Netskope 、iOS デバイスがオンデマンド VPN モードを使用してNetskopeクラウドにアクセスできるようにするモバイル デバイス管理 (MDM) 用の MobileIron Core の使用をサポートしています。 このドキュメントでは、オンデマンドおよびアプリごとの VPN モードを使用してNetskope for iOS デバイスを展開する方法と、Android 管理構成を展開する方法について説明します。
注記
詳しい情報については、MobileIron管理ガイドを参照してください。
前提条件
iOS VPN 用の MobileIron をデプロイするには、 NetskopeからNetskopeルートおよび中間 CA 証明書を取得するか、 独自のルートおよび中間証明書を使用できます。
NetskopeテナントUIでSettings > Security Cloud Platform > Netskope Client > MDM Distributionに移動します。このページの「証明書設定」セクションで、Netskopeのルート証明書と中間証明書をダウンロードしてください。ご自身の証明書をお持ちの場合は、これらの証明書をダウンロードする必要はありません。 どちらかのケースで、テナントの OU と組織名をここにコピーします。 これらは、地方証明書を登録する際に必要となります。
Create VPN Configurationセクションで、 VPN サーバー名、組織 ID 、およびPAC URLをコピーします。これらはVPNプロファイルの設定に必要です。このページには、現在設定されているVPNモードも表示されます。オプションとして、管理者はオンデマンドVPN機能を常時オンに設定できるため、接続を毎回トリガーする必要がなくなります。
Upload Certificateセクションで、 Netskopeに証明書をアップロードするか、 既存の証明書を表示および置き換えます。 登録済み証明書の右側にあるアイコンを使用します。
iOS VPN 用に MobileIron Core を設定する
以下のセクションでは、証明書のアップロードと登録方法、およびオンデマンドまたはアプリごとのVPN用にMobileIron CoreのiOSプロファイルを構成する方法について説明します。iOS VPNのフェイルオープンに関する情報については、 「iOS VPNフェイルオープン」を参照してください。
証明書をアップロードして登録する
MobileIronのオンデマンドVPNおよびアプリごとのVPNの証明書をアップロードして登録するには：
- ローカルCA証明書をアップロードするには、MobileIron Core UIを開き、 Services > Local CA > Add > Intermediate Enterprise CAに移動します。
- CA証明書と秘密鍵をPFX形式でアップロードしてください。独自のCA証明書とキーを使用するか、MobileIronで自己署名証明書を作成します（ Services > Local CA > Add > Generate Self-Signed Certificate ）。 証明書ファイルを参照して選択し、ローカル CA 名を入力してから、 Upload Certificateをクリックします。
注記
この証明書には、PFX 形式のルート CA 証明書と中間証明書が含まれており、 SCEP によって、VPN 構成設定時にエンドユーザー証明書を発行し、プロファイルをユーザーの にインストールします。 認証局（CA）はエンドユーザー証明書を発行します。
- ルート証明書をアップロードするには、 Policies & Configs > Add New > Certificatesにアクセスしてください。新しい証明書設定ウィンドウで、証明書名とデスクリプションを入力し、証明書ファイルを参照して選択します。
注記
証明書をアップロードする際は、「パスワード」と「パスワードの確認」の欄は空欄のままにしてください。そして、 Netskope提供するルート証明書の場合、ファイル名は
rootcaCert.pemです。完了したら、 Saveをクリックしてください。
- 中間CA証明書をアップロードするには、手順3を繰り返してください。の場合Netskope提供された中間証明書のファイル名は
caCert.pemです。 - ローカル証明書登録を設定するには、 Policies & Configs > Add New > Certificate Enrollment > Local.
- 以下のパラメータを入力してください。
- 名前：ローカル証明書登録プロファイル名を入力してください。これはVPN MobileIronの設定名です。
- 証明書の種類: Select User Certificate。
- ローカル認証局：上記ステップ1でアップロードした証明書Select 。
- 件名：次のコード文字列をこの形式で入力してください：
emailAddress=$EMAIL$,CN=$EMAIL$,OU=<Tenant OU>,O=<Organization Name>,L=<Location>,ST=<State>,C=<Country>
Netskope UI の証明書設定ダイアログボックスから OU と O の値を取得します ( Settings > Security Cloud Platform > Netskope Client > MDM Distribution )。
重要
所在地（L）、州（ST）、国（C）は、CAごとに一意である必要があります。
- 件名よくある名前: オプション。 使うには、ドロップダウン リストから選択します。
- キーの使用方法：任意。有効にするか無効にするかを選択してください。
- キーサイズ：
2048 - CSR署名アルゴリズム：
SHA1注記
残りのパラメータは変更しないでください。
- Saveをクリックしてください。
オンデマンドVPNプロファイルを構成する
オンデマンドVPNプロファイルを作成するには：
- MobileIron Core UI で、 Policies & Configs > Add New > VPNに移動します。
- 以下のパラメータを入力してください。
- 名前：VPN接続プロファイル名を入力してください。
- 接続タイプ:
IPSec (Cisco)。 - サーバー: Netskope UI ( Settings > Security Cloud Platform > Netskope Client > MDM Distribution ) の VPN 設定セクションから Netskope VPN サーバー名を入力します。
- プロキシ：
Automatic from Proxy - プロキシサーバーURL：Netskope UIのVPN設定セクションからPAC URLの値を入力してください。
- ユーザー名:
$EMAIL$。 - ユーザー認証:
Certificate。 - ID証明書：ドロップダウンリストから証明書名（「ローカル証明書登録の設定」セクションで定義） Select 。
- XAuth Enable: Enable the checkbox.
- パスワード:
$EMAIL$。 - VPNオンデマンド：チェックボックスを有効にしてください。ユーザーが設定されたドメインにアクセスしようとするたびに、VPN が開始されます。
- 下にスクロールして「オンデマンドルール（iOS7以降）」まで進み、 Add+をクリックしてドメインベースのルールを作成します。これらはオンデマンドVPNがトリガーされるドメインであり、iOS7以降のデバイスでは設定が必要です。
- オンデマンドアクションの場合は、
Evaluate Connectionを選択してください。 - マッチングルールについては、Netskope UI の MDM 配信ページから「URL 文字列プローブ」を選択し、値を設定します。
- 「アクションパラメータ」ボックスの下にあるAdd+をクリックします。
- ドメインアクション:
Connect if needed。 - Add+をクリックし、SaaSドメイン名を追加します。MDM配信ページの「VPN構成の作成」セクションにある「ドメインリストのダウンロード」をクリックして、各SaaSアプリのドメイン名を取得します。
- オンデマンドドメインを追加した後、Required URL Probe に値
http://skopereachnetskope.<tenant-URL>を指定して別のエントリを追加します。OKをクリックしてください。 - デフォルトルールを「切断」に設定します。
- 完了したら、 Saveをクリックしてください。
デバイスに配布する
- 「ポリシーと構成」ページから以下をSelect 。
- SCEPプロフィール名
- NetskopeルートCA公開鍵
- 顧客中間CA公開鍵
- VPNプロファイル
- デバイスSelect「より多くのアクション」ドロップダウンリストでラベルに適用してください。「ラベルに適用」ウィンドウが開いたら、 iOSを選択してApplyをクリックします。
- VPNが機能していることを確認するには、管理対象アプリ（Boxなど）を起動してください。iOSの場合は、ステータスバーの上部にVPNアイコンが表示されるはずです。 .
アプリごとのVPNプロファイルを設定する
デフォルトでは、すべてのNetskopeテナントはオンデマンドiOS VPNに設定されています。Per-App iOS VPN プロファイルを使用したい場合は、営業担当者、プロフェッショナル サービス担当者、カスタマー サクセス マネージャー、またはサポートに連絡して、Per-App VPN を有効にしてもらいます。
アプリごとのVPNプロファイルを設定するには：
- MobileIron Core UI で、 Policies & Configs > Add New > VPNに移動します。
- 以下のパラメータを入力してください。
- 名前：VPN接続プロファイル名を入力してください。
- 接続タイプ:
IPSec (Cisco)。 - サーバー: Netskope UI ( Settings > Security Cloud Platform > Client Profile > MDM Distribution ) の VPN 設定セクションから Netskope VPN サーバー名を入力します。
- プロキシ：
Automatic - プロキシサーバーURL：Netskope UIのVPN設定ダイアログボックスからPAC URLの値を入力します。
- プロキシドメイン: Add+をクリックし、SaaSドメイン名を追加します。MDM配信ページの「VPN構成の作成」セクションにある「ドメインリストのダウンロード」をクリックして、各SaaSアプリのドメイン名を取得します。
- ユーザー名:
$EMAIL$。 - ユーザー認証:
Certificate。 - ID証明書：ドロップダウンリストから証明書名（「ローカル証明書登録の設定」セクションで定義） Select 。
- XAuth Enable: Enable the checkbox.
- パスワード:
$EMAIL$。 - アプリごとのVPN：はいSelect 。
- プロバイダータイプ： ドロップダウンリストからデフォルトを選択します。
- 完了したら、 Saveをクリックしてください。
デバイスに配布する
- 「ポリシーと構成」ページから以下をSelect 。
- SCEPプロフィール名
- NetskopeルートCA公開鍵
- 顧客中間CA公開鍵
- VPNプロファイル
- デバイスSelect「より多くのアクション」ドロップダウンリストでラベルに適用してください。「ラベルに適用」ウィンドウが開いたら、iOSを選択してApplyをクリックします。
- VPNが機能していることを確認するには、管理対象アプリ（Boxなど）を起動してください。iOSの場合は、ステータスバーの上部にVPNアイコンが表示されるはずです。 .
iOS VPN オープン失敗
フェールオープン機能により、デバイスを使用する iOS VPN からのトラフィックがNetskopeバイパスし、アプリまたはサービスに直接送信できるようになります。 フェール オープンが有効になっている場合、すべての iOS デバイスはトラフィックをNetskopeに誘導しなくなります。 フェイルオープンは、Netskopeがサービスの中断によって開始した場合、および管理者がNetskopeのUIで有効にした場合に発生します。
iOS VPNでフェイルオープンを有効にするには：
- NetskopeのUIで Settings > Security Cloud Platform > MDM Distributionに移動します。
- 「VPN構成の作成」セクションで、iOS VPNが正常に動作していることを確認してください。そうであれば、
アイコンをクリックすると、詳細設定ダイアログボックスが開きます。
- トグルを有効にしてから、 Saveをクリックしてください。
Android 用の MobileIron Core を設定する
MobileIron Core で Android 管理構成を行うには、まず Google で Android for Work を設定します。 Android for Workの設定が完了したら、以下の手順に従ってMobileIron CoreでAndroid管理構成を設定してください。
MobileIron CoreでAndroid管理構成を設定するには：
- MobileIron Core管理者ポータルにログインしてください。
- Appsをクリックしてください。
- アプリカタログのページで、 Add+をクリックします。
- Google Playをクリックしてください。
- アプリケーション名フィールドに
Netskopeと入力し、 Searchをクリックします。 - Netskope Cloud Director Select 、 Nextをクリックします。
- 必要に応じて新しいカテゴリを追加し、 Nextをクリックしてください。
- Android for Work のチェックボックスを有効にして、以下の値を入力してください。
- ユーザー電子メール アドレス:
$EMAIL$.ホスト:addon-<tenant-URL>トークン:<OrgKey>。 Netskope UI の VPN 構成セクションから、OrgKey値 ( Settings > Security Cloud Platform > Netskope Client > MDM Distribution ) の組織 ID を使用します。Ns_MDM_Check (オプション):<ns_mdm_check value>。 Android デバイスの分類の目的で使用されます。 Android のデバイス分類を設定していない場合は、このフィールドを無視できます。 Netskope UI でSettings > Manage > Device Classificationに移動し、ページ上で Android デバイスを選択してください。ns_mdm_check の値は概要セクションに表示されます。 Finishてください。
- ユーザー電子メール アドレス: