Netskope Explicit Proxy for Chromebook with Google SAML Forward Proxy

このドキュメントでは、Google SAML フォワードプロキシと Chromebook を保護用に構成する方法について説明します。明示的なプロキシ。 SAMLフォワードプロキシは、クラウドの明示的プロキシから当社のエッジに到達するトラフィックにIDを提供するために必要です。

詳細については、「複数および同時実行IdP」セクションを参照してください。

前提条件

これらの手順を実行するには、まず以下が必要です。

管理コンソールへのアクセス権限を含むライセンス（ビジネス、エンタープライズ、教育機関向け）を持つGoogle G Suiteアカウント
ドメイン名。
G Suiteアカウントへのadmin.google.comへのアクセス権限。
G Suiteアカウントで管理されているChromebookが少なくとも1台必要です。
ウェブライセンスと明示的なプロキシが有効になっているNetskopeテナント。

Chromebookにプロキシを統合する手順

Google 用の SAML フォワードプロキシを設定する

NetskopeのUIにログインして Settings > Security Cloud Platform > Traffic Steering > Explicit Proxy に行ってください(Explicit Proxyが有効でなければ表示されます)。
トラフィックがネットワークから送信されるパブリックIPアドレスを追加します。
Settings > Security Cloud Platform > Forward Proxy > SAMLに移動して、 New Accountをクリックします。複数のIdPと同時接続IdPのセクションに記載されている手順に従って、IdPアカウントを設定してください。
別のブラウザタブで、Google管理コンソール（admin.google.com）にログインします。Apps > SAML Appsに移動し、 Add AppをクリックしてAdd custom SAML appを選択します。
名前に「Netskope」と入力し、必要に応じてロゴを追加してから、 Continueをクリックします。
GoogleのIDプロバイダー情報が表示されたウィンドウが開きます。SSO URLとEntity IDをコピーして、証明書をダウンロードしてください。
Netskopeの「SAMLアカウントの追加」ウィンドウに戻り、以下の手順を実行してください。
1. 新しい IdP アカウントを作成するときに次を入力します。
  - Name: IdP名
  - Access Method: Select Cloud Explicity Proxy または All(ご要望に応じて)
  - SSO URL （Netskopeコンソール内のIdP URL）
  - Entity Id
  - アップロードIdP certificate 。ダウンロードした証明書を取得するには、お好みのテキストエディタで開き、ここにコピー＆ペーストしてください。
    
    他のフィールドは空白のままにして、 Saveをクリックしてください。
次に、 Settings > Security Cloud Platform > Forward Proxy > SAMLに進みます。次のステップで必要となるサービスプロバイダーの詳細（IdPアカウントに固有のもの）を取得するには、Netskope設定をクリックしてSAML Entity IDとACS URLを表示します。
Google管理コンソールに戻り、 Continueをクリックすると、サービスプロバイダの詳細画面が開きます。ACS URLとEntity IDを入力し、 Continueをクリックしてください。

NetskopeコンソールではACSのURLは2番目の項目ですが、Google管理コンソールでは1番目の項目です。
属性マッピング画面は空白のままにして、 Finishをクリックします。
NetskopeのUIで Settings > Security Cloud Platform > Forward Proxy > SAMLに移動します。
Settings > BYPASS > Domain Bypassの下にaccounts.google.comを追加します。前の手順で IDP アカウントに移動し、その他のオプション (3 つのドット) > Enableをクリックします。この時点で、SAMLフォワードプロキシの準備は完了です。

テストを行うには、明示的なプロキシを指すエンドポイントが必要です。デバイスを使用してテストすることも、次のセクションに進んで Chromebook デバイスで明示的なプロキシを構成することもできます。

管理対象 Chromebook デバイスの明示的プロキシを構成する

Netskopeの証明書をGoogleにインストールし、方法1または方法2を選択してプロキシ設定を構成してください。

証明書をインストールする

どちらの方法を選択するにしても、エンドユーザーのデバイスにNetskopeのルート証明書が必要になります。幸いなことに、 admin.google.com では、管理対象デバイスに対してこれを一括インストールすることができます。

Netskope UIで、 Settings > Manage > Certificates > Signing CAに移動し、3つの証明書すべてをダウンロードします（これにより、テナントでIPアドレスがホワイトリストに登録されているかどうかに関わらず、復号化が機能することが保証されます）。
admin.google.com で、 Devices > Networksに移動し、 Certificates > Add Certificateをクリックして、証明書を 1 つずつ追加します。
Netskopeルート証明書をアップロードし、認証局セクションでChromebook有効にしてから、 Saveをクリックします。この証明書は、すべての管理対象 ChromeOS デバイスに自動的にプッシュされます。

方法1：Google管理コンソールでプロキシ設定を構成する

この方法は、ユーザーが ChromeOS デバイスで使用しようとしている Wifi ネットワーク/ブラウザに関係なく機能しますが、管理対象 ChromeOS デバイスでのみ機能し、他の OS では機能しません。

admin.google.com では、Devices > Chrome > Settings > Userにアクセスし、ブラウザの設定でNetworkを選択します。
プロキシモードで、「常に」に変更してください。下記に指定するプロキシを使用してください。プロキシサーバーの URL については、Netskope テナントのSettings > Security Cloud Platform > Traffic Steering > Explicit Proxyの下から URL をコピーしてください。必ず取り除いてくださいhttps:// （その他はすべてデフォルトのままにしてください。）

プロキシへの送信を回避する必要があるURLがある場合は、ここに追加してください。IPアドレスとCIDRブロックも使用できます。また、選択したSSO用のバイパスを追加する必要があります。accounts.google.comはGoogle SSOに対応しています。ChromeOS向けの推奨回避策は以下のとおりです。

client1.google.com client2.google.com client3.google.com client4.google.com client5.google.com client6.google.com commondatastorage.googleapis.com cros-omahaproxy.appspot.com dl-ssl.google.com dl.google.com gweb-gettingstartedguide.appspot.com m.google.com hangouts.google.com omahaproxy.appspot.com pack.google.com safebrowsing-cache.google.com safebrowsing.google.com ssl.gstatic.com storage.googleapis.com tools.google.com www.googleapis.com ww.gstatic.com play.google.com mtalk.google.com accounts.google.com connectivitycheck.gstatic.com

バイパスの追加が完了したら、数分待ってから、ChromeOS デバイスでSettings > Networkを確認してください。Wi-Fiネットワークをクリックすると、プロキシ設定が表示されます。
Google Cloud アプリをいくつかアクセスすると、Netskope テナントの Skope IT の詳細で、アクセス方法が「明示的なプロキシ」として表示されるはずです。

方法2：ホスト型PACファイルの構成

Google管理コンソールは、ホストされているPACファイルのみをサポートしています。Netskopeは、今後のリリースでテナント側でこのオプションをサポートする予定です。今のところは、サードパーティのサイトでホストすることができます。

Netskopeテナントで、 Settings > Security Cloud Platform > Traffic Steering > Explicit Proxyに移動し、 Download Sample PAC Fileをクリックします。
sample.pacという名前のファイルがダウンロードされます。このファイルをお好きなテキストエディタで開き、使うをテンプレートとして作成して新しいPACファイルを作成し、トラフィックを誘導します。
1. domain-example1.comとdomain-example2.com 、必要な例外（バイパスするサイト）に置き換えてください。これにより、エンドポイントはクラウド明示プロキシを経由せずに、認証のためにOktaに直接アクセスできるようになります。これは必須ではありませんが、PAC ファイルがどのように動作するかを示すために行われます。一部のトラフィックを直接送信し、他のトラフィックをクラウド明示プロキシに送信する。
2. proxy-<tenant-URL>テナント名に置き換えて、変更を保存してください。