クライアントの再認証を使う

クライアントの再認証を構成およびセットアップします

Netskope Client 、プライベートアプリへのアクセス時にユーザーに再認証を要求する場合があります。 この機能を使用するには、IdP フェデレーションを構成する必要があります。 クライアントとIdPの前提条件は以下のとおりです。

クライアントの再認証を設定するには：

Netskope Clientメ は再認証が有効になっているときに表示し、メ のそのオプションをクリックすることで再認証を行うことができます。

指定された間隔が経過すると、 Netskope Client再認証のためにIdPサインインウィンドウを表示します。 猶予期間が終了すると、 Netskope Client Netskope Private Accessから切断されます。

NPA再認証にシステムブラウザを使用する

Netskope Client R140以降では、クライアントのインストール後にオペレーティングシステムのデフォルトブラウザを使用するようにNPAの再認証を設定できます。Netskope Clientのインストールパラメータを通じてのみシステムブラウザを有効にする必要はなくなりました。

この設定は、WindowsとmacOSで個別に有効にできます。これは、選択したオペレーティングシステム上のすべてのサポート対象デバイスに適用されます。

Note: この設定は、NPAの再認証に使用されるブラウザを制御します。これは、初期のクライアント登録やその他のNetskope認証フローで使用されるブラウザには影響しません。

なぜシステムブラウザを使うのですか？

システムブラウザには、以下の利点があります。

• FIDO2、WebAuthn、パスキー、プラットフォーム認証機能などのブラウザベースの認証方法をサポートします。
• 埋め込みブラウザでは利用できない可能性があるIDプロバイダー機能との互換性。
• 既存のブラウザセッション、クッキー、およびシングルサインオン統合へのアクセス。
• エンタープライズブラウザポリシー、パスワードマネージャー、アクセシビリティ機能、および認証拡張機能との互換性。
• ユーザーにとって馴染みのある認証エクスペリエンス。

以前に確立されたサインインセッションの可用性は、ブラウザ、IDプロバイダー、認証ポリシー、およびブラウザセッションが一時的なものかどうかによって異なります。

前提条件

システムブラウザを有効にする前に：

• NPAクライアントの再認証を構成します。クライアントの再認証の使用を参照してください。
• テナントの IdP フェデレーションを構成します。
• https://nsauth-<tenant-URL> がパブリックにアクセス可能であることを確認します。
• サポートされているR140以降のNetskope Clientをエンドポイントにインストールしてください。
• サポートされているデフォルトブラウザを設定します：
  • Windows: Microsoft Edge, Google Chrome, or Mozilla Firefox.
  • macOS: Safari、Microsoft Edge、またはGoogle Chrome。macOSでは、Firefoxはシステムブラウザとしてサポートされていません。
• テナント全体でこの設定を有効にする前に、Manage Authentication Prompts でユーザープロンプトに関する考慮事項を確認してください。

システムブラウザを有効にする

この設定はグローバル属性であり、選択したオペレーティングシステム上のすべてのユーザーとデバイスに適用されます。

1. Settings > Security Cloud Platform > Netskope Client > Client Configurationへ移動してください。
2. Global Attributesをクリックしてください。
3. Private AppタブSelect 。
4. Security & Authentication の下で、次のオプションのいずれか、または両方を有効にします：
   • Enable Default Browser for NPA Re-authentication (Windows)
   • Enable Default Browser for NPA Re-authentication (Mac)
5. 設定を保存します。
6. 更新されたクライアント構成がエンドポイントに伝播されるようにします。

次回NPAがユーザーに再認証を要求する際、Netskope Clientはオペレーティングシステムのデフォルトブラウザを開きます。ユーザーがIdP認証を完了すると、制御はNetskope Clientに戻ります。

設定された再認証猶予期間が認証完了前に終了した場合、Netskope ClientはユーザーをNetskope Private Accessから切断します。

認証プロンプトを管理する

システムブラウザ認証に関連するプロンプトは、macOSとWindowsで異なります。

macOS ウェブ認証同意ダイアログ

macOSでは、Netskope Clientがシステムブラウザでの認証セッションを開始する際、オペレーティングシステムによって以下の同意ダイアログが表示される場合があります：

「Netskope Client」がサインインのために「<domain>」の使用を求めています

このダイアログはAppleの ASWebAuthenticationSession フレームワークによって生成されます。Netskope Clientと認証ウェブサイトがブラウザのサインイン情報を共有することをユーザーに通知します。

このダイアログはオペレーティングシステムのセキュリティ制御であり、一般的なmacOSのMDM制限を使用して事前承認することはできません。

エフェメラルセッションでダイアログを抑制する

ダイアログを表示しないようにするには、一時的なブラウザセッションを要求するようにNetskope Clientを設定します：

preferephemeral=true

サポートされているNetskope Client構成スクリプトおよびMDMソリューションを使用して、このパラメーターを管理対象のMacデバイスに展開します。Netskopeパラメーターの構文については、外部ブラウザベースの認証を参照してください。

MDM展開の参照先：

• Jamf Pro: ポリシーを使用したスクリプトの実行
• Microsoft Intune: macOSデバイスを管理するための展開ガイド

Important: エフェメラルセッションは、ユーザーの通常のブラウザセッションとクッキーやその他のブラウジングデータを共有しません。したがって、同意ダイアログを抑制することで、認証フローが既存のブラウザSSOセッションを再利用するのを防ぐことができます。ユーザーはIdPに対してより頻繁に認証を行う必要がある場合があります。Appleはこの動作についてprefersEphemeralWebBrowserSessionで説明しています。

必要なユーザーエクスペリエンスに基づいて構成を選択してください：

httpmethod=get パラメータは、冗長なSafari WebAuth.html 確認通知に対処します。これは、Appleのウェブ認証同意ダイアログを制御するものではありません。

Windows外部プロトコルのプロンプト

Netskope Clientがシステムブラウザを開く際、WindowsにはAppleのウェブ認証同意ダイアログに相当するものは表示されません。

認証後、認証ページがNetskope Clientに制御を戻す際に、ブラウザが外部プロトコル起動のプロンプトを表示する場合があります。ブラウザによっては、プロンプトは以下のようになります：

このサイトはNetskope Clientを開こうとしています。

管理対象ブラウザでは、テナントの認証オリジンからのNetskope Clientコールバックプロトコルを許可することで、このプロンプトを抑制できます。

ブラウザの AutoLaunchProtocolsFromOrigins エンタープライズポリシーを以下のように構成します：

• Protocol: netskopeclient
• Allowed origin: テナントの正確なNetskope認証元（例： https://nsauth-acme.goskope.com

ポリシー値の例：

[
  {
    "allowed_origins": [
      "https://nsauth-acme.goskope.com"
    ],
    "protocol": "netskopeclient"
  }
]

例のオリジンを、テナントの認証オリジンに置き換えてください。

該当するブラウザのドキュメントを使用してください:

• Microsoft Edge AutoLaunchProtocolsFromOrigins ポリシー
• Google Chrome AutoLaunchProtocolsFromOrigins ポリシー
• Mozilla FirefoxのAutoLaunchProtocolsFromOriginsポリシー

Microsoft Intuneの展開ガイダンスについては、以下を参照してください。

• Intuneを使用してMicrosoft Edgeポリシーを構成する
• Intune設定カタログを使用してChromeを管理します

Security recommendation: netskopeclientプロトコルは、テナントで使用されている正確なNetskope認証オリジンからのみ許可してください。セキュリティチームによって要求および承認されていない限り、制限のないワイルドカードは使用しないでください。

ポリシー名と値の形式はEdge、Chrome、Firefoxで共通ですが、展開手順はブラウザやMDMプラットフォームによって異なります。

構成を検証する

1. サポートされているブラウザがオペレーティングシステムのデフォルトブラウザとして設定されていることを確認してください。
2. Netskope ClientのメニュからNPAの再認証をトリガーするか、設定された再認証間隔が経過するのを待ちます。
3. デフォルトのブラウザで、設定済みのIdPサインインページが開くことを確認します。
4. 認証を完了します。
5. Netskope Clientに制御が戻り、Private Accessが再接続されるか、接続が維持されていることを確認してください。
6. プロンプト抑制ポリシーが展開されている場合は、予期される同意または外部プロトコルのプロンプトが表示されないことを確認します。

管理対象のChromiumブラウザについては、以下の場所から適用されたポリシーを確認してください：

• Microsoft Edge: edge://policy
• Google Chrome： chrome://policy

Firefoxの場合は、about:policiesを使用してください。

システムブラウザを無効にする

NPAの再認証をNetskope Clientの埋め込みブラウザに戻すには：

1. Settings > Security Cloud Platform > Netskope Client > Client Configurationへ移動してください。
2. Global Attributesをクリックしてください。
3. Private AppタブSelect 。
4. WindowsまたはMacのデフォルトブラウザオプションをオフにします。
5. 設定を保存します。

クライアントの再インストールは不要です。更新された構成がエンドポイントに反映されるまで待ちます。

トラブルシューティング

ログオン時に再認証する

Netskope Private Access 、ユーザーのデバイスが再起動した場合や、ユーザーがPCからログアウトして再びデバイスにログインした場合に、ユーザーに Netskope Client への再認証を強制する機能をサポートしています。 コンタクト テナントでこの機能を有効にする サポート 。