プライベートアプリのブラウザベースアクセスの設定

この記事では主に、リバースプロキシを使用したブラウザベースのプライベートアプリアクセス（本書全体を通して「ブラウザアクセス」と呼ぶ）に関する構成とセットアップについて説明します。

ブラウザアクセスは、ユーザーがHTTP/HTTPS経由で企業内部のウェブアプリケーションにアクセスできる追加の方法です。さらに、 AnyApp機能により、RDPやSSHなどの非ウェブアプリケーションへのアクセスもサポートしています。

前提条件

Netskopeへのトラフィックを誘導するには、有効なIDプロバイダー（IdP）アカウントを所有し、IdPアカウントの設定を変更できる権限を持っている必要があります。

ブラウザベースのアクセスでは、発信元のHTTPリクエストのホスト名が、アプリケーションサーバーが想定するホスト名と一致する必要があります。ブラウザアクセスはHTTP/1.1をサポートしています。TLS 1.2、およびTLS 1.3。HTTP/2およびHTTP/3はサポートされていません。

ブラウザベースのアクセスは、機能フラグによって有効化されます。テナントに対してこの機能を有効にするには、 Netskope営業担当者またはNetskopeサポートチームに連絡してください。

重要

中国のPoP（接続拠点）経由でアクセスするアプリケーションについては、ブラウザベースのアクセスは提供されていません。

ワークフロー

NetskopeのUIでSAMLリバースプロキシアカウントを作成し、Netskope ACS URLとオーディエンスURLを使用してIdPアカウントを更新してください。
プライベートアプリのブラウザアクセスを有効にする。
ユーザーがプライベートアプリにブラウザからアクセスできるように、リアルタイム保護ポリシーを作成します。

ブラウザベースのアクセス用にSAMLアカウントを作成する

これらの手順を完了するには、IdP SSO URLと証明書が必要です。

Netskopeのユーザーインターフェースにログインしてください。
Settings > Security Cloud Platformに移動して、 SAML (リバースプロキシの下) をクリックします。
Add Accountをクリックしてください。
[新しいアカウント] ウィンドウで、アカウントの名前を入力します。
アプリケーションのドロップダウンリストからPrivate Apps Select 。
以下のパラメータを入力してください。
- IdP SSO URL: IdP SSO URLを入力してください。
- IdP証明書：IdP証明書を入力してください。
（オプション）代替ユーザーIDフィールド：Netskopeは、SAMLアサーションのNameIDフィールドを参照してユーザーIDを取得します。ご希望の場合はユーザー識別用の別のフィールドを追加したい場合は、このフィールドにSAML属性の名前を入力してください。ステータス切り替えボタンSelect 、IdPサービスを有効または無効にします。
Save and View Netskope Settingsをクリックすると、このアカウントのURLが表示されます。ブラウザアクセスACS URLとオーディエンスURLをコピーして IdPアカウントに貼り付けてください。先に進む前に、これらのURLを使用してIdPアカウントを更新してください。

注記

NPAのブラウザベースアクセスは、複数のSAMLアカウントの設定をサポートし、複数のIDプロバイダー（IdP）への対応を拡張します。詳細はこちらをご覧ください。

プライベートアプリのブラウザベースアクセスを有効にする

これらの手順は、新規および既存のプライベートアプリを対象としています。

Settings > Security Cloud Platform > App Definitionに移動してPrivate App Segmentsをクリックしてください。
New Application Segmentをクリックして新しいプライベートアプリを作成するか、既存のアプリを選択してください（そして手順4に進みます）。
「アプリケーション名」欄に、分かりやすいアプリ名を入力してください。
アクセス方法として、 Browserを選択してください。
宛先フィールドにホストドメインを入力します（例： jira.site.io ）。宛先フィールドは、次の構文をサポートしています: ( jira.site.io )。追加できるホストは1台のみです。ブラウザベースのアクセスでは、ホスト名にワイルドカードを使用することはできません。次に、TCPポート番号を追加します。
ホスト名とポート番号を追加すると、公開ホストのURLが表示されます。これは、適切に認証されたユーザーがプライベートアプリにアクセスするためのURLです。コピーアイコンをクリックすると、パブリックホスト名をコピーできます。。
HTTPまたはHTTPS Select 。 HTTPSの場合、プライベートアプリは信頼できる認証局によって署名された証明書を使用するか、または「信頼できる自己署名証明書」オプションを選択する必要があります。
注記
Netskopeは、自己署名された信頼できるルート証明書をサポートしています。証明書チェーンファイルでは、クロス署名されたルート証明書はサポートされていません。詳しくはこちらをご覧ください。
プライベートアプリには、ブラウザ経由で2つの方法でアクセスできます。
- パブリックホストフィールドから生成されたホスト名。
  注記
  DNSシステムで、カスタムホスト名のパブリックホスト名を設定できます。 DNSレコードを作成し、CNAMEタイプを選択して、公開ホスト名を追加します。
- プライベートホスト用のカスタムホスト名を作成し、証明書と秘密鍵のペアをアップロードします。Custom Hostnameトグルをクリックし、次にUpload the Certificateをクリックして、証明書とキーを入力するページを開きます。
  注記
  カスタムホスト名の証明書と秘密鍵をアップロードする必要があります。Custom Hostnameトグルをクリックし、次にUpload the Certificateをクリックして、証明書とキーを入力するページを開きます。
  サーバー証明書が一番上にあり、その下に証明書チェーンの残りの証明書が続き、ルート証明書が一番下にあるべきです。
  証明書に関する詳細については、「プライベートアプリのブラウザーアクセス用の証明書の設定」を参照してください。
クロスオリジンリソース共有（CORS）OPTIONSリクエストを許可する場合は、 Allow Unauthenticated CORS有効にしてください。

詳細については、「ブラウザアクセス経由でのCORS OPTIONSリクエストの有効化」を参照してください。

注記

この機能は機能フラグによって制御されます。この機能を有効にするためのコンタクトNetskopeサポート。
「発行元」テキストフィールドをクリックし、ドロップダウンリストから1つ以上の発行元を選択してください。
ヒント
高可用性を確保するには、各プライベートアプリに複数のパブリッシャーを追加してください。デフォルトでは、プライベートアプリごとにブラウザアクセス用のパブリッシャーを最大16社まで設定できます。

ブラウザアクセス用に構成できるパブリッシャーの最大数は64まで増やすことができます。
この設定を有効にするには、 Netskopeサポートまたは営業担当者にお問い合わせください。
Saveをクリックしてください。
変更内容を確認するための確認ウィンドウが開きます。変更内容を確認したら、 Confirmをクリックしてください。

プライベートアプリをパブリッシャーに接続するには、数分かかる場合があります。先に進む前に、このプライベートアプリの緑色のアイコンが表示されていることを確認してください。バッジが赤色の場合は、続行する前に、トラブルシューター機能を使用するか、ファイアウォールルールを確認してください。

注記

ユーザーが異なるテナントのプライベートアプリにアクセスできる場合同じブラウザからNetskopeエンコードされたプライベートアプリのURLにアクセスすると、あるテナントのプライベートアプリにアクセスした後、別のテナントのプライベートアプリにアクセスするには、ブラウザのCookieを削除する必要があります。

プライベートアプリへのブラウザアクセスに対するリアルタイム保護ポリシーを作成する

プライベートアプリへのブラウザアクセスを許可するには、リアルタイム保護ポリシーを作成する必要があります。

Policies > Real-time Protectionへ移動してください。
New policyをクリックしてPrivate App Segment Accessを選択してください。
ソースとして、プライベートアプリへのアクセスを許可するユーザー、OU、またはグループを選択してください。
追加の条件として、送信元IPアドレスを追加することもできます。これにより
管理者はエンドユーザーの送信元（送信元）IPアドレスに基づいてプライベートアプリケーションへのアクセスを制限（許可またはブロック）できるため、セキュリティが強化されます。ブラウザアクセスにおける送信元IPアドレスの基準は、現在、機能フラグによって制御されていることに注意してください。この機能を有効にするには、 Netskopeアカウントチームに連絡してください。

注記

テナントに対してこの「送信元IPアドレス基準」機能が有効になると、プライベートアプリのポリシー内で送信元IPアドレス基準が利用可能になります。送信元IPアドレスの基準は、クライアントアクセスとブラウザアクセスの両方でUIに表示されますが、現時点ではブラウザアクセスベースのアプリケーションにのみ適用されます。
アクセス方法として、 Browser Accessを選択してください。アクセス方法のうち、ブラウザアクセスまたはクライアントアクセスのいずれかを少なくとも1つ定義する必要があります。ブラウザアクセスが使うの場合、クライアントユーザーはブラウザアクセスプライベートアプリにアクセスできなくなります。
ブラウザアクセスとクライアントの両方を通じてリソースにアクセスしたい場合は、各 Private Access リソースごとに2つのアプリケーション定義を作成する必要があります。
アクセス方法が表示されない場合は、 Add CriteriaをクリックしてAccess Methodを検索して選択し、次にBrowser Accessを選択してください。
「宛先」にはPrivate App Segmentを残し、ドロップダウンリストからプライベートアプリセグメントを選択してください。
「アクション」でAllowを選択してアクセスを許可してください。アクセスを拒否するには、 Block選択するか、ドロップダウンリストからポリシー通知テンプレートを選択するか、または新しいテンプレートを作成します。
ポリシーに名前を付けて ( Browser Access for JIRAなど)、「電子メール通知」をクリックしてポリシーの通知テンプレートを選択します。完了したら、 Saveをクリックしてください。
Apply Changesをクリックしてください。