Windowsマルチユーザー仮想デスクトップ環境におけるNPAクライアント

この記事では、ユーザーが同時にログインするWindows上のマルチユーザー仮想デスクトップ環境向けにNetskope Private Access（NPA）を構成する方法について説明します。これにより、共有システムプロセス（セッションID 0）と専用のVDIユーザートンネルを備えた環境への安全なアクセスが可能になり、ユーザーのプライベートアプリケーションセッションはこのトンネルを介して処理されます。

Introduction

仮想デスクトップインフラストラクチャ（VDI）環境では、プライベートアプリケーションのトラフィックは、対話型ユーザーセッションとシステムプロセス（セッションID 0）の両方から発生します。この問題を解決するため、 NPA専用のVDIユーザーを導入し、ユーザーに帰属できないプロセスからNetskope Clientへのトラフィックをルーティングするための専用トンネルを作成します。 この設計により、ユーザーが開始したパケットであろうとシステムプロセスからのパケットであろうと、プライベートなアプリパケットは、定義されたポリシーに基づいて安全に処理およびルーティングされることが保証されます。

サポートされているオペレーティングシステム

この機能はWindowsでのみサポートされています。NPA VDIのサポート機能を最大限に活用するには、Windowsサーバーとクライアントデバイスが互換性のあるバージョンを実行していることを確認してください。サポートされている Windows バージョンについては、 Netskope Clientサポートする OS とプラットフォーム」を参照してください。 また、プラットフォームが複数ユーザーによる同時セッションをサポートしていることを確認する必要があります。

Overview

NPA VDIサポートソリューションは、以下の目的で設計されています。

• セッション ID 0 のトラフィックをユーザー トラフィックとは別に処理します: システム レベルのトラフィック (SMB や AD サーバー パケットなど) を専用トンネル経由でルーティングします ユーザーに帰属させることができないため、特別に指定された VDI ユーザーです。
• マルチユーザーシナリオの強化：Azure Virtual Desktop、Amazon Appstream、Citrix VDIなどの環境に対して、安全で一貫性のあるプライベートアクセスを提供します。
• クライアント登録の効率化：UPNまたは統合IDPを介した柔軟な登録ワークフローを提供し、デバイスがVDIモードに適したクライアント構成を確実に受信できるようにします。

前提条件

先に進む前に、以下のものを用意してください。

• Netskopeテナントアクセス：ユーザーの作成、クライアント設定の構成、ポリシーの設定を行うための権限。
• VDI ユーザー アカウント:
  <username>@vdi の形式で専用の VDI ユーザーを作成します。 Netskope .com

• インストーラーの要件： 最新のクライアントインストーラービルド（ビルドバージョン：124以降）。

• コマンドラインアクセス：適切なフラグを指定してクライアントをインストールするために必要です。

npavdimode=on を使用した適切な VDI 構成の確保

Netskope ClientをVDI環境に導入する組織にとって、インストール時にnpavdimode=onを指定してマルチユーザーサポートを有効にすることは不可欠です。これにより、適切なVDI設定が適用され、シームレスな構成と運用が可能になります。

主な実施手順

1. During Installation:
   • Windows デバイスに Netskope Client をインストールする際は、インストーラーがnpavdimode=onで起動されていることを確認してください。
   • この設定はマルチユーザー環境で必須であり、VDI構成が正しく適用されることを保証します。
2. Client Enrollment Considerations:
   • UPN Enrollment Mode （企業ディレクトリサービス経由）またはIDP Enrollment Mode （Azure ADやOktaなどのプロバイダーとのSSOを活用）のいずれの場合でも、VDI設定を適切に構成するにはnpavdimode=onフラグを含める必要があります。
   • 登録手続きのワークフローに変更はありませんが、この設定がないと、複数ユーザー機能が正しく適用されない可能性があります。
   • 同じ構成パラメータを適用する必要があります MDMベースの展開方法の場合。
3. Configuration Enforcement:
   • 認証とデバイス登録が完了すると、セキュリティクラウドプラットフォームが必要な設定を適用し、VDIユーザーが正しい構成を受け取れるようにします。

導入に関する詳細については、 Netskope Client登録に関するドキュメントのリンクを参照してください。

• IDP経由でNetskope Clientをデプロイする
• Netskope Client （Windows版）

Setup Guide

Web UI Configuration

1. VDIユーザーを追加する：

1. Setting > Security Cloud Platform > Usersに移動してNew Userをクリックしてください。
2. ユーザー電子メール形式: 電子メールを<username> @vdiNetskope として入力します。 .com 。
3. A ddをクリックしてください。このVDIユーザーは、セッションID 0のトラフィック専用のトンネルを確立するためだけに使用されます。

2. クライアント構成を作成または編集する:

1. クライアント設定へのアクセス:新しい構成を作成したり、既存の設定を修正したりできます。Settings > Security Cloud Platform > Client Configurationに移動してNew Client Configurationをクリックしてください。
2. On the Private App Segment tab:
   • VDIサポートを有効にするには、 VDI Support for Private App Segmentsオプションをチェックしてください。
   • VDIユーザーをSelect ： ドロップダウンメニューで検索してください（「 Netskope 」のユーザーのみが表示されます）。 適切なVDIユーザーを選択する。VDIユーザーが選択されるまで、続行オプションはロックされています。
3. Saveをクリックしてください。

   

3. プライベートアプリポリシーを作成する：

1. Policies > Real-Time Protection > New Policy > Private App Segment Accessへ移動してください。
2. ポリシー設定:
   • Source: Set to the VDI user (e.g., <username>@vdi.netskope.com).
   • アクセス方法: クライアントを使用します。
   • 宛先：プライベートアプリセグメントを選択し、セッションID 0パケットを生成するアプリ（SMBファイル共有、DNSなど）を選択します。
   • アクション：専用トンネル経由のトラフィックを有効にするには、 Allowに設定してください。
3. Saveをクリックしてください。

   

4. 追加手順：必要に応じて、SMBサーバー上でファイル/フォルダのアクセスルールを設定し、ユーザーアクセスを制御します。

クライアントのインストール

1. 既存のクライアントをアンインストールし、以前のバージョンを削除します。VDI サーバーから既存のNetskope Clientすべてアンインストールされていることを確認してください。

2. 新しいクライアントビルドをインストールします。

• ビルド124+をダウンロードしてください。 最新のインストーラーであることを確認してください。
• 管理権限を使用してインストール コマンドを実行します。

msiexec /I "NSClient.msi" host=<addon host URL> token=<org id> mode=peruserconfig npavdimode=on

• セキュア登録が有効になっている場合、NPA VDI ユーザーのセキュア登録を行うには、インストーラーコマンドで認証トークン ( enrollauthtoken ) と暗号化トークン ( enrollencryptiontoken ) の両方を指定する必要があります。

3. ユーザーセッションを確立する

• ログアウトとログイン：インストール後、一度ログアウトしてから再度ログインして、新しいユーザーセッションを作成してください。
• トンネルの作成：最初のユーザーセッションによって、セッションID 0のトラフィック専用のVDIトンネルが作成されます。
• 検証：クライアントログ（例： npadebuglog ）を確認し、トンネルがアクティブであり、VDIユーザーが正しく登録されていることを確認します。

ベストプラクティス

共有セッションID 0トラフィックの性質上、以下のベストプラクティスを採用することが重要です。

• アクセスプロファイルによるユーザーのグループ化：セキュリティリスクとパフォーマンスのボトルネックを最小限に抑えるため、マルチユーザー仮想デスクトップマシン上のユーザーを、アクセスプロファイルに基づいてグループ化します。
  • 理由：セッションID 0のトラフィックはVM上のすべてのユーザー間で共有されるため、アクセスニーズが類似するユーザーをグループ化することで、潜在的な競合を減らし、ポリシーの適用を効率化できます。
  • 実装方法：異なるアクセスプロファイル（例：管理者アクセスと標準ユーザーアクセス）ごとに、個別の仮想マシンまたは仮想デスクトッププールをデプロイすることを検討してください。これにより、プライベートアプリのポリシーとリソース利用がユーザーの要件に合致することが保証されます。

  

• 一貫性のあるVDIユーザー割り当て：この機能のサポートを必要とするすべてのクライアント構成に、単一の指定VDIユーザーがいることを確認してください。複数のマルチユーザーデスクトップ環境を、異なるVDIトンネルユーザーを持つユーザーグループに割り当てる構成シナリオはサポートされていません。この一貫性により、設定変更による専用トンネルの障害を防ぐことができます。
• 定期的な監視：トンネルの状態とユーザーセッションを監視し、セッションID 0のトラフィックルーティングやポリシーの不一致に関連する問題を迅速に特定して対処します。

構成に関する考慮事項

• ステアリング構成：
  • ステアリング機能（ステアリングの有効化／無効化）は、VDIトンネルには適用されません。
  • ステアリングとクライアントの設定は、個々のポリシーの一致に関係なく、一律に適用されます。
• デバイス分類: VDI ユーザーを使用してトンネルにデバイス分類を追加しても、ポリシーの一致には影響しません。
• 同期されていないユーザー：Netskopeと同期されていないユーザーでも、VDIトンネルのトラフィックにアクセスできる可能性があります。
• アップグレード手順：既存のNetskope ClientをアップグレードしてもVDIモードは有効になりません。新規インストールが必要です。
• SRPv2のサポート：サービスルーティングプロトコルv2（SRPv2）は現在のリリースではサポートされておらず、2025年4月に追加される予定です。

追加の注記とサポート

• トンネルの永続性：VDIトンネルは、少なくとも1人のユーザーがVDIシステムにログインしている限りアクティブな状態を維持します。最後のユーザーがログアウトしたときにのみ接続が切断されます。ユーザーセッションが確立される前に設定されている場合、プリログオンユーザーはアクティブになります。
• ユーザー削除の制限：VDIユーザーがクライアント構成に割り当てられている場合、トンネルの安定性を維持するため、そのユーザーはユーザーページから削除できません。
• トラブルシューティング：トンネルの作成とユーザー登録に関する詳細なログエントリについては、 npadebug.logファイルを確認してください。
• さらなるサポート: さらにサポートが必要な場合は、コンタクトNetskopeサポートまでお問い合わせください。