Disabilita moduli client sicuri indesiderati per macOS e Windows

Introduzione

In questo documento viene descritto il processo di installazione di Cisco Secure Client e viene spiegato come scegliere tra i moduli di sicurezza opzionali.

Panoramica

Secure Client contiene diversi moduli di sicurezza opzionali, tra cui Umbrella. Notare che è necessario installare almeno sia il modulo Core VPN* che il modulo Umbrella.

*La funzionalità VPN può essere disabilitata facoltativamente durante l'installazione, ma il modulo deve ancora essere installato.

Installazione manuale

Durante l'installazione manuale, l'utente può semplicemente selezionare i moduli desiderati* durante l'installazione guidata.

27186566210836

* È necessario selezionare Umbrella. Se "Core e AnyConnect VPN" è disabilitato, la funzionalità VPN è disabilitata, ma il modulo Core VPN stesso è ancora installato in quanto fornisce i driver sottostanti per Umbrella.

Installazione automatica di Windows

In Windows, il pacchetto pre-distribuzione contiene diversi file MSI per ciascun modulo. Pertanto, è sufficiente installare i file MSI desiderati (Core + Umbrella).

Dettagli nell'articolo Cisco Secure Client (Windows) - Esercitazione sull'installazione automatizzata

Installazione automatica Mac OSX

Quando viene eseguito in modo automatico, il pacchetto pre-distribuzione per Mac OSX installa tutti i moduli Secure Client. Se implementati tramite strumenti di automazione, è probabile che siano installati altri moduli Secure Client che potrebbero essere indesiderati. In questo scenario, il pacchetto pre-distribuzione deve essere estratto e personalizzato sugli endpoint MAC in modo da installare solo i moduli desiderati.

Panoramica

Le istruzioni comprendono le seguenti fasi principali:

1. Creare un pacchetto .dmg scrivibile.
2. Creare un file install_options.xml da utilizzare durante l'installazione per controllare i moduli installati.
3. Aggiungere un file ACTransforms.xml personalizzato al pacchetto per disabilitare la funzionalità VPN.
4. Aggiungere il profilo Umbrella (OrgInfo.json) al pacchetto che consente al client di registrarsi.
5. Riconvertire la raccolta in DMG di sola lettura.
6. Installare il pacchetto tramite CLI, fornendo il file install_options.xml personalizzato.

Passaggio 1. Convertire il pacchetto .dmg

Convertire il pacchetto .dmg da uno stato di sola lettura in lettura/scrittura, utilizzando Disk Utility o hdiutil come mostrato nell'immagine.

hdiutil convert cisco-secure-client-macos-<version>-predeploy-k9.dmg -format UDRW -o csc-writeable.dmg

27106629330836

Passaggio 2. Eseguire il file convertito

Eseguire il file convertito sc-writeable.dmg per montare l'immagine DMG. In questo modo viene creato un volume con il contenuto scrivibile del DMG.

27106629341972

Passaggio 3. Generare il file install_options.xml

Il file install_options.xml configura i moduli installati e può essere fornito come argomento di installazione per le installazioni CLI e basate su script. Il file install_options.xml allegato configura solo i moduli richiesti (Umbrella + VPN).

Se lo si desidera, è possibile generare e configurare il proprio file install_options.xml (anziché utilizzare quello allegato) utilizzando questo comando:

installer -pkg /volumes/Cisco\ Secure\ Client\ <version>/Cisco\ Secure\ Client.pkg -showChoiceChangesXML > ~/Downloads/install_choices.xml 

27106629347732

Passaggio 4. Estrarre le opzioni di installazione

Il file install_options.xmlestratto può essere modificato per abilitare il modulo desiderato. In questo esempio vengono attivati i moduli Umbrella+VPN richiesti.

4403651529492

Nota: Il file xml installa i moduli VPN (che verranno nascosti in seguito), Umbrella Roaming Security e DART impostando il valore intero su 1 e il resto su 0.

Passaggio 5. Apportare modifiche al file ACTransforms.xml per nascondere la funzionalità VPN

Per nascondere il modulo VPN, modificare ACTransforms.xml:

/Volumes/Cisco\ Secure\ Client\ <versione>/Profiles/ACTransforms.xml

Nella cartella dei profili, il file ACTransforms.xml deve rimuovere il commento dalla riga <disablevpn>true</disablevpn>.

Contenuto del file ACTransforms.xml:

<!-- Optional AnyConnect installer settings are provided here. Uncomment the setting(s) to perform optional action(s) at install time. -->
<Transforms>
<!-- <DisableVPN>true</DisableVPN> -->
<!-- <DisableCustomerExperienceFeedback>true</DisableCustomerExperienceFeedback> -->
</Transforms>

Passaggio 6. Installare il profilo Umbrella

Scarica il tuo profilo del modulo Umbrella (OrgInfo.json) da Umbrella Dashboard (Distribuzioni > Computer mobili > Download). È necessario eseguire il provisioning del profilo affinché il client possa eseguire la registrazione con il dashboard e la funzione Umbrella.  L'inclusione nel pacchetto di installazione evita di doverlo distribuire come attività post-installazione.

Salvare il profilo in /Volumes/Cisco\ Secure\ Client\ <version>/Profiles/umbrella/OrgInfo.json

27106774340628

Passaggio 7. Riconvertire il pacchetto in sola lettura

Espellere il volume DMG e utilizzare hdiutil per convertirlo in 'sola lettura'.  Il pacchetto di sola lettura può quindi essere distribuito agli utenti finali.

diskutil eject Cisco\ Secure\ Client\ <version>
hdiutil convert csc-writeable.dmg -format UDRO -o csc-readable.dmg

27106613679252

Passaggio 8. Installare Secure Client specificando il file install_options.xml

Il file DMG può essere eseguito normalmente (in modo interattivo) o estratto tramite un'operazione di installazione automatica o controllata da script.  

1. In uno script, collegare il pacchetto DMG.
2. Utilizzare il programma di installazione per installare Cisco Secure Client.pkg. È inoltre importante specificare il file install_options.xml nell'argomento -applyChoiceChangesXML. In questo modo è possibile controllare i moduli installati.

hdiutil attach ~/Downloads/csc-readable.dmg
sudo installer -pkg Cisco\ Secure\ Client\ /Cisco\ Secure\ Client.pkg -applyChoiceChangesXML ~/Downloads/install_choices.xml -target /

27106613687572