NomidEsta guía muestra cómo instalar Zscaler Client Connector para Android (zscaler.com.zscaler) en dispositivos de la empresa administrados por Nomid MDM y cómo configurarlo con configuraciones gestionadas. Zscaler llama a estos valores opciones de instalación o parámetros (install options o parameters). Con ellos, la app puede omitir la página de inscripción y la elección de la nube, inscribir dispositivos sin inicio de sesión, vincular cada dispositivo con su registro en la Zscaler Admin Console y aplicar sus opciones de seguridad.
Zscaler admite estos valores solo cuando la app se implementa desde Google Play en dispositivos Android Enterprise, que es como Nomid MDM la instala. Una copia instalada desde un archivo APK no se puede preconfigurar.
Los pasos usan el editor Policy 2.0. En el editor Classic, los mismos campos se abren con el engranaje de la tarjeta de la app; consulte 4.1 Políticas de tablets — Classic.
Riesgo: Zscaler Client Connector envía el tráfico del dispositivo a través de Zscaler. Un dominio, un nombre de nube o un servidor DNS erróneos, un ajuste de certificados que no coincida con su inspección SSL, o una VPN siempre activa que bloquee el resto del tráfico pueden cortar el acceso a las apps de la empresa y a la administración del dispositivo. Pruebe cada cambio en una política piloto con un solo dispositivo antes de vincular la política a la flota.
Antes de empezar
- Una empresa Android Enterprise en Nomid MDM con dispositivos totalmente gestionados o con perfil de trabajo, y el permiso Editar política en la política que va a cambiar.
- Dispositivos con Android 8.0 o posterior, el mínimo que Zscaler indica en sus guías de implementación para Android.
- Una organización de Zscaler y acceso a la Zscaler Admin Console.
- Los valores que piensa usar: el dominio de su organización tal como aparece en el SAML NameID, el nombre de su nube de Zscaler si su organización está aprovisionada en más de una nube, y un device token si va a usar la Zscaler Admin Console como proveedor de identidad.
- Ajustes de VPN en Permitido dentro de Conectividad en la política, o Zscaler Client Connector elegido como app de VPN siempre activa. Una app de VPN necesita acceso a la VPN de Android; en nuestro dispositivo piloto, con otra app de VPN, Bloqueado impidió que la app lo obtuviera. Permitido también deja que quien usa el dispositivo añada, edite o elimine VPN.
- Una política piloto vinculada a un único dispositivo de prueba, para que un valor erróneo afecte solo a ese dispositivo.
Añadir Zscaler Client Connector a la política
- En el Portal de Nomid, abra Políticas y seleccione la política piloto.
- Abra la pestaña Aplicaciones y experiencia y seleccione Aplicaciones en esta política.
- Seleccione Añadir aplicación. Elija Añadir desde Paquete, escriba
zscaler.com.zscalery compruebe que Zscaler Client Connector aparece debajo del campo. Seleccione Añadir. También puede elegir Añadir desde Play Store y buscar Zscaler Client Connector en Google Play gestionado.
Escriba el nombre del paquete y compruebe que el resultado es Zscaler Client Connector antes de añadirlo.
- Zscaler Client Connector aparece en la lista con las etiquetas Nuevo y Configurable. Configurable indica que la app publica configuraciones gestionadas. El pie del panel muestra Editado. Guarde la política para aplicarla hasta que guarde. La opción de instalación junto a la app empieza como Obligatorio, que instala la app y la mantiene en el dispositivo. Opcional, Bloqueado y los demás controles de la app se describen en 4. Políticas — Policy 2.0.
Abrir las configuraciones gestionadas
Seleccione el engranaje junto a Zscaler Client Connector en la lista. El editor Configuraciones gestionadas muestra todos los campos que publica la versión instalada de Zscaler. Google Play obtiene esta lista de la propia app, así que puede cambiar cuando Zscaler publique una nueva versión.
- Cada campo muestra su título y el nombre de la clave. En la app de Zscaler, el título es el propio nombre de la clave, y solo algunos campos tienen descripción. En el Portal en español, esas descripciones aparecen en español. El botón junto a la clave copia un enlace a ese campo.
- Todos los campos de Zscaler son cuadros de texto, también los que admiten
0o1: escriba el número. - Valor por defecto muestra el valor que declara la app. Es solo informativo: el editor no lo envía.
- Un campo que deja vacío no envía nada, y la app mantiene su propio comportamiento. El botón de borrar de un campo relleno elimina su valor.
- Use el cuadro de filtro para encontrar una clave, y Todos, Lleno o No Lleno para revisar lo que ha rellenado. Use Expandir Todo y Contraer todo para abrir o cerrar todos los campos.
- Eliminar todas configuraciones borra todos los valores de Zscaler en esta política.
- Guardar conserva sus valores en la edición de la política; Cancelar pide confirmación y después sale del editor sin ellos. Ninguna de las dos envía nada a los dispositivos hasta que guarde la política.
Cada campo muestra el nombre de clave que documenta Zscaler. Deje el campo vacío salvo que lo necesite.
Claves de configuración gestionada
El editor muestra 15 campos. Las tablas los agrupan por finalidad. Los formatos de los valores y los números de versión proceden de Supported Parameters for Zscaler Client Connector for Android de Zscaler, salvo que una fila indique otra cosa.
Inscripción e inicio de sesión
| Clave | Valor | Efecto |
|---|---|---|
userDomain |
Dominio, por ejemplo example.com |
El dominio de su organización, exactamente como aparece en el SAML NameID: para john.doe@corp.example.com, escriba corp.example.com. Las personas omiten la página de inscripción y, con inicio de sesión único, van directamente a su proveedor de identidad. Si un mismo proveedor de identidad atiende varios dominios, escriba el dominio principal. |
cloudName |
Nombre de la nube sin .net, en minúsculas, por ejemplo zscalertwo |
Envía el tráfico a esa nube de Zscaler y omite la elección de la nube durante la inscripción. Déjelo vacío si su organización está aprovisionada en una sola nube; la app la encuentra. La inscripción automática lo necesita. |
userName |
Nombre de usuario sin el dominio, hasta 255 caracteres, por ejemplo j.doe |
Rellena el nombre de usuario para la inscripción. Necesita userDomain. Puede usar una variable dinámica de Nomid; consulte Uso de Variables Dinámicas en Configuraciones Gestionadas. |
deviceToken |
Device token de la Zscaler Admin Console | Usa la Zscaler Admin Console como proveedor de identidad, de modo que Zscaler aprovisiona e inicia la sesión de los usuarios sin un proveedor de identidad propio. Se aplica solo a Internet & SaaS; Private Access no lo admite. Cree antes el token y termine la configuración del proveedor de identidad en la Zscaler Admin Console. Lea el aviso siguiente. |
autoEnrollWithMDM |
0, 1 o 2 |
Inscribe el dispositivo sin intervención de la persona cuando la Zscaler Admin Console es el proveedor de identidad. 0 lo desactiva, 1 inscribe cada vez, incluso después de cerrar sesión, y 2 inscribe una sola vez. Con 1 o 2, defina también deviceToken, cloudName y userDomain. Sin userName, la app pide acceso a los contactos para poder leer el nombre de la cuenta de Google. |
Aviso sobre el device token: cualquier persona que pueda ver la política en el Portal puede leer el token, y la política envía el mismo token a todos los dispositivos que incluye. Trátelo como una credencial: no lo muestre nunca en capturas de pantalla ni en tickets de soporte, y dé el permiso Editar política y el acceso para ver la política solo a quienes lo necesiten.
Identidad y estado del dispositivo
| Clave | Valor | Efecto |
|---|---|---|
externalDeviceId |
Texto, por ejemplo %serial_number%; 0 lo desactiva (valor por defecto de Zscaler) |
Vincula el dispositivo en Nomid MDM con el mismo dispositivo en la Zscaler Admin Console. Una variable dinámica de Nomid como %serial_number% o %imei% da a cada dispositivo su propio valor. Zscaler Client Connector 3.7 o posterior. |
Ownership |
Hasta 32 letras y números, por ejemplo examplecorp |
El valor que comprueba un perfil de device posture de Zscaler del tipo Ownership Variable. Defínalo solo si usa ese tipo de posture. |
Seguridad y red
| Clave | Valor | Efecto |
|---|---|---|
enableFips |
1 o 0 (por defecto 0) |
1 hace que la app use bibliotecas compatibles con FIPS para comunicarse con Zscaler. Úselo solo si su organización exige FIPS. |
allowRunningOnRootedDevice |
1 o 0 (por defecto 0) |
1 permite que la app se ejecute en un dispositivo con root; 0 lo bloquea. Zscaler Client Connector 3.7 o posterior. El nombre anterior de esta clave en Zscaler era allowZccOnRootedDevice. |
allowRunningOnEmulator |
1 o 0 (por defecto 0) |
1 permite que la app se ejecute en un emulador; 0 lo bloquea. El nombre anterior de esta clave en Zscaler era allowZccOnEmulator. |
customDNS |
Dirección IP, por ejemplo 192.0.2.53 |
La app usa este servidor DNS en lugar del propio del dispositivo. |
httpAuthAllowedHosts |
Nombres de host separados por comas, por ejemplo proxy.example.com,idp.example.com |
Solo estos hosts pueden pedir autenticación HTTP Basic o un certificado de cliente en la página de inicio de sesión; la app cancela esas solicitudes de otros hosts. Escriba los nombres de host sin https:// ni ruta, y sin *. Un nombre también cubre sus subdominios. Zscaler Client Connector 4.2 o posterior. |
trustUserCACerts |
1 o 0 (por defecto 1) |
Según la propia descripción de la app: 0 limita las llamadas de la app a Zscaler a las entidades certificadoras preinstaladas en el dispositivo; 1 confía también en los certificados que instaló la persona usuaria o el MDM, lo que necesita si el certificado raíz de su inspección SSL se instala de esa forma. La página de parámetros de Zscaler no incluye esta clave. |
Campos que Zscaler no documenta para Android
El editor también muestra enableUiSwitch (por defecto 1) y mdmPreLoginDefaultUi (por defecto 1). La app de Android los publica sin descripción, y la página de parámetros de Zscaler no los incluye. Déjelos vacíos salvo que el soporte de Zscaler confirme qué hacen en su versión.
Ejemplo de política para dispositivos compartidos de primera línea
Este ejemplo inscribe dispositivos compartidos sin inicio de sesión, usando la Zscaler Admin Console como proveedor de identidad. Cubre solo Internet & SaaS: para Private Access, defina userDomain y deje que el personal inicie sesión con su inicio de sesión único. Sustituya el dominio, el nombre de la nube y el token por los suyos.
| Clave | Valor | Motivo |
|---|---|---|
userDomain |
example.com |
Omite la página de inscripción. |
cloudName |
zscalertwo |
Necesario para la inscripción automática. |
deviceToken |
Su device token | Permite que Zscaler aprovisione e inicie la sesión del dispositivo por sí solo. |
userName |
%serial_number% |
Da a cada dispositivo su propio nombre de usuario, de modo que la app no pida acceso a los contactos al personal. |
autoEnrollWithMDM |
1 |
El dispositivo se vuelve a inscribir si alguien cierra sesión. |
externalDeviceId |
%serial_number% |
Hace coincidir el dispositivo en la Zscaler Admin Console con el de Nomid MDM. |
Nomid MDM sustituye %serial_number% en el dispositivo, como se describe en Uso de Variables Dinámicas en Configuraciones Gestionadas. En el dispositivo piloto, compruebe que Zscaler muestra el número de serie y no el texto %serial_number%.
Use Lleno para revisar todos los valores antes de guardar. El token que se muestra es el ejemplo de la documentación de Zscaler.
Guardar y aplicar la política
- En el editor de configuraciones gestionadas, seleccione Guardar y después Listo en el panel de aplicaciones.
- Seleccione Guardar en la cabecera de la política, revise la lista de cambios y confirme.
- Los dispositivos vinculados reciben la política cuando se sincronizan. Sin inscripción automática, las personas abren después la app e inician sesión para inscribirse, como describen las guías de implementación de Zscaler.
Opcional: VPN siempre activa
Zscaler indica que, cuando la app es la VPN siempre activa, puede proteger el tráfico del dispositivo antes de la inscripción. Para configurarlo, elija Zscaler Client Connector como app de VPN en Conectividad > Enrutamiento de tráfico > VPN siempre activa, como se describe en 4. Políticas — Policy 2.0. Deje Bloquear conexiones sin la VPN desactivado hasta que el dispositivo piloto se inscriba y se reconecte de forma fiable. Con el bloqueo activado, un dispositivo que no está conectado a Zscaler se queda sin red, lo que también puede detener las actualizaciones de la política.
Verificar en el dispositivo
- En Dispositivos, abra el dispositivo piloto, ejecute una sincronización y confirme que Zscaler Client Connector está instalado.
- En el dispositivo, abra Zscaler Client Connector. Con
userDomaindefinido, la página de inscripción no aparece: la app abre el inicio de sesión de su proveedor de identidad, o se inscribe sola con la inscripción automática. ConcloudNamedefinido, la app no pide elegir una nube. - En la Zscaler Admin Console, busque el dispositivo y confirme el nombre de usuario y, si lo definió, el ID externo del dispositivo.
- Desde el dispositivo, abra un sitio que su política de Zscaler bloquee o inspeccione, y una app interna, para confirmar que el tráfico pasa por Zscaler y que las apps de la empresa siguen funcionando.
Solución de problemas
| Problema | Causa probable | Qué hacer |
|---|---|---|
| No aparece la etiqueta Configurable o el editor no tiene campos | El paquete no se resolvió en Google Play, o la lista aún no se ha cargado. | Quite la app, vuelva a añadirla con zscaler.com.zscaler y compruebe que Zscaler Client Connector aparece como resultado. |
| Los valores no llegan a la app | La política no se guardó o el dispositivo no se ha sincronizado. | Guarde la política y sincronice el dispositivo en Dispositivos. |
| La página de inscripción sigue apareciendo | userDomain está vacío o no coincide con el dominio del SAML NameID. |
Escriba el dominio exacto, por ejemplo corp.example.com para john.doe@corp.example.com. |
| La app pide elegir una nube | Su organización está en más de una nube y cloudName está vacío o es incorrecto. |
Escriba el nombre de la nube en minúsculas y sin .net, por ejemplo zscalertwo. |
| La inscripción automática no se inicia | Falta deviceToken, cloudName o userDomain, la configuración del proveedor de identidad del token está incompleta, o usa solo Private Access. |
Rellene las tres claves y termine la configuración del proveedor de identidad en la Zscaler Admin Console. Use el inicio de sesión único para Private Access. |
| La app pide acceso a los contactos | La inscripción automática está activada y userName está vacío. |
Defina userName. |
Zscaler muestra %serial_number% como texto |
Nomid MDM aún no ha sustituido la variable en el dispositivo. | Sincronice el dispositivo y consulte Uso de Variables Dinámicas en Configuraciones Gestionadas. |
| La app no obtiene acceso a la VPN | Ajustes de VPN está en Bloqueado en la política, u otra VPN está en ejecución. | Ponga Ajustes de VPN en Permitido dentro de Conectividad y guarde la política. Desconecte cualquier otra VPN y vuelva a abrir la app. |
| La página de inicio de sesión falla detrás de un proxy o con un certificado de cliente | El host falta en httpAuthAllowedHosts. |
Añada el nombre del host, sin https://, y guarde la política. |
| La app no llega a Zscaler en dispositivos donde el MDM instala el certificado raíz de su inspección SSL | trustUserCACerts es 0. |
Vacíe el campo o póngalo en 1. |
| La app no se inicia en un dispositivo de prueba | El dispositivo tiene root o es un emulador. | Use un dispositivo compatible, o ponga allowRunningOnRootedDevice o allowRunningOnEmulator en 1 solo para pruebas. |
| El dispositivo se queda sin internet tras activar la VPN siempre activa | Bloquear conexiones sin la VPN está activado y Zscaler no está inscrito o conectado. | Desactive el bloqueo en la política, guarde y vuelva a inscribir la app. |
Deshacer la configuración
- Para dejar de enviar un valor, vacíe el campo y guarde la política.
- Eliminar todas configuraciones quita todos los valores de Zscaler de esta política cuando la guarda.
- Para quitar la app, cambie su instalación a Bloqueado, como se describe en 4. Políticas — Policy 2.0, y guarde.
Véase también
- 4. Políticas — Policy 2.0: aplicaciones y enrutamiento de tráfico
- 4.1 Políticas de tablets — Classic: configuración gestionada de la app
- 3. Dispositivos: sincronización y apps instaladas
- Uso de Variables Dinámicas en Configuraciones Gestionadas
- Zscaler: Supported Parameters for Zscaler Client Connector for Android (en inglés)
- Zscaler: Customizing Zscaler Client Connector with Install Options for Android (en inglés)