NomidEste guia mostra como instalar o Zscaler Client Connector para Android (zscaler.com.zscaler) em dispositivos da empresa gerenciados pelo Nomid MDM e como configurá-lo com configurações gerenciadas. O Zscaler chama esses valores de opções de instalação ou parâmetros. Com eles, o app pode pular a página de inscrição e a escolha da nuvem, inscrever dispositivos sem login, vincular cada dispositivo ao seu registro no Zscaler Admin Console e aplicar suas opções de segurança.
O Zscaler só aceita esses valores quando o app é implantado pelo Google Play em dispositivos Android Enterprise, que é como o Nomid MDM o instala. Uma cópia instalada a partir de um arquivo APK não pode ser pré-configurada.
As etapas usam o editor Policy 2.0. No editor Classic, os mesmos campos abrem pela engrenagem do card do app; veja 4.1 Políticas de tablets — Classic.
Risco: o Zscaler Client Connector envia o tráfego do dispositivo pelo Zscaler. Um domínio, nome de nuvem ou servidor DNS errado, uma configuração de certificado que não corresponda à sua inspeção SSL, ou uma VPN sempre ativa que bloqueia o restante do tráfego podem cortar o acesso a apps da empresa e ao gerenciamento do dispositivo. Teste cada mudança em uma política piloto com um único dispositivo antes de vincular a política à frota.
Antes de começar
- Uma empresa Android Enterprise no Nomid MDM com dispositivos totalmente gerenciados ou com perfil de trabalho, e a permissão Editar política na política que você vai alterar.
- Dispositivos com Android 8.0 ou posterior, o mínimo que o Zscaler define em seus guias de implantação para Android.
- Uma organização Zscaler e acesso ao Zscaler Admin Console.
- Os valores que você pretende usar: o domínio da sua organização como aparece no NameID do SAML, o nome da sua nuvem Zscaler se a organização estiver provisionada em mais de uma nuvem, e um device token se for usar o Zscaler Admin Console como provedor de identidade.
- Configurações de VPN definida como Permitido em Conectividade na política, ou o Zscaler Client Connector escolhido como app de VPN sempre ativa. Um app de VPN precisa de acesso à VPN do Android; no nosso dispositivo piloto, com outro app de VPN, Bloqueado impediu que o app o obtivesse. Permitido também deixa quem usa o dispositivo adicionar, editar ou remover VPNs.
- Uma política piloto vinculada a um único dispositivo de teste, para que um valor errado afete somente esse dispositivo.
Adicionar o Zscaler Client Connector à política
- No Portal Nomid, abra Políticas e selecione a política piloto.
- Abra a aba Apps e experiência e selecione Apps nesta política.
- Selecione Adicionar App. Escolha Adicionar via Pacote, digite
zscaler.com.zscalere confira se Zscaler Client Connector aparece abaixo do campo. Selecione Adicionar. Você também pode escolher Adicionar via Play Store e procurar o Zscaler Client Connector no Google Play gerenciado.
Digite o nome do pacote e confira se o resultado é o Zscaler Client Connector antes de adicioná-lo.
- O Zscaler Client Connector passa a aparecer na lista com os selos Novo e Configurável. Configurável indica que o app publica configurações gerenciadas. O rodapé do painel mostra Editado. Salve a política para aplicar até você salvar. A opção de instalação ao lado do app começa como Obrigatório, que instala o app e o mantém no dispositivo. Opcional, Bloqueado e os demais controles do app estão descritos em 4. Políticas — Policy 2.0.
Abrir as configurações gerenciadas
Selecione a engrenagem ao lado do Zscaler Client Connector na lista. O editor Configurações gerenciadas lista todos os campos que a versão instalada do Zscaler publica. O Google Play fornece essa lista a partir do app, por isso ela pode mudar quando o Zscaler lançar uma nova versão.
- Cada campo mostra o título e o nome da chave. No app do Zscaler, o título é o próprio nome da chave, e só alguns campos têm descrição. No Portal em português, as descrições dos campos do Zscaler aparecem em inglês. O botão ao lado da chave copia um link para aquele campo.
- Todo campo do Zscaler é uma caixa de texto, inclusive os que aceitam
0ou1: digite o número. - Valor padrão mostra o valor que o app declara. É apenas informativo: o editor não o envia.
- Um campo que você deixa vazio não envia nada, e o app mantém o próprio comportamento. O botão de limpar em um campo preenchido remove o valor dele.
- Use a caixa de filtro para encontrar uma chave, e Todos, Preenchido ou Não Preenchido para revisar o que você preencheu. Expandir Tudo e Recolher tudo abrem ou fecham todos os campos.
- Apagar todas as configurações limpa todos os valores do Zscaler nesta política.
- Salvar mantém seus valores na edição da política; Cancelar pede confirmação e depois sai do editor sem eles. Nenhuma das duas envia algo aos dispositivos até você salvar a política.
Cada campo mostra o nome da chave documentado pelo Zscaler. Deixe o campo vazio, a menos que precise dele.
Chaves de configuração gerenciada
O editor mostra 15 campos. As tabelas os agrupam por finalidade. Os formatos de valor e os números de versão vêm de Supported Parameters for Zscaler Client Connector for Android, do Zscaler, exceto onde uma linha disser o contrário.
Inscrição e login
| Chave | Valor | Efeito |
|---|---|---|
userDomain |
Domínio, por exemplo example.com |
O domínio da sua organização, exatamente como aparece no NameID do SAML: para john.doe@corp.example.com, informe corp.example.com. As pessoas pulam a página de inscrição e, com login único, vão direto ao seu provedor de identidade. Se um mesmo provedor de identidade atende a vários domínios, informe o domínio principal. |
cloudName |
Nome da nuvem sem .net, em minúsculas, por exemplo zscalertwo |
Envia o tráfego para essa nuvem do Zscaler e pula a escolha da nuvem durante a inscrição. Deixe vazio se a sua organização estiver provisionada em uma só nuvem; o app a encontra. A inscrição automática exige este campo. |
userName |
Nome de usuário sem o domínio, até 255 caracteres, por exemplo j.doe |
Preenche o nome de usuário na inscrição. Exige userDomain. Você pode usar uma variável dinâmica do Nomid; veja Uso de Variáveis Dinâmicas em Managed Configurations. |
deviceToken |
Device token do Zscaler Admin Console | Usa o Zscaler Admin Console como provedor de identidade, de modo que o Zscaler provisiona e faz o login das pessoas sem um provedor de identidade próprio. Vale apenas para Internet & SaaS; o Private Access não o aceita. Crie o token e conclua a configuração do provedor de identidade no Zscaler Admin Console antes. Veja o aviso abaixo. |
autoEnrollWithMDM |
0, 1 ou 2 |
Inscreve o dispositivo sem interação da pessoa quando o Zscaler Admin Console é o provedor de identidade. 0 desativa, 1 inscreve toda vez, mesmo depois que alguém sai da conta, e 2 inscreve uma única vez. Com 1 ou 2, defina também deviceToken, cloudName e userDomain. Sem userName, o app pede acesso aos contatos para ler o nome da conta Google. |
Aviso sobre o device token: qualquer pessoa que consiga ver a política no Portal consegue ler o token, e a política envia o mesmo token para todos os dispositivos dela. Trate-o como uma credencial: nunca o mostre em capturas de tela ou chamados de suporte, e dê Editar política e acesso de visualização da política somente a quem precisa.
Identidade e postura do dispositivo
| Chave | Valor | Efeito |
|---|---|---|
externalDeviceId |
Texto, por exemplo %serial_number%; 0 desativa (padrão do Zscaler) |
Vincula o dispositivo no Nomid MDM ao mesmo dispositivo no Zscaler Admin Console. Uma variável dinâmica do Nomid, como %serial_number% ou %imei%, dá a cada dispositivo o seu próprio valor. Zscaler Client Connector 3.7 ou posterior. |
Ownership |
Até 32 letras e números, por exemplo examplecorp |
O valor que um perfil de postura de dispositivo do Zscaler do tipo Ownership Variable verifica. Defina-o somente se usar esse tipo de postura. |
Segurança e rede
| Chave | Valor | Efeito |
|---|---|---|
enableFips |
1 ou 0 (padrão 0) |
1 faz o app usar bibliotecas compatíveis com FIPS para falar com o Zscaler. Use somente se a sua organização exigir FIPS. |
allowRunningOnRootedDevice |
1 ou 0 (padrão 0) |
1 permite que o app rode em um dispositivo com root; 0 o bloqueia. Zscaler Client Connector 3.7 ou posterior. O nome anterior desta chave no Zscaler era allowZccOnRootedDevice. |
allowRunningOnEmulator |
1 ou 0 (padrão 0) |
1 permite que o app rode em um emulador; 0 o bloqueia. O nome anterior desta chave no Zscaler era allowZccOnEmulator. |
customDNS |
Endereço IP, por exemplo 192.0.2.53 |
O app usa esse servidor DNS no lugar do próprio DNS do dispositivo. |
httpAuthAllowedHosts |
Nomes de host separados por vírgulas, por exemplo proxy.example.com,idp.example.com |
Somente esses hosts podem pedir autenticação HTTP Basic ou um certificado de cliente na página de login; o app cancela esses pedidos feitos por outros hosts. Informe nomes de host sem https:// nem caminho, e sem *. Um nome também cobre seus subdomínios. Zscaler Client Connector 4.2 ou posterior. |
trustUserCACerts |
1 ou 0 (padrão 1) |
Segundo a descrição do próprio app: 0 limita as chamadas do app ao Zscaler às autoridades certificadoras pré-instaladas no dispositivo; 1 também confia em certificados instalados pela pessoa ou pelo MDM, o que você precisa quando o certificado raiz da sua inspeção SSL é instalado dessa forma. A página de parâmetros do Zscaler não lista esta chave. |
Campos que o Zscaler não documenta para Android
O editor também mostra enableUiSwitch (padrão 1) e mdmPreLoginDefaultUi (padrão 1). O app Android os publica sem descrição, e a página de parâmetros do Zscaler não os lista. Deixe-os vazios, a menos que o suporte do Zscaler confirme o que fazem na sua versão.
Exemplo de política para dispositivos compartilhados da linha de frente
Este exemplo inscreve dispositivos compartilhados sem login, usando o Zscaler Admin Console como provedor de identidade. Ele cobre apenas Internet & SaaS: para o Private Access, defina userDomain e deixe a equipe entrar com o seu login único. Substitua o domínio, o nome da nuvem e o token pelos seus valores.
| Chave | Valor | Motivo |
|---|---|---|
userDomain |
example.com |
Pula a página de inscrição. |
cloudName |
zscalertwo |
Obrigatório para a inscrição automática. |
deviceToken |
Seu device token | Permite que o Zscaler provisione e faça o login do dispositivo sozinho. |
userName |
%serial_number% |
Dá a cada dispositivo o seu próprio nome de usuário, para que o app não peça acesso aos contatos à equipe. |
autoEnrollWithMDM |
1 |
O dispositivo se inscreve de novo se alguém sair da conta. |
externalDeviceId |
%serial_number% |
Relaciona o dispositivo no Zscaler Admin Console com o do Nomid MDM. |
O Nomid MDM substitui %serial_number% no dispositivo, conforme Uso de Variáveis Dinâmicas em Managed Configurations. No dispositivo piloto, confira se o Zscaler mostra o número de série e não o texto %serial_number%.
Use Preenchido para revisar todos os valores antes de salvar. O token exibido é o exemplo da documentação do Zscaler.
Salvar e aplicar a política
- No editor de configurações gerenciadas, selecione Salvar e depois Concluído no painel de apps.
- Selecione Salvar no cabeçalho da política, revise a lista de alterações e confirme.
- Os dispositivos vinculados recebem a política quando sincronizam. Sem inscrição automática, as pessoas então abrem o app e fazem login para se inscrever, como descrevem os guias de implantação do Zscaler.
Opcional: VPN sempre ativa
O Zscaler informa que, quando o app é a VPN sempre ativa, ele pode proteger o tráfego do dispositivo antes da inscrição. Para configurar, escolha o Zscaler Client Connector como app de VPN em Conectividade > Roteamento de tráfego > VPN sempre ativa, conforme 4. Políticas — Policy 2.0. Deixe Bloquear conexões sem a VPN desligado até o dispositivo piloto se inscrever e reconectar de forma confiável. Com ele ligado, um dispositivo desconectado do Zscaler fica sem rede, o que também pode impedir atualizações da política.
Verificar no dispositivo
- Em Dispositivos, abra o dispositivo piloto, execute uma sincronização e confirme que o Zscaler Client Connector está instalado.
- No dispositivo, abra o Zscaler Client Connector. Com
userDomaindefinido, a página de inscrição não aparece: o app abre o login do seu provedor de identidade, ou se inscreve sozinho com a inscrição automática. ComcloudNamedefinido, o app não pede que você escolha uma nuvem. - No Zscaler Admin Console, encontre o dispositivo e confirme o nome de usuário e, se você o definiu, o ID externo do dispositivo.
- No dispositivo, abra um site que a sua política do Zscaler bloqueia ou inspeciona, e um app interno, para confirmar que o tráfego passa pelo Zscaler e que os apps da empresa continuam funcionando.
Solução de problemas
| Problema | Causa provável | O que fazer |
|---|---|---|
| Sem o selo Configurável ou sem campos no editor | O pacote não foi encontrado no Google Play, ou a lista ainda não carregou. | Remova o app, adicione-o de novo com zscaler.com.zscaler e confira se o Zscaler Client Connector aparece como resultado. |
| Os valores não chegam ao app | A política não foi salva ou o dispositivo não sincronizou. | Salve a política e sincronize o dispositivo em Dispositivos. |
| A página de inscrição continua aparecendo | userDomain está vazio ou não corresponde ao domínio do NameID do SAML. |
Informe o domínio exato, por exemplo corp.example.com para john.doe@corp.example.com. |
| O app pede que você escolha uma nuvem | A sua organização está em mais de uma nuvem e cloudName está vazio ou errado. |
Informe o nome da nuvem em minúsculas e sem .net, por exemplo zscalertwo. |
| A inscrição automática não inicia | Falta deviceToken, cloudName ou userDomain, a configuração do provedor de identidade do token está incompleta, ou você usa apenas o Private Access. |
Preencha as três chaves e conclua a configuração do provedor de identidade no Zscaler Admin Console. Use login único para o Private Access. |
| O app pede acesso aos contatos | A inscrição automática está ativa e userName está vazio. |
Defina userName. |
O Zscaler mostra %serial_number% como texto |
O Nomid MDM ainda não substituiu a variável no dispositivo. | Sincronize o dispositivo e veja Uso de Variáveis Dinâmicas em Managed Configurations. |
| O app não consegue acesso à VPN | Configurações de VPN está como Bloqueado na política, ou outra VPN está em execução. | Defina Configurações de VPN como Permitido em Conectividade e salve a política. Desconecte qualquer outra VPN e abra o app de novo. |
| A página de login falha atrás de um proxy ou com um certificado de cliente | O host não está em httpAuthAllowedHosts. |
Adicione o nome do host, sem https://, e salve a política. |
| O app não alcança o Zscaler em dispositivos onde o certificado raiz da sua inspeção SSL é instalado pelo MDM | trustUserCACerts está como 0. |
Limpe o campo ou defina como 1. |
| O app não inicia em um dispositivo de teste | O dispositivo tem root ou é um emulador. | Use um dispositivo compatível, ou defina allowRunningOnRootedDevice ou allowRunningOnEmulator como 1 somente para testes. |
| O dispositivo fica sem internet depois de ativar a VPN sempre ativa | Bloquear conexões sem a VPN está ligado e o Zscaler não está inscrito ou conectado. | Desligue o bloqueio na política, salve e inscreva o app de novo. |
Desfazer a configuração
- Para deixar de enviar um valor, limpe o campo e salve a política.
- Apagar todas as configurações remove todos os valores do Zscaler desta política depois que você salva.
- Para remover o app, mude a instalação para Bloqueado, conforme 4. Políticas — Policy 2.0, e salve.
Veja também
- 4. Políticas — Policy 2.0: apps e roteamento de tráfego
- 4.1 Políticas de tablets — Classic: configuração gerenciada do app
- 3. Dispositivos: sincronização e apps instalados
- Uso de Variáveis Dinâmicas em Managed Configurations
- Zscaler: Supported Parameters for Zscaler Client Connector for Android (em inglês)
- Zscaler: Customizing Zscaler Client Connector with Install Options for Android (em inglês)