Diretório de apps Android · VPN e acesso
Estas são as restrições de app que a Palo Alto Networks documenta para o GlobalProtect no Android quando ele é gerenciado por um MDM de terceiros. Elas permitem que a TI aponte o app para o portal certo, faça o login das pessoas com um certificado, decida quando a VPN se conecta e limite o túnel a apps escolhidos. O método de conexão definido aqui tem prioridade sobre o do portal.
Nomidcom.paloaltonetworks.globalprotect Configurações comuns
Copie uma configuração para a configuração gerenciada de uma política e depois ajuste os valores. Cada uma usa apenas chaves explicadas abaixo.
Aponte o app para o portal, autentique com um certificado e conecte sem nenhuma ação da pessoa.
{
"portal": "vpn.example.com",
"certificate": "MIIC...",
"client_certificate_passphrase": "changeme",
"connect_method": "user-logon"
}Somente os apps listados passam pelo túnel. Os apps pessoais continuam usando a conexão normal. No Android, abrir um app listado não inicia o GlobalProtect por si só.
{
"portal": "vpn.example.com",
"connect_method": "user-logon",
"app_list": "allowlist:com.example.erp;com.example.crm"
}Remova o que foi enviado antes, por exemplo quando um dispositivo é reatribuído a alguém em outro portal.
{
"remove_vpn_config_via_restriction": true
}Configuração gerenciada
Os nomes das chaves e os tipos de valor vêm da documentação do fornecedor. As explicações são escritas pelo Nomid.
| Chave | Tipo | O que faz | Exemplo |
|---|---|---|---|
| Portal e login | |||
portal | Endereço do portal | O endereço IP ou o nome de host do portal do GlobalProtect que o app contata primeiro. Evita que as pessoas precisem digitá-lo. | vpn.example.com |
username | Nome de usuário | Preenche antecipadamente o nome de usuário para o login. Com um MDM que ofereça suporte a variáveis, é possível inserir o nome de usuário da própria pessoa. | jsmith |
password | Senha | Preenche a senha antecipadamente. Evite essa opção quando for possível usar um certificado de cliente, porque o valor fica armazenado na configuração do seu MDM. | |
certificate | Certificado de cliente em Base64 | Um certificado de cliente, codificado em Base64, que o app usa para se autenticar no portal e no gateway. | MIIC... |
client_certificate_passphrase | Senha do certificado | A senha que protege o certificado de cliente enviado na chave de certificado. | |
mobile_id | ID do dispositivo no seu MDM | Um identificador exclusivo que o seu MDM atribui ao dispositivo. O GlobalProtect o usa para consultar informações sobre o dispositivo. | device-0042 |
| Comportamento da conexão | |||
connect_method | Escolha: user-logon ou on-demand | Com user-logon, o app se conecta por conta própria. Com on-demand, as pessoas se conectam manualmente. Este valor substitui a configuração do portal. | user-logon |
app_list | allowlist: ou blocklist: mais nomes de pacote | Ativa a VPN por app. Comece com allowlist: ou blocklist: e separe os nomes de pacote com ponto e vírgula. Os apps não citados em nenhuma das listas não usam o túnel. | allowlist:com.example.erp;com.example.crm |
remove_vpn_config_via_restriction | Ativado ou desativado | Remove permanentemente a configuração de VPN do GlobalProtect enviada ao dispositivo e devolve o app às configurações originais. | false |
Implante com o Nomid
Encontre-o no Google Play, na lista de apps da política, e escolha como ele será instalado.
Na política, defina a configuração gerenciada do app com as chaves e os valores desta página.
Os dispositivos da política recebem o GlobalProtect e a configuração dele na próxima sincronização.
Perguntas
com.paloaltonetworks.globalprotect. Use-o para localizar o app ao adicioná-lo a uma política.
Sim. A Palo Alto Networks documenta que o connect_method definido pelo MDM tem precedência sobre o definido na configuração do portal.
Defina app_list como allowlist: seguido dos nomes de pacote separados por ponto e vírgula. Desde o PAN-OS 10.1, as palavras-chave são allowlist e blocklist, sem espaço.
Prefira certificados. Uma senha na configuração de um MDM pode ser lida por qualquer pessoa que consiga ver essa política.
Adicione o app a uma política do Nomid, defina a configuração dele e escolha as permissões.
