされたプライベートなメモリ内クリップボードに置き換えます。動作モードによって、OSクリップボードとの同期が許可されるか、およびその方向が決まります
モード | Copy out (browser → OS) | Paste in (OS → browser) |
|---|---|---|
完全なサンドボックス | Blocked | Blocked |
システムクリップボードから読む | Blocked | Allowed |
システムクリップボードに書き込む | Allowed | Blocked |
無効（サンドボックスなし） | Allowed | Allowed |
モードはブラウザプロファイル全体に適用され、テナント構成が更新されると動的に更新されます。ブラウザの再起動は必要ありません。
ユーザーエクスペリエンス
サンドボックス化されたクリップボードが有効になっていると、ブラウザと外部アプリケーション間でコピー/貼り付けが期待どおりに機能しないことに気付く場合があります：
- フルサンドボックスモード：ブラウザの外部からコピーしたコンテンツをブラウザ内に貼り付けようとしても結果は表示されず、ブラウザ内でコピーしたコンテンツは外部アプリケーションでは利用できません。
- システムクリップボード読むモード：外部アプリケーションからの貼り付けは通常どおり機能しますが、ブラウザーから外部アプリケーションへのコピーはブロックされます。
- システムクリップボードモード書き込み:ブラウザから外部アプリケーションへのコピーは正常に動作しますが、外部アプリケーションからの貼り付けはブロックされます。
- ブロックされたアクション：アクションがブロックされると、ユーザーにクリップボードアクションが制限されていることを説明する情報バー通知が表示されます。
次の通知メッセージを表示します：
- ブラウザからのコピーがブロックされると：
「このブラウザの外にデータを貼り付けることは、管理者ポリシーによってブロックされています — Netskope Enterprise Browser。」
- ブラウザへの貼り付けがブロックされると、
「このブラウザの外部からデータをコピーすることは、管理者ポリシーによってブロックされています — Netskope Enterprise Browser。」
考慮事項
考慮事項には以下が含まれます。
- サンドボックス化されたクリップボードは、ブラウザプロファイル全体に適用されるブラウザ構成設定です。宛先やユーザーグループごとのスコープはありません。
- この機能はWindowsとmacOSでのみご利用いただけます。iOS、Android、ChromeOSはサポートされていません。
- クリップボードはブラウザプロファイルごとに隔離されています。あるプロファイルでコピーされたデータは、別のプロファイルではアクセスできません。
- プライベートクリップボードは、ユーザーが手動でコンテンツを再入力することを防ぐものではありません。
ブラウザ保護ポリシーの構成
パス: ポリシー → Enterprise Browser保護
このページから、ブラウザ保護ポリシーを作成、編集、優先順位付けできます。各ポリシーは以下を指定します。
- 条件 — ポリシーが適用される宛先（URL、カテゴリ、またはアプリインスタンス）
- ユーザー/グループ - ポリシーが適用されるユーザー範囲
- アクション - 適用するコントロールのセット（透かし、スクリーンショットのブロック、クリップボードの分離など）
ポリシーは優先順位順に評価されます。特定の宛先とユーザーに対して最初に一致したポリシーが有効になります。
ポリシーの配信
ポリシーは、以下の2つのチャネルを通じてブラウザにプッシュされます。
- ページごと（CEPヘッダー）：Netskopeクラウドは、誘導された各リクエストに対して x-ns-browser-actions ヘッダーを返し、その特定のページに適用する制御を指定します。
- フォールバック（設定サービス）：ブラウザは、設定サービスを介してテナントレベルのフォールバックポリシーを受信します。これは、ページごとのヘッダーが存在しない場合（ステアリングされないページやブラウザがオフラインの場合など）に適用されます。
ユーザーエクスペリエンス
ページでブラウザー保護ポリシーが有効になっている場合、ナビゲーションバーに「ポリシー」ボタンが表示されます。クリックすると、そのページに現在適用されている制御項目の一覧が表示されます。これにより、特定の操作が制限されている理由をユーザーが確認できます。
特定の操作 (コピー、スクリーンショット、ダウンロードなど) をブロックするポリシーの場合、ブラウザは組織のポリシーによって操作がブロックされていることを説明する情報通知を表示します。
プラットフォームサポート
ポリシー | Windows | macOS | iOSおよびiPadOS | AndroidとChromeOS |
|---|---|---|---|---|
Watermarking | ✓ | ✓ | ✓ | ✓ |
スクリーンショットおよび画面共有の保護 | ✓ | ✓ | ✓ | ✓ |
データマスキング | ✓ | ✓ | — | — |
ファイルダウンロード制御 | ✓ | ✓ | — | — |
ファイルアップロード制御 | ✓ | ✓ | — | — |
コピー / ペースト | ✓ | ✓ | ✓ | ✓ |
✓ | ✓ | ✓ | ✓ | |
名前を付けて保存 | ✓ | ✓ | — | — |
Text Input | ✓ | ✓ | — | — |
考慮事項
考慮事項には以下が含まれます。
- ポリシーは、Netskopeクラウドを介してステアリングされるページにのみ適用されます。ステアリングなしでアクセスされるページには、テナントレベルのフォールバックポリシーが適用されます。
- ブラウザーは、最初に一致したポリシーを評価します。優先度の高いポリシーが一致した場合、優先度の低いポリシーは適用されません。
- 機能の可用性はプラットフォームによって異なります。サポートされている構成については、上記の表および個々のポリシーページを参照してください。