Netskope Client for Virtual Desktop Infrastructure (VDI)

このドキュメントでは主に、Netskope ClientをVDI環境にデプロイするための手順について説明します。また、さまざまな種類の VDI 展開に適用される構成、制限、およびベストプラクティスについても説明します。組織内で。

サポートされているVDI環境

Persistent vs Non-Persistent VDI

永続的 VDI と非永続的 VDI は、主に 2 種類の VDI ソリューションを提供し、組織にさまざまなメリットをもたらします。

永続的なVDI

永続型VDI（一般的にステートフルVDIと呼ばれる）とは、各ユーザーに専用の仮想マシンを割り当てる方式である。ユーザーが更新したすべての構成やその他の設定を保存し、セッション間で保持するため、物理的なデスクトップと同じ操作感を提供します。

次のセクションでは、Netskope Clientを永続的なVDI環境に展開するさまざまな方法について説明します。

MDM導入方法

永続型VDIでは、マスターイメージ（ゴールデンイメージ）にNetskope Clientを事前にインストールする必要はありません。MDMはNetskope Clientの導入を計測し、VDIマシンを管理できます。

管理者は、ここで説明するクライアント登録方法に応じて、MDM を介して Netskope Client を 2 つの方法で展開できます。

マスターイメージ（ゴールデンイメージ）インストール前

VDIソリューションの種類に関わらず、管理者はスナップショットを作成する前にマスターイメージにNetskope Clientインストールする必要があります。 VDI環境において。

Netskope Clientデプロイするには永続的なVDI環境にマスターイメージをデプロイします。

NetskopeサポートからMSINetskope Clientをダウンロードしてください。
MSIファイルをマスターイメージまたはゴールデンイメージにコピーします。

ゴールデンイメージの作成方法については、 Microsoft AzureおよびCitrix Virtual Appsのドキュメントを参照してください。
管理者は、今Netskope Clientを使う CLI (cmd または Powershell) をインストールできます。

管理者は、ここで説明するクライアント登録方法に応じて、ゴールデンイメージを使用して Netskope Client を 2 つの方法で展開できます。

Non-Persistent VDI

管理者は、ユーザーが単一のデスクトップを共有できるようにすることで仮想デスクトップを管理し、ユーザーがVDIセッションを閉じると、システムはインストールされているすべてのアプリケーションと設定を削除します。

マスターイメージ（ゴールデンイメージ）

管理者は非永続型VDIにNetskope ClientデプロイするためのMDM方式。 Netskope Clientをインストールする唯一の展開方法はゴールデンイメージです。

Netskope Clientデプロイするには非永続型VDI環境にマスターイメージをデプロイします。

NetskopeサポートからMSINetskope Clientをダウンロードしてください。
MSIファイルをマスターイメージまたはゴールデンイメージにコピーします。

ゴールデンイメージの作成方法については、 Microsoft AzureおよびCitrix Virtual Appsのドキュメントを参照してください。
管理者は、今Netskope Clientを使う CLI (cmd または Powershell) をインストールできます。

管理者は、ここで説明するクライアント登録方法に応じて、ゴールデンイメージを使用して Netskope Client を 2 つの方法で展開できます。

Netskope Client登録方法

UPN

国内避難民

VDIマシンがドメインに参加している場合（ADまたはEntraのいずれか）、UPN登録方法を選択してください。

マルチユーザー環境にNetskope Client展開するには、次のパラメータを使用し、UPN を使用します。

msiexec /I NSClient.msi host=addon-<tenant-FQDN> token=<OrgID> mode=peruserconfig [enrollauthtoken=<enrollment-token> enrollencryptiontoken=<encryption-token> prelogonuser=<prelogon-user> npavdimode=on userconfiglocation=<path> fail-close=<disable|no-npa> autoupdate=<on|off> /l*v <path>] /qn

IDPは、ユーザーがマシンにログインするたびに、設定されたIDPに対して認証を行う必要がある、別のユーザー登録方法です。詳細については、「ユーザー認証とプロビジョニング」をご覧ください。

ユーザーが認証されると、永続 VDI 内のNetskope Client 、認証されたユーザークレデンシャルを使用して登録します。 VDIマシン上にユーザープロファイルが存在する限り、システムはユーザーに再登録を促すことはありません。

非永続的な環境では、管理者はプロファイルが非永続的であることを確認する必要があります。そうしないと、システムはセッションごとにユーザーに認証を要求し続けます。

最初のユーザーが IDP 登録メソッドを使用して VDI にログインした後、後続のユーザーが IDP メソッドを使用してログインするには、必要な機能フラグを有効にするためのコンタクトNetskopeサポートが必要です。

マルチユーザー環境にNetskope Client展開するには、次のパラメータを使用します。 IDP を使用します。

msiexec /I NSClient.msi installmode=idp tenant=<tenant-name> domain=<tenant-domain> mode=peruserconfig [enrollauthtoken=<enrollment-token> enrollencryptiontoken=<encryption-token> prelogonuser=<prelogon-user> npavdimode=on userconfiglocation=<path> fail-close=<disable|no-npa> autoupdate=<on|off> /l*v <path>] /qn

Client Deployment Parameters

パラメータ	デスクリプション
host=addon-<tenant-name>.[region.]<tenant-domain>	(必須パラメータ) ユーザー登録時に必須 UPN。ユーザーを登録するときは使用しないでください。IDP を使用します。これは、テナントのアドオンホスト名です。例えば、テナントのホスト名が corp.goskope.com の場合、 host=addon-corp.goskope.com を使いますテナントのホスト名が corp.eu.goskope.com の場合、 host=addon-corp.eu.goskope.com を使用します。
トークン=<Organization ID>	(必須パラメータ) ユーザー登録時に必須 UPN。ユーザーを登録するときにこれを使用しないでください。IdP を使用します。組織IDを見つけるには：管理者クレデンシャルでNetskope管理コンソールにログインします。設定 > セキュリティクラウドプラットフォーム > MDM配信に移動します。「VPN設定の作成」セクションで、ご自身の組織IDを探してください。組織 ID はケースを区別します。
enrollauthtoken=<Authentication Token>	ユーザー登録時に必須有効化され、強制適用されているセキュア登録認証トークン付きのUPN。必要な場合セキュア登録認証トークンが有効かつ強制されているプラPrivate Access事前ログオン（UPNおよびIdP登録）。
enrollencryptiontoken=<Encryption Token>	Secure Enrollment 暗号化トークンを有効にして強制した UPN または IdP を使用してユーザーを登録するときに必要です。
mode=peruserconfig	（必須パラメータ）マルチユーザーシステムにインストールする場合。このパラメータ設定では、各ユーザーは個別にNetskope Client登録する必要があります。このパラメータ設定では、各ユーザーはNetskope Clientを個別に登録する必要があり、すべてのユーザーに同じステアリング設定が適用されます。クライアント構成は優先順位に基づいて適用されます。このパラメータはVDI環境では必須です（異なるユーザーが同じVDIマシンに同時または別々にログインする場合、UPNによって正しく識別されます）。
npavdimode=on	Citrix VDIやAzure仮想デスクトップ環境など、複数のユーザーが同時にログオンしているマルチユーザーWindowsデスクトップにインストールする場合。このパラメータはNetskope Private Access（NPA）のみに適用されます。
userconfiglocation=<path>	ユーザー設定を保存するデフォルトのパスを上書きします。ユーザーのホームディレクトリが外部ファイルサーバーまたはネットワーク共有上にホストされている場合を除き、このパラメータは省略する（デフォルトのパスを許可する）ことをお勧めします。このパラメータはマルチユーザーシステム（パラメータに mode=peruserconfig が含まれている場合）でのみ使用することをお勧めします。デフォルトのパス: %AppData%\Netskope\STAgent カスタムパスは、絶対パス、ネットワーク共有、または環境変数を含むパスにすることができます。MSIEXEC コマンドの実行方法に応じて、環境変数を適切にエスケープする必要があります。コマンドプロンプトから実行する場合は、各 % の前に ^ を追加します。 cph0} 例: `>msiexec /I NSClient.msi mode=peruserconfig userconfiglocation=C:\Users\^%USERNAME^%\Netskope` バッチスクリプトから実行する場合は、各 % の前に % を追加します。例: `>msiexec /I NSClient.msi mode=peruserconfig userconfiglocation=C:\Users\%%USERNAME%%\Netskope` SCCM (またはその他の一括展開ツール) から実行する場合は、各 % の前に ^ を追加し、cmd /c をプレフィックスとして付けます例: `>>cmd /c msiexec /I NSClient.msi mode=peruserconfig userconfiglocation=C:\Users\^%USERNAME^%\Netskope`
fail-close=disable\|no-npa	これは、クライアント構成の「フェイルクローズ」設定を上書きします。無効：このデバイスでのフェイルクローズ機能を明示的に無効にします。 no-npa: インターネットセキュリティトンネルを確立できず、Fail Closeがインターネットトラフィックをブロックしている場合でも、 Private Access （ NPA ）トラフィックを許可します。
prelogonuser=<prelogon username>@prelogon。Netskope.com	Private Access Prelogon を展開するときに使用します。詳細については、 Prelogonを参照してください。
autoupdate=on\|off	on: デフォルト値で、クライアント構成に基づいてNetskope Clientの自動更新を有効にします。クライアント構成で自動更新が無効になっている場合、 Netskope Clientこのシステム上で自動更新されません。 off: Netskope Clientの自動更新を無効にします。これはクライアント設定を上書きし、このシステム上でのNetskope Client自動更新を防止します。
/l*v	MSIEXECのインストールログファイルのパスを設定します。例えば： `/l*v %PUBLIC%nscinstall.log`
/qn	サイレントインストールにはこのオプションを使用します。

VDIにおけるマルチユーザー環境のサポート

以下のセクションでは、マルチユーザーVDI環境で検討すべきベストプラクティスについて説明します。

マルチユーザー環境における永続型と非永続型の比較

ステアリング構成、クライアント構成、OTP、およびマスターパスワードに関して考慮された事項については、以下の表を参照してください。

構成タイプ	永続的なVDI	Non-Persistent VDI	追加情報
クライアント構成	最も優先度の高いクライアント構成*が優先されます	最も優先度の高いクライアント設定が優先されます。	-
ステアリング構成	Netskope Clientによってダウンロードされた、最初にログインしたユーザーのステアリング設定を適用します。	Netskope Clientによってダウンロードされた、最初にログインしたユーザーのステアリング設定を適用します。	マルチユーザー環境で一貫した動作を実現するには、すべてのユーザーが同じステアリング構成を共有していることを確認してください。
ワンタイム無効化パスワード	クライアント構成に最も高い優先順位で適用されます。	クライアント構成に最も高い優先順位で適用されます。	ユーザーAがインターネットセキュリティを無効化 OTPはユーザーBのクライアントサービスを無効化しません。
マスターパスワード	クライアント構成に最も高い優先順位で適用されます。	最も優先度の高いクライアント構成に適用されます	ユーザーAがクライアントサービスを無効化マスターパスワードはユーザーBのクライアントサービスを無効化しません。

*優先順位とは、設定を行う順序のことです。リストの上位にランクインしているほど、優先順位が高くなります。

管理者が Netskope Client を新規インストールまたはアップグレードするたびに、クローンされた VM の重複する一意のデバイス ID を回避するために、マスターイメージからレジストリキーnsdeviceuidとnsdeviceuidnew を削除することを Netskope は推奨します。

Additional Info

マスターイメージとクローンされたVM間で重複する一意のIDを避けるために、 nsdeviceuidとnsdeviceuidnew キーを削除してください。同じインフラストラクチャ（例えば、VMware EXSi）から複数の仮想マシンがクローンされた場合、クローンされた仮想マシンには同じ一意の ID が割り当てられます。
管理者がデバイス UID のレジストリキーを削除しない場合、マスターイメージとクローンイメージは同じ一意のデバイス ID を使用することになります。
Netskope Clientのインストール後に以下のフォルダが作成されます。管理者は、マスターイメージに以下のフォルダが含まれているかどうかを確認できます。
- C:\Program Files (x86)\Netskope
- C:\Program Files\Netskope
- C:\ProgramData\ Netskope

制限

マルチセッション環境におけるNetskope Clientには、以下の制限事項があります。

NPAアプリケーションの場合（ADやSMBなど）通信を行う「セッション0」は、クライアント構成で指定された「セッション0」VDIユーザーに割り当てる必要があり、実際にトラフィックを開始したユーザーに関係なく、これらのアプリケーションのすべてのトラフィックは「セッション0」VDIユーザーによって識別および管理されます。。
eDLP (エンドポイント DLP) は、Windows デスクトップ OS を実行しているマルチセッション環境ではサポートされていません。管理者は、そのような環境ではeDLPを無効にすることを検討する必要があります。
Windows Server OS を実行しているマルチセッション環境では、eDLP (エンドポイント DLP) は有効になっていません。
Netskope Clientシングルユーザーモードからマルチユーザーモードに展開/アップグレード/再構成されると WindowsでのIdP登録非アクティブ状態またはロック状態からアクティブセッションに移行したユーザーの場合、stAgentプロセスの初期化に失敗します。

例えば、2人のユーザー、ユーザーAとユーザーB Windowsシステム。
- ユーザーBはシステム上でアクティブであり、ユーザーAはログインしているが非アクティブである。
- Netskope Clientシングルユーザーモードからマルチユーザーモードにインストール/アップグレード/再構成され、ユーザーBのセッションが正常に作成されます。
- ユーザーBが画面をロックすると、セッションは非アクティブ状態になります。
- ユーザーAが画面のロックを解除しても、 Netskope ClientユーザーA用に初期化されず、ユーザーA用のstAgentUIプロセスも存在しません。これにより、ユーザーAのトラフィック制御が中断され、クライアントが非アクティブな状態になります。
  
  stAgentUI プロセスを復元し、ユーザー A の適切なトラフィックステアリングを確保するために、 Netskope 、ユーザー A のログオフとログインを実行して、非アクティブなNetskope Client問題を解消することを推奨します。

クライアント構成を定義する

マルチユーザー環境では、各クライアント構成に優先度値が含まれます。最も優先度の高い設定は、ダウンロード後最大24時間有効な状態を維持します。別のユーザーが同等以上の優先度の設定でログインした場合、後者の設定が即座に適用されます。ただし、新しい設定の優先度が低い場合は、現在の設定が24時間以内である間は適用されません。例えば、次のようなシナリオを考えてみましょう。

Scenario 1: ユーザーAはクライアント構成A（優先度が高い）に属し、ユーザーBはクライアント構成B（優先度が低い）に属します。どちらのユーザーセッションログイン時にも、常に最も優先順位の高いクライアント設定が適用されます。
Scenario 2: ユーザーBが最初にログインし、クライアント構成B（優先度が低い）を適用する場合。優先順位の高いユーザーAがその後マルチセッションにログインすると、優先順位が高いため、両方のユーザーにクライアント構成Aが配信されます。

Scenario 3: ユーザーAが数分以内にログインしてログアウトすると仮定します。ユーザーAがログアウトしてから24時間後に、ユーザーBがログインしました。ユーザーB ユーザーAの設定の優先度が高いため、優先度の低いクライアント設定Bは24時間後に期限切れとなりました。ユーザーBは最も優先度の低いクライアント設定を受け取り、クライアント設定の更新があってもそのままの状態が維持されます。

Scenario 4: クライアント構成 A (優先度が高い) がユーザー A とユーザー B に適用されているとします。テナント管理者がクライアント構成 B を変更します。構成 A の優先度が高いため、クライアント構成は A から B に変更されません。しかし、テナント管理者がクライアント構成 A を変更すると、その変更がユーザー A とユーザー B に適用されます。

Scenario 5: クライアント構成グループ B に属するユーザー B が、他のユーザーが VDI セッションにログインしていない状態で最初に VDI にログインした場合。このケースでは、 Netskope Clientクライアント構成グループBの設定をユーザーBに適用します。他のクライアント構成グループに対して行われた編集や変更は、ユーザーBのセッションには影響しません。変更は、管理者がクライアント構成グループBの設定を更新した場合にのみ有効になります。

ステアリング構成を定義する

マルチユーザーVDI環境では、 Netskope Clientがダウンロードした、最初にログインしたユーザーのステアリング設定が適用されます。セッション0（サービスセッション）からのトラフィックは、最小のセッションIDを持つログインユーザーのトンネルを経由してルーティングされます。例えば、次のようなシナリオを考えてみましょう。

複数ユーザー環境で一貫した動作を実現するには、すべてのユーザーが同じステアリング設定を共有するようにしてください。

Scenario 1: ユーザーA（ステアリング構成Aを使用）がセッションにログインし、数分後にユーザーBがログインする。ユーザーAとユーザーBは、同じステアリング構成プロファイル（ステアリング構成A）を受け取ります。現在、ユーザーC（ステアリング構成Cを持つ）がログインすると、ユーザーCはユーザーAと同じステアリング構成を受け取ります。
Scenario 2: ユーザーAがログインした後、ユーザーBがログインする。ステアリング設定Aが両方のユーザーに適用される。テナント管理者がステアリング構成 B の設定を変更し、クライアント構成を更新すると、ログインしているユーザーには変更されたステアリング構成 B が含まれます。
Scenario 3: ユーザーBのみがログインし、他のユーザーがVDIセッションにアクセスしていない場合、ユーザーBのステアリング設定がユーザーBのクライアントUIに適用されます。他のステアリング設定に変更を加えても、ユーザーBのクライアントUIには影響しません。ステアリング設定の変更は、管理者がユーザーBの特定のステアリング設定を変更した場合にのみ有効になります。この動作は、シングルユーザーセッションの動作と類似しています。

ワンタイム無効化パスワードを定義する

マルチユーザー環境では、最も優先順位の高いクライアント設定が優先されます。

例えば、ユーザーAがログインして以下の操作を行うシナリオを考えてみましょう。

クライアントUIで「無効にする Internet Securityオプションをクリックします。
これにより、ワンタイムパスワードを入力するオプションが表示されたダイアログボックスが表示されます。
パスワードを入力し、インターネットセキュリティオプションが無効になっていることを確認してください。

次に、ユーザーBがログインし、ユーザーAと同じクライアント構成を取得します。ユーザーBは、クライアントUIでInternet Securityオプションが有効になっているかどうかを確認できます。

ユーザーBが優先度の低いクライアント構成Bで最初にログインした場合、管理者はクライアントUIでインターネットセキュリティサービスを無効にするために、ユーザーBのクライアント構成でOTPを設定する必要があります。

マスターパスワードを定義する

マルチユーザー環境では、最も優先順位の高いクライアント設定が優先されます。

例えば、ユーザーAがログインして以下の操作を行うシナリオを考えてみましょう。

クライアントUIで「DisableAll Client Servicesオプションをクリックします。
これにより、マスターパスワードを入力するオプションが表示されたダイアログボックスが表示されます。
パスワードを入力し、「すべてのクライアントサービス」オプションが無効になっていることを確認してください。

次に、ユーザーBがログインすると、ユーザーAと同じクライアント構成が取得されます。ユーザーBは、クライアントUIでAll Client Servicesオプションが有効になっているかどうかを確認できます。

ユーザーBが優先度の低いクライアント構成Bで最初にログインした場合、管理者はクライアントUIで全てのクライアントサービスを無効にするために、クライアント構成でユーザーBのマスターパスワードを設定する必要があります。

フェイルクローズを定義する

マルチユーザー環境では、最も優先順位の高いクライアント設定が優先されます。

Scenario 1: Netskope Clientに接続できない場合、VDIセッションは「接続失敗」状態になります。ユーザーAがログインしてステアリングアプリにアクセスしようとすると、クライアントはアクセスをブロックします。ユーザーAが定義された例外アプリにアクセスした場合、クライアントはアプリのトラフィックをバイパスする必要があります。
Scenario 2: デバイスがフェイルクローズ状態にある場合、MP API（クライアント設定、自動アップグレード、クライアントステータスなど）をバイパスする必要があります。
Scenario 3: クライアントがフェイルクローズ状態にあるときに、ユーザーAとユーザーBの両方がVDIセッションにログインすると、両方のユーザーはステアリングアプリへのアクセスをブロックされ、定義された例外アプリはバイパスされます。
Scenario 4: Netskopeテナント/ゲストユーザーによって管理されていない非プロビジョニングユーザーであるユーザーCが、他のプロビジョニング済みユーザーがアクティブな状態でVDIセッションにログインし、 Netskope Client有効になっている場合、ユーザーCのクライアントステータスが「フェイルクローズ」と表示されることを確認してください。ユーザーCによるステアリングアプリへのアクセスはブロックされますが、定義された例外アプリはバイパスされます。

既知の問題：ユーザー移行

非永続型VDIのマスターイメージにおいて、既存ユーザーがUPN登録からIDP登録へ、またはその逆へ移行する場合、Fslogix/共有ネットワークパスに保存されているユーザープロファイル内の古いデータが原因で問題が発生する可能性があります。回避策として、管理者は、外部ファイルサーバーまたはネットワーク共有上にあるFSLogixまたはホームディレクトリを含むローミングプロファイルパスからユーザープロファイルを削除する必要があります。

公開済みアプリのユーザー通知

このセクションでは、Netskope Client を介して XenApp で公開されたアプリのユーザー通知動作に関するガイダンスを提供します。

ユーザー通知テンプレートを使用すると、管理者はユーザーの操作をブロックしたり、ユーザーに警告を送信したりできます。これらのテンプレートはカスタマイズ可能で、アラート通知やブロック通知に特定の情報やオプションを表示できます。管理者は、ユーザー向けに正当化のドロップダウンリストを提供したり、正当化を入力するための「正当化」ボックスを表示したりできます（オプション）。詳細については、ユーザー通知テンプレートをご覧ください。
Netskope Clientが、データ損失防止（DLP）および脅威対策のためのリアルタイム保護ポリシーに従って、ユーザーをブロックまたは警告することでアプリケーションへのアクセスを防止する以下のシナリオを検討してください。ファイルのアップロードやダウンロード、ユーザーのログインやログアウトなどの操作を強制することで、強固なセキュリティを維持します。例えば、

ユーザーが XenApp の Microsoft Teams アプリケーションにログインしていて、サインアウトを試みた場合、 Netskope Clientユーザーの操作をブロックし、ユーザーにアラートを送信します。
Netskope Clientは、公開されたクラウドアプリケーションでのファイルのダウンロードやコンテンツの投稿を防止します。例えば、ユーザーが XenApp の Microsoft Teams アプリケーションにログインしていて、Teams チャットから機密ファイルをダウンロードしようとすると、 Netskope Clientユーザーの操作をブロックし、ユーザーに警告を送信します。
Netskope Clientは、ブラウザを介したアップロードやダウンロードなどのウェブトラフィック活動を防止します。例えば、ユーザーが Microsoft Edge または Google Chrome ブラウザ経由で Notepad++ アプリケーションをダウンロードしようとした場合。 Netskope Clientユーザーの操作をブロックし、ユーザーに警告を送信します。
Netskope Clientは、ブラウザを介した不正なドメインへのアクセスなど、ウェブトラフィック活動を防止します。例えば、ユーザーがMicrosoft EdgeまたはGoogle Chromeブラウザを介してwww.gambling.comのようなドメインにアクセスしようとした場合。ユーザーがブラウザのアドレスバーにドメイン名を入力すると、ブラウザにブロックメッセージが表示されます。