В этом руководстве мы рассмотрим, как настроить Microsoft Intune с нуля и использовать его для развертывания клиента Cato SDP для Windows.
Примечание: Эта статья основана на версиях Intune до февраля 2024 года. Для устранения неполадок, пожалуйста, свяжитесь с поддержкой Intune
Microsoft Intune — это облачный сервис, ориентированный на управление мобильными устройствами (MDM).
С помощью Intune вы можете:
Устанавливать правила и настраивать параметры на устройствах, принадлежащих как организации, так и лично, чтобы обеспечить доступ к данным и сетям
Развертывать и аутентифицировать приложения на устройствах – в локальной сети и на мобильных устройствах
Убедиться, что устройства и приложения соответствуют требованиям вашей безопасности
Для доступа к Intune вам необходимо иметь подписку Microsoft 365 или Enterprise + Mobility E3/E5. Если вы используете бесплатную учетную запись Azure, вам нужно будет зарегистрироваться для пробной версии или оплачивать каждого пользователя (что может быть дорого).
Для получения дополнительной информации смотрите документацию Microsoft.
При добавлении приложения в Intune вас попросят выделить группы пользователей (или устройств), которым будет развернуто приложение. Поэтому перед началом убедитесь, что у вас есть пользователи Cato в группе AD или Azure AD, которой вы можете назначить приложение клиента SDP Cato.
В зависимости от того, хотите ли вы, чтобы приложение клиента SDP Cato было обязательным или необязательным для определенных групп пользователей, вы можете разделить пользователей на две группы:
Пользователи, для которых приложение обязательно. Любой пользователь из этой группы будет автоматически получать приложение.
Пользователи, для которых приложение необязательно. Приложение не будет автоматически доставляться пользователям этой группы, позволяя им самостоятельно зайти на портал компании и загрузить его, если они решат.
Развертывание клиента с параметрами установки
При установке Клиента для Windows с использованием Microsoft Intune, вы можете настроить параметры поддерживаемых функций с помощью параметров установки MSI. Используйте свойство CATO_REGISTRY_OPTIONS, чтобы предоставить каждую одобренную опцию реестра в формате пара ключ-значение. Установщик применяет эти опции только во время новой установки. Он игнорирует свойство во время обновлений и исправлений. Установщик проверяет каждую опцию по одобренному списку. Затем он использует предопределенный тип данных реестра для каждой поддерживаемой опции.
Принятые значения записываются в:
HKLM\SOFTWARE\CatoNetworksVPN
Формат ввода
Используйте список пар ключ/значение, разделенных запятыми:
CATO_REGISTRY_OPTIONS="Ключ1=Значение1,Ключ2=Значение2"
Правило | Значение |
|---|---|
Разделитель опций | Запятая: , |
Разделитель ключ/значение | Равно: = |
Максимальное количество опций на установку | 15 |
Максимальная длина ключа и значения | По 50 символов каждый |
Значения DWORD | Логический флаг: 0 отключено, 1 включено. |
Строковые значения | Буквы ASCII, цифры, точка и дефис; нет начальной или конечной точки. |
Поддерживаемые параметры
Ключ опции | Имя значения реестра | Назначение | Тип | Разрешенное значение | Дополнительные ресурсы |
|---|---|---|---|---|---|
InitialAlwaysOn | InitialAlwaysOn=(DWORD) | Принудительное включение Always-On | REG_DWORD | 0 или 1 | |
ForceAuthTrafficToTunnel | ForceAuthTrafficToTunnel | В режиме Всегда включено, весь трафик, включая трафик аутентификации, направляется через туннель Cato | REG_DWORD | 0 или 1 | |
ConnectOnBoot | ConnectOnBoot=(DWORD) | Настроить клиент для подключения каждый раз при загрузке устройства | REG_DWORD | 0 или 1 | |
LaunchAuthPageOnStartup | LaunchAuthPageOnStartup=(DWORD) | Автоматически запустить Клиент после первоначальной установки для следующего пользователя Windows, который войдет в систему | REG_DWORD | 0 или 1 | |
SubdomainForSeamlessAuth | SubdomainForSeamlessAuth = (String) | Определить поддомен Cato SSO для автоматической аутентификации с учетными данными Windows | REG_SZ | Строка поддомена | |
SeamlessAuthEnableMS | SeamlessAuthEnableMS | Включить бесшовную аутентификацию Microsoft/Entra ID с использованием Менеджера учетных записей Windows Web | REG_DWORD | 0 или 1 | |
SeamlessAuthEnableAddUser | SeamlessAuthEnableAddUser | Включить пользователей LDAP - бесшовную аутентификацию Microsoft/Entra ID, используя Менеджер учетных записей Windows Web, при добавлении другого пользователя. Поддерживается только если | REG_DWORD | 0 или 1 | |
SeamlessAuthAllowUICMA | SeamlessAuthAllowUICMA | Позволяет отображать UI аутентификации при автоматической повторной аутентификации | REG_DWORD | 0 или 1 | |
Поддомен | Поддомен | Определяет рабочее пространство аккаунта/поддомен для аутентификации до входа в систему | REG_SZ | Поддомен строка | |
PreLogin | PreLogin | Включить предлогин для конкретного устройства | REG_DWORD | 0 или 1 |
Примеры
Вот несколько примеров использования параметров установки:
Установка MSI:
Чтобы включить Подключение при загрузке и автоматически запускать Клиент после первоначальной установки для следующего пользователя Windows, который войдет в систему:
msiexec /i "C:\path\CatoNetworksSetup.msi"
CATO_REGISTRY_OPTIONS="ConnectOnBoot=1,LaunchAuthPageOnStartup=1" /l*v
"C:\temp\cato_install.log"
Установка NSIS Bootstrapper:
При использовании CatoNetworksSetup.exe, передайте свойства MSI через лоадер с помощью
/props=.Чтобы включить Всегда включено и Подключение при загрузке:
CatoNetworksSetup.exe
/props=CATO_REGISTRY_OPTIONS=InitialAlwaysOn=1,ConnectOnBoot=1
Мы будем использовать Центр администрирования Microsoft Intune для организации работы Intune. Вы можете войти, используя те же учетные данные Azure Portal здесь: https://endpoint.microsoft.com.
Для развертывания клиента SDP с помощью MEM выполните следующие три шага:
Добавить новое приложение бизнес-линии
Настроить детали приложения
Назначить пользователей для приложения
Добавьте клиента в портал MEM.
Чтобы добавить новое приложение бизнес-линии:
В меню Приложения перейдите в Приложения > Все Приложения.
Нажмите Добавить.
Откроется панель Выбрать тип приложения.
На панели, под заголовком Другое, выберите приложение бизнес-линии и нажмите Выбрать.
Загрузите файл MSI для клиента Cato SDP. Для получения дополнительной информации смотрите Загрузка клиента Cato.
Нажмите ОК.
Настройте детали приложения в портале MEM.
Чтобы настроить детали приложения:
На экране Добавить приложение во вкладке Информация о приложении введите следующие данные:
Имя: клиент Cato SDP
Описание: клиент Cato
Издатель: Cato Networks
Игнорировать версию приложения: Выберите Нет
Категория (необязательно): выберите категорию приложения для назначения клиенту Cato SDP
В зависимости от того, как вы хотите развернуть приложение для пользователей, существуют две различные секции, в которых можно выделить пользователей или группы:
Обязательно: приложение обязательно для этих пользователей/групп. Любой пользователь или группа в этом разделе будут автоматически получать данное приложение
Доступно для зарегистрированных устройств: приложение необязательно для этих пользователей/групп. Приложение не будет автоматически отправлено, и пользователи могут самостоятельно скачать его из портала компании
Чтобы назначить пользователей для приложения:
В центре администрирования Microsoft Intune перейдите в Приложения > Все Приложения > клиент Cato SDP > Свойства > Назначения
Нажмите Далее.
На экране Обзор + Создание нажмите Создать.
Ваше прикладное приложение создано, и MSI-файл загружен.
Примечание: Подождите, пока загрузка MSI-файла не завершится, прежде чем закрывать MEM.