Netskope Client （macOS版）

このドキュメントでは、macOS デバイスに Netskope Client をインストールする際の、利用可能な展開方法とユーザー登録オプションについて説明します。

対応バージョン

サポートされている MacOS バージョンの詳細については、 Netskope Clientサポートする OS とプラットフォーム」を参照してください。

Netskope Clientパッケージをダウンロード

Netskope Client インストーラーは、Netskope Client およびスクリプトのダウンロードページからダウンロードできます。

Netskope Clientをインストールします

Netskope Client macOSにインストールするには以下のいずれかの方法を使用してください。

電子メールで招待

Netskope Client Netskope管理コンソールから送信された電子メール招待状を使用してインストールできます。詳細については、「電子メールの招待」をご覧ください。

電子メールによる招待には期限があり、対象のユーザーのみが使用できます。

電子メールを受信したら:

Netskope Onboarding からの電子メールを確認し、 Mac Clientのリンクをクリックします。
Downloadをクリックしてください。これはデフォルトの場所にダウンロードされます。
インストーラーファイルをクリックしてください。

クライアントのブロックを解除し、インストール中に表示されるすべてのシステムプロンプトを承認して、適切な機能を確保するには、管理者権限が必要です。
1. ソフトウェアをインストールするには、 Installerポップアップにデバイスのパスワードを入力し、 Install Softwareをクリックしてください。
  
  管理者がMDMを通じてNetwork Extension事前承認した場合、ユーザーがインストーラーを実行すると、 Netskope Clientシームレスにインストールおよびアクティブ化されます。
2. インストールが完了したら、 System Extension BlockedポップアップのOpen System Setting をクリックしてください。
3. System Settingsにおいて、 Privacy & Security.のSecurityの下でAllow 選択します。
4. Privacy & Securityポップアップでデバイスのパスワードを入力し、 Modify Settingsを選択すると、タスクバーに Netskope Client が実行されているのが確認できます。

クライアントのインストールが完了すると、フルディスクアクセスが自動的に有効になります。

PLIST

インストール方法NetskopeスクリプトとPLISTファイルを使用してNetskope Clientをインストールし、ユーザーを登録します。この方法は、macOS デバイスにシングルユーザーモードでユーザーをインストールします。手順は以下のとおりです。

.plistファイルを生成しますファイル。
スクリプトを実行します。

.plistファイルを生成しますファイル

ターミナルで以下のコマンドを実行してください。
```
sudo /usr/libexec/PlistBuddy -c "add email string user@example.com" /Library/Managed\ Preferences/template.plist
```
PLIST ファイルを「/Library/Managed Preferences 」に追加します。「 /Library/Managed Preferences 」フォルダが存在しない場合、スクリプトは失敗します。フォルダを作成するための以下のコマンド: sudo mkdir “/Library/Managed Preferences ”

スクリプトを実行する
1. 設定スクリプトをダウンロードしてください：MAC-MDM-script.zipNetskopeサポートポータルより。このファイルにはNetskope Clientのインストールおよび設定に必要なコマンドライン実行スクリプトが含まれています。
2. ダウンロードしたスクリプトの内容を抽出してください。

ターミナルで以下のコマンドを実行してください。

sudo ./mac_mdm_installconfig.sh 0 0 0 addon-<tenant-name>[.region].<tenant-domain> <Organization ID> <plist file name> preference_email enrollauthtoken=<enrollauthtoken> enrollencryptiontoken=<enrollencryptiontoken>

Netskope Clientインストーラーを構成スクリプトと同じフォルダーに配置し、 Netskope Clientをインストールします。

MDM導入方法

Netskopeは幅広いMDMソリューションのサポートを提供しています。MDM固有の Netskope Client展開手順については、 Netskope Client 展開オプションをご覧ください。

macOSでクライアントをアンインストールする

macOSでクライアントをアンインストールするには：

ドックにあるSpotlightアイコン、またはタスクバー上部にある虫眼鏡アイコンをクリックしてください。スポットライトまたはインストール済みアプリケーションの手動レビューを使用して、アプリケーションNetskope Clientを削除します。
Netskope Clientアプリを削除してください。
アンインストールプロセス中に、管理者クレデンシャルの入力を求められます。
Netskope Clientは、お使いのコンピューターからアンインストールされました。
「OK」をクリックしてください。

クライアント構成 > 改ざん防止の「クライアントのアンインストールとサービス停止に対するパスワード保護」オプションを使用すると、管理者はエンドユーザーによるクライアントの不正アンインストールを制限できます。有効になっている場合、エンドユーザーはクライアントをアンインストールする際に、管理者が設定したパスワードを知っていて入力する必要があります。サービス停止オプションはWindowsデバイスのみで利用可能です。詳細は「 Netskope Client 構成」をご覧ください。

Netskope Client for macOSの改ざん防止機能

このセクションでは、macOS 版 Netskope Client のさまざまな属性を改ざん防止する方法について説明します。

改ざん防止機能 – macOSプロセス

改ざんは悪意による場合もあれば、偶発的な場合もある。Netskope 、各NetskopeプロセスにAPIを統合し、 Netskope Clientバイナリパス、署名、ファイルシステム権限を検証および監視するためにそれらを実装します。 APIは異常を検知し、ログに記録し、異常を終了させる。

改ざん防止に必要な設定はデフォルトでは無効になっているため、ローカル設定ファイルで明示的に有効にする必要があります。ローカル設定ファイルは、新しいポリシーを定義するために使用され、PLIST形式である必要があります。tamperproof.plist ファイルが次の場所に存在することを確認してください: /Library/Application Support/Netskope/STAgent/tamperproof.plist 。PLIST設定でプロセスチェックを有効にすると、APIは改ざんされたファイルをチェックします。APIが改ざんされたファイルを検出した場合、プロセスは起動時に自動的に終了します。

これは現在ベータ版です。アカウントでこの機能を有効にするには、 Netskope営業担当者に連絡してください。

前提条件

以下のtamperproof.plistファイルを/Library/Application Support/Netskope/STAgent/tamperproof.plistに保存してください。必要に応じてこのファイルを修正してください。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">

<plist version="1.0">
	<dict>
		<key>TeamIdentifiers</key>
		<dict>
			<key>24W52P9M7W.com.netskope.client.Netskope-Client</key>
			<dict>
				<key>DenyTrace</key>
				<true/>
				<key>ProcessCheck</key>
				<dict>
					<key>Enabled</key>
					<true/>
				</dict>
			</dict>
			<key>24W52P9M7W.com.netskope.client.Netskope-Client.NetskopeClientMacAppProxy</key>
			<dict>
				<key>DenyTrace</key>
				<true/>
				<key>ProcessCheck</key>
				<dict>
					<key>Enabled</key>
					<true/>
				</dict>
			</dict>
			<key>24W52P9M7W.nsAuxiliarySvc</key>
			<dict>
				<key>DenyTrace</key>
				<true/>
				<key>ProcessCheck</key>
				<dict>
					<key>Enabled</key>
					<true/>
				</dict>
			</dict>
			<key>24W52P9M7W.nsdiag</key>
			<dict>
				<key>DenyTrace</key>
				<true/>
				<key>ProcessCheck</key>
				<dict>
					<key>Enabled</key>
					<true/>
				</dict>
			</dict>
		</dict>
	</dict>
</plist>

ユーザーrootが必要で、 -r–r–r–または-rw-r–r–権限。APIは、これらの条件に一致しないファイルを無視します。

Netskope Clientプロセスの改ざんを防止するために、管理者は要件に応じてこのファイルを実装する任意のメカニズムを使用できます。たとえば、Microsoft Intune などの MDM ソリューションを使用して、ユーザーによるプロセスとポリシーの変更を制限するポリシーを適用します。

Netskope Clientのインストール後に設定ファイルを実装またはプッシュする場合は、設定を効果的に適用するために、システムの再起動またはNetskopeプロセスの再起動を行う必要があります。

Microsoft Intune

プロフィールを作成するには、以下の手順に従ってください。

Microsoft Intune 管理センターにサインインしてください。
Devices > By Platform > macOS > Manage Devices > Scriptsに移動します。
Addをクリックしてください。
BasicsにはNameとDescriptionを入力してください。
Nextをクリックしてください。

Script Settingsに、以下のシェルスクリプトファイル tamperproof.sh を保存してアップロードしてください。お使いのコンピュータのローカルストレージから。

#!/bin/bash

# Configuration
TARGET_DIR="/Library/Application Support/Netskope/STAgent"
FILE_PATH="$TARGET_DIR/tamperproof.plist"

# 1. Ensure target directory exists
if [ ! -d "$TARGET_DIR" ]; then
    mkdir -p "$TARGET_DIR"
    chmod 755 "$TARGET_DIR"
fi

# 2. Attach the plist content
cat <<EOF > "$FILE_PATH"
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadEnabled</key>
    <true/>
    <key>UpdateSettings</key>
    <string>Automatic</string>
</dict>
</plist>
EOF

# 3. Secure permissions (Root-owned, World-readable)
chmod 644 "$FILE_PATH"
chown root:wheel "$FILE_PATH"

exit 0

保存したシェルスクリプトをアップロードする前に、必ず修正する必要があります。tamperproof.plist スクリプト (前提条件を参照) をシェルスクリプトに組み込むには、既存のシェルスクリプトの 14 行目から 24 行目までを tamperproof.plist の内容で置き換えます。

以下の変更を行ってください。
- Run script as signed in users: NO
- Hide script notifications on devices: はい
- Script frequency: お客様のご要望に基づき
- Max number of times to retry if script fails: 3回
スクリプトをグループ、ユーザー、および/またはデバイスに割り当てます。
続行するにはNextをクリックしてください。
Review+Addの下で、ポリシー設定を確認できます。
Addをクリックしてください。

ウェブUIに、新しく作成されたスクリプトの詳細が表示されます。

改ざん防止 - ログインおよびバックグランド項目

macOS Venturaバージョン以前は、ユーザーはバックグランド上で動作するアプリケーションを限られた状態で見ることができていました。新しいmacOSのバージョンでは、バックグランドアプリケーションがより目立つように利用可能になり、エンドユーザーが閲覧、有効化、無効化しやすくなっています。詳しくは、 Loginおよびバックグランドのアイテムをご覧ください。

Netskope Clientバックグランドで実行されている場合、そのクライアントサービスを無効にすると機能に影響があり、ユーザーがセキュリティリスクにさらされる可能性があります。これを防ぐには、 VMware Workspace ONEやJAMFなどのMDMソリューションを使用して、ユーザーがクライアントを有効化または無効化できないように制限することができます。

VMware Workspace ONE

以下の設定手順により、ユーザーがログイン項目でクライアントを無効にすることができなくなります。

Resources > Profiles&Baselines > Profilesへ移動してください。
Add > Add Profileをクリックしてください。
開始するプラットフォームとしてApple macOS Select 。
「コンテキストSelectでDevice Profile Select 。
プロフィール名を入力してください。
Custom Settingsセクションに移動し、このセクションの右隅にあるAddをクリックしてください。これらのフィールドは今すぐ有効になります。

「カスタム設定」テキストボックスに、以下のカスタムペイロード情報を入力してください。

<dict>
    <key>PayloadDisplayName</key>
    <string>Service Management - Managed Login Items</string>
    <key>PayloadIdentifier</key>
    <string>com.apple.servicemanagement.xxx</string>
    <key>PayloadType</key>
    <string>com.apple.servicemanagement</string>
    <key>PayloadUUID</key>
    <string>xxxxxxxx-xxxx-xxxx-xxxx-xxx</string>
    <key>PayloadVersion</key>
    <integer>1</integer><key>Rules</key>
    <array>
    <dict>
        <key>RuleType</key>
        <string>TeamIdentifier</string>
        <key>RuleValue</key>
        <string>24W52P9M7W</string>
    </dict>
    </array>
</dict>

ペイロード識別子とUUIDの値を編集してください。

重要

現在、多くのMDMプロバイダーは、この機能を無効にするためのユーザーインターフェース（UI）オプションを提供していません。したがって、カスタム設定を使用してペイロードを追加します。

Nextをクリックしてください。
Assignmentページで、プロファイルをスマートグループに割り当てます。
Save and Publishをクリックしてください。

JAMF

JAMF Pro を使用すると、バックグランドサービスからNetskope Client無効にするユーザーを制限できます。これには、以下の設定PLIST（ Netskopeログインアイテム.mobileconfig）をアップロードする必要があります。

設定ファイル:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" 
"http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
    <dict>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadDescription</key>    
                <string>Allows for netskope to register a launch daemons and launch agents</string>
                <key>PayloadDisplayName</key>
                <string>Managed Login Items - Netskope Apps</string>
                <key>PayloadIdentifier</key>
                <string>com.netskope.servicemanagement.xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.</string>
                <key>PayloadUUID</key>
                <string>xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx</string>
                <key>PayloadType</key>
                <string>com.apple.servicemanagement</string>
                <key>PayloadOrganization</key>
                <string>Netskope</string>
                <key>Rules</key>
                <array>
                    <dict>
                        <key>RuleType</key>
                        <string>TeamIdentifier</string>
                        <key>RuleValue</key>
                        <string>24W52P9M7W</string>
                        <key>Comment</key>
                        <string>Allow login items for netskope apps</string>
                    </dict>
                </array>
            </dict>
        </array>
        <key>PayloadDisplayName</key>
        <string>Managed Login Items - Netskope Apps</string>
        <key>PayloadIdentifier</key>
        <string>com.netskope.servicemanagement.xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx</string>
        <key>PayloadUUID</key>
        <string>xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadScope</key>
        <string>System</string>
    </dict>
</plist>

詳細については、「管理対象ログイン項目の構成プロファイルのアップロード」を参照してください。

PLISTファイルをJAMFにアップロードするには、以下の手順を実行してください。

管理者クレデンシャルで JAMF にログインします。
Computers > Configuration Profilesへ移動してください。
Uploadをクリックしてください。
Upload OS X Configuration ProfileでChoose Fileをクリックし、ファイル（ Netskope login items.mobileconfig）を選択します。ローカルマシンから。
Uploadをクリックしてください。これにより、新しい macOS 構成プロファイルに移動します。
新しいmacOS構成プロファイルでは、「一般」の「名前」に、PLISTファイルで指定されたペイロード表示名文字列が表示されます。
Saveをクリックしてください。
「スコープ」タブをクリックして、構成プロファイルのスコープを設定します。
Saveをクリックしてください。

構成プロファイルがスコープ内のターゲットデバイスにプッシュされ、構成プロファイルから新しいプロファイルを表示できます。

macOS デバイスの構成プロファイルを確認するには、「システム設定」>「一般設定」>「プロファイル」に移動してください。ここでは、「管理対象デバイス」セクションに、管理対象ログイン項目であるNetskopeアプリの一覧が表示されます。

macOS Sonoma(v14)以降でフルディスクアクセス権限を承認する

macOS Sonoma以降のバージョンにNetskope Clientをインストールする場合、Netskope Clientにはフルディスクアクセス権限が必要です。インストール中に、エンドユーザーは、NetskopeのNetskopeClientMacAppProxyのシステム設定でこれらの権限を承認するように指示するダイアログボックスを確認できます。

ダイアログボックスが表示されたら、以下の手順を実行してください。

ダイアログボックスからSystem Settings Select 。
このオプションを選択すると、自動的にSystem Settings > Privacy & Security > Full Disk Accessの下のフルディスクアクセスに移動します。
Full Disk Access画面でNetskopeClientMacAppProxyを有効にしますトグルボタン。

これらのポップアップを抑制するために、管理者はデバイス使う MDM ポリシーに必要な事前承認を提供できます。事前承認には、MDMペイロード(com.apple.TCC.configuration-profile-policy)をプッシュすることで、 Netskope Clientのシステム拡張「フルディスクアクセス」が付与されます。 MDMのフルディスクアクセスについて詳しく知りたい方は、Netskopeのデプロイメントオプションをご覧ください。