Netskope Client Enrollment 使う IDP

Netskope Client SAML 2.0をサポートするIDプロバイダーと統合することで、シングルサインオン（SSO）によるユーザー登録をサポートします。

対応バージョン

IDP登録は、以下のエンドユーザー環境にインストールされたNetskope Clientのユーザー登録に利用できます。

Windows
macOS
Linux
AndroidとChromeOS
iOS

前提条件

SAML Integration: NetskopeテナントUIのSettings > Security Cloud Platform > Forward Proxy > SAMLでIdPを設定してください。詳細については、 SAMLフォワードプロキシを参照してください。
User Provisioning: すべてのユーザーをNetskope管理コンソールにプロビジョニングします。Netskope 管理コンソール内のユーザーの電子メールアドレスはNetskope統合 IDP で見つかった電子メールと一致する必要があります。詳細については、 SCIM設定をご覧ください。
Network Configuration: クライアントネットワーク構成に記載されている宛先にアクセスできることを確認してください。
Android および ChromeOS の展開の場合、エンドユーザーデバイスは Android AppLink 機能をサポートする必要があります。エンドユーザーのデバイス（2018年モデルより古いもの）がAppLinkをサポートしていない場合、ユーザー登録プロセスでは、ユーザーが「プログラムから開く…」ダイアログボックスを選択するなど、追加の手動操作が必要になります。具体的な手順については、「AppLink非対応デバイスでの登録」のセクションを参照してください。

リリースバージョン123.0.0では、マルチユーザー環境において、 Netskope Netskope Client IDPベースのユーザー登録のみを実行し、UPNベースの登録は実行しないようにする機能フラグが導入されました。この機能フラグのデフォルト値はfalseに設定されています。この機能を有効にするためのNetskopeサポート。 Netskopeは、マルチユーザー環境でFailCloseが有効になっている場合は、この機能フラグを有効にしないことを推奨します。そうでない場合、FailCloseがIDPネットワークトラフィックを破棄するため、2番目のユーザーのIDP登録は失敗します。したがって、マルチユーザー環境では、後続のユーザーがIDPベースの登録を正常に実行できるように、ステアリング例外にIDP URLを追加してください。

Advantages

登録時にユーザーパスワードを要求することで、実際のユーザー自身が手続きを完了していることを保証し、なりすまし攻撃の可能性を防ぐことができます。
IDPのセキュリティ機能（強力な認証メカニズムやパスワードポリシーなど）を活用することで、登録されたデバイスに対する信頼性が向上します。
登録フェーズで多要素認証（MFA）を有効にすると、検証の第二層が追加され、ユーザーのクレデンシャルが侵害された場合でも保護が提供されます。

Disadvantages

通常、静かに展開されるものではない。サイレント展開を行うには、IDPで構成された統合Windows認証が必要です。
NPAの事前ログオンでは、ユーザーは少なくとも一度は認証されている必要があります。
SSO環境以外では、ユーザーが登録する前に、フェイルクローズは適用されません。

Netskope Client導入と登録トークンの使用

このモードでは、ユーザーの電子メールアドレスが、idP 認証から取得されたユーザー ID として使用されます。この方法がかどうかを確認するには、インストールコマンドまたは方法を参照し、以下のパラメータが含まれているかどうかを確認してください。

installmode=IDP

また、以下のものは含まれていません。

token=” ”
host= “ “ (tenant name)

使うエンロールメントトークン Netskope Client 展開を始める前に、必ずSecure Enrollment Servicesを有効にし、トークンを Settings > Security Cloud Platform > Netskope Client > MDM Distributionに追加してください。

登録を成功させるためには、トークンの使用を必ず徹底してください。

暗号化トークンを使用したIDP登録

IDP登録ではIDP方式に対してユーザー認証が行われるため、認証トークンを設定する必要はありません。暗号化トークンはオプションです。

展開オプション	インストールコマンド
IDPベースの登録におけるシングルユーザーモードでのインストール	`< OS utility > < NSClient > installmode=IDP enrollencryptiontoken= < encryption token >` 例えば、WindowsのMSIEXECコマンドは次のようになります。 `msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=IDP enrollencryptiontoken=XXX /qn`
IDPベースの登録におけるマルチユーザーモードのインストール	`< OS utility > < NSClient > installmode=IDP tenant= < tenant-name > domain= < tenant-domain-name > enrollencryptiontoken= < encryption token > mode=peruserconfig` 例えば、WindowsのMSIEXECコマンドは次のようになります。 `msiexec /I NSClient.msi tenant=corp domain=goskope.com installmode=IDP mode=peruserconfig enrollencryptiontoken=XXX /qn`

UIでenrollencryptiontokenが生成されて適用される場合は、インストールコマンドで指定する必要があります。ただし、 enrollauthtokenは生成され強制される場合でもオプションです。

登録トークンを使用した事前ログイン接続

NPA事前ログオンの場合、IDP登録済みであっても、認証トークンはエンドユーザーのマシン上に存在している必要があります。そうしないと、プリログオンユーザーのプロビジョニングができなくなります。

prelogonuser=<user>@prelogon フラグを指定して次のコマンドを実行します。 Netskope .com:

For single user mode ( with encryption token)

UPN: msiexec /I NSClient.msi host=<addon URL> token=<orgID> enrollauthtoken=<auth token> enrollencryptiontoken=<encryption token> prelogonuser=<user>@prelogon.netskope.com

IDP: msiexec /I NSClient.msi host=<addon URL> token=<orgID> installmode=IDP enrollauthtoken=<auth token> enrollencryptiontoken=<encryption token> prelogonuser=<user>@prelogon.netskope.com

For per-user mode

UPN: msiexec /I NSClient.msi host=<addon URL> token=<orgID> mode=peruserconfig enrollauthtoken=<auth token> enrollencryptiontoken=<encryption token> prelogonuser=<user>@prelogon.netskope.com

IDP: msiexec /I NSClient.msi host=<addon URL> token=<orgID> installmode=IDP mode=peruserconfig enrollauthtoken=<auth token> enrollencryptiontoken=<encryption token> prelogonuser=<user>@prelogon.netskope.com

詳細については、「クライアントの事前ログオン接続の設定」を参照してください。

ユーザーインパクト

クライアントバージョン116.0.0以前（これらのバージョンへのアップグレードを含む）。

デバイス	既存ユーザー	新しいユーザー登録		再登録が必要な既存登録ユーザー
		クライアントバージョン116.0.0以前（これらのバージョンへのアップグレードを含む）	クライアントバージョン 116.1.0またはそれ以降（アップグレード中を含む）	クライアントバージョン116.0.0以前（これらのバージョンへのアップグレードを含む）	クライアントバージョン 116.1.0またはそれ以降（アップグレード中を含む）
パーソナル・コーポレート・マシン	変更なし	Netskope Clientパッケージ（トークン付き）	Netskope Clientパッケージ（トークン付き）	クライアントをアンインストールするトークンを使用してクライアントパッケージを再インストールします。	トークンを使用してクライアントパッケージをインストールするか、 Windows および macOS でトークンを使う nsdiag を適用する
共有デスクトップ/VDIなど	変更なし	クライアントをアンインストールするトークンを使用してクライアントパッケージを再インストールします。	トークンを使用してクライアントパッケージをインストールするか、 Windows でトークンを使う nsdiag を適用する	クライアントをアンインストールするトークンを使用してクライアントパッケージを再インストールします。	トークンを使用してクライアントパッケージをインストールするか、 Windows でトークンを使う nsdiag を適用する

– クライアントバージョン116.0.0以前の場合：
– これらの変更は、 Netskope Clientの初期設定の「作成」が有効になっている場合にのみ必要です。
– Windows以外のすべてのオペレーティングシステムでは、バージョン116.1.0より前のバージョンではアンインストールと再インストールは不要です。
– クライアントバージョン116.1.0の場合またはそれ以降、これらの変更は、 Netskope Clientの初期構成の作成が有効になっている場合にのみ必要です。が有効になっている場合。

コマンド例：

新しいトークンを使用して、MSIEXECコマンドを再実行してください。

この柔軟性はWindowsでのみ利用可能ですクライアント構成WebUIでProtect Client configuration and resources optionを選択した場合、MSIの再実行はサポートされません。
次のnsdiagコマンドを使用してトークンを更新します。
```
nsdiag -e enrollauthtoken=<token> enrollencryptiontoken=<token>
```
前述のnsdiagコマンドは、Windows および macOS プラットフォームでのみサポートされます。パスC:\Program Files (x86)\ Netskope \STAgentを使用してnsdiagコマンドを実行できます。

Windowsで管理者権限でこのコマンドを実行してください。

WindowsとmacOSでは、 nsdiag -eコマンドが失敗した場合、コマンドプロンプトにエラーメッセージが表示されます。

登録ワークフロー

以下のセクションでは、各オペレーティングシステムの登録ワークフローについて説明します。

Windows

macOS

Linux

Android and Chrome OS

iOS

次のセクションでは、Windows の登録ワークフローについて説明します。

Windows ADまたはハイブリッドAD参加済み – 統合Windows認証（IWA）

統合されたWindows認証機能により、ユーザーが企業ドメインに参加しているデバイスにログインしている場合、シングルサインオン（SSO）が可能になります。

例えば、ターミナルで次のコマンドmsiexec /I NSClient.msi installmode=IDP tenant=acme domain=goskope.comを実行すると、Netskope Client は SSO を介してユーザーをシームレスに登録できます。以下のスクリーンショットは、エンドユーザーエクスペリエンスを示しています。

ユーザーは自動的にIDPに登録されます。以下の画像は、IDPがMicrosoft Entra IDである環境で生成されたものです。

インストールとユーザー登録が完了したら、クライアントのシステムトレイアイコンの[構成]オプションからユーザーを検証します。

Microsoft Entra ID（Windows認証統合版（IWA）搭載）

Microsoft Entraを使用すると、ユーザーのマシンが社内ネットワークに接続した際に、シームレスなシングルサインオン（SSO）を実行できます。詳細については、「クイックスタート: Microsoft Entra のシームレスなシングルサインオン – Microsoft Entra ID」をご覧ください。

Entra ID に登録された Windows デバイス

また、Windows デバイス使う Primary Refresh Token from Entra ID でシングルサインオン(SSO)体験も実現できます。 Active Directory環境は必須ではありませんが、Active DirectoryやAzure Active Directory（AAD）と併用して利用することも可能です。ただし、デバイスはEntra IDに登録されている必要があります。

Oktaとエージェントレスデスクトップシングルサインオン（ADSSO）

Oktaは、エージェントレスのデスクトップシングルサインオン（ADSSO）機能を提供します。詳しくは、「 Okta IWA webエージェント for Desktop Single Sign-on」のインストールと設定 |オクタ。

ドメインに参加していないデバイス

テナントとドメインサフィックスを使用して IdP モードでクライアントをインストールすると、企業 IDP ログインページが表示され、ユーザーはログインクレデンシャルを入力する必要があります。

テナントの詳細なしでクライアントをインストールする場合、ユーザーは IdP ログインページを取得する前に、登録ウィンドウに次の詳細を入力する必要があります:
– Tenant Name:テナント URL acme.goskope.com にアクセスしている場合、テナント名 = acme.
– Domain Name:テナント URL acme.goskope.com にアクセスしている場合、その場合、ドメイン名は goskope.com となります。

ユーザーは、テナント名とドメイン名についてテナント管理者に問い合わせることができます。
IdP認証が成功すると、Netskopeはユーザーを登録します。

以下のセクションでは、macOS デバイスの登録ワークフローについて説明します。

Entra ID – プラットフォーム SSO

プライマリリフレッシュトークンの概念は、macOS において特に重要です。 Entra ID が ID プロバイダとして機能する場合。詳細については、 macOS プラットフォームシングルサインオン (PSSO) の概要 - Microsoft Entra ID を参照してください。が Entra ID に登録すると、ブラウザベースの認証チャレンジのために、 Netskope Clientにシングルサインオン (SSO) 機能を拡張できます。必要なインストールパラメータは、以下の例と同様です。

set -- 0 0 0 IDP goskope.com acme 0 mode=scheme preferephemeral=false httpmethod=get

ブラウザベースの認証

Netskope Client macOS向けのSAMLフォワードプロキシによるFIDO認証をサポートしています。外部ブラウザのサポートを通じて。詳細については、 Jamf Proをご覧ください。

ドメインに参加していないデバイス

以下の手順は、一般的な登録ワークフローを示しています。

テナントとドメインサフィックスを使用してクライアントを IdP モードでインストールすると、企業 IDP ログインページが表示され、ユーザーはログインクレデンシャルを入力する必要があります。

テナントの詳細なしでクライアントをインストールする場合、ユーザーは IdP ログインページを取得する前に、登録ウィンドウに次の詳細を入力する必要があります:
– Tenant Name:テナント URL acme.goskope.com にアクセスしている場合、テナント名 = acme.
– Domain Name:テナント URL acme.goskope.com にアクセスしている場合、その場合、ドメイン名は goskope.com となります。
Netskope ClientユーザーをIDP認証プロセスにリダイレクトします。
IDP認証が成功すると、Netskopeはユーザーを登録します。

以下の手順は、一般的な登録ワークフローを示しています。

テナントとドメインサフィックスを使用してクライアントを IdP モードでインストールすると、企業 IDP ログインページが表示され、ユーザーはログインクレデンシャルを入力する必要があります。

テナントの詳細なしでクライアントをインストールする場合、ユーザーは IdP ログインページを取得する前に登録ウィンドウで次の詳細を入力する必要があります:
– テナント名: テナント URL acme.goskope.com にアクセスしている場合、テナント名 = acme.
– ドメイン名: テナント URL acme.goskope.com にアクセスしている場合、ドメイン名は goskope.com です。
Netskope ClientユーザーをIdP認証プロセスにリダイレクトします。
IDP認証が成功すると、Netskopeはユーザーを登録します。

詳細については、 Netskope Client for Linuxを参照してください。

登録プロセスの詳細については、 AndroidおよびChrome OS版のNetskope Clientを参照してください。

AppLinkをサポートしていないデバイスでの登録

ChromeOSをお使いの場合 Android AppLink機能をサポートしていない場合は、登録プロセスで使用するクライアントアプリを手動で選択する必要があります。

クライアント（ Netskope Clientアプリ）のインストールとdP認証が正常に完了した後、ユーザーはクライアントアプリを手動で開き、 Netskopeテナント認証トークンを取得して登録プロセスを続行する必要があります。ポップアップ画面（以下のスクリーンショットを参照）で、 Openボタンをクリックし、 Remember my choiceオプションが選択されていることを確認してください。

登録プロセスの詳細については、 iOS版Netskope Clientを参照してください。

登録を強制する

管理者は、エンドユーザーにログインクレデンシャルでの登録を強制する IDP 登録方法への登録を義務付けることができます。詳細については、 Netskope Clientの登録を強制する」を参照してください。

登録解除

ユーザーは、 Settings > Security Cloud Platform > Netskope Client > Client Configurationからユーザーの登録解除を許可するを選択することで登録を解除できます。詳細については、 Netskope Client設定を参照してください。