Mac の GlobalProtect がログイン時に接続される：変更する方法

Mac を開くと GlobalProtect がすでに接続されている、あるいはサインインするたびに再接続されます。アプリ側で先に確認を求められることはありません。これを引き起こしている設定は ポータルのエージェント設定にあり、あなたのユーザーアカウントにあるのではなく、あなたが編集すべきファイルに保存されているわけでもありません。見えているのは、user-logon という接続方式がその役割を果たしている結果です。

どの方式が割り当てられているかを知れば、何を変更でき、何を申請すべきかが分かります。

症状はポリシーを指し示す

ポータルのエージェント設定が GlobalProtect の接続タイミングを決めており、選べる二つの方式は、あなたを待つ On-Demand と、サインイン後に接続する User-logon（Always On）です。ポータルは対応する管理対象デバイスで Pre-logon（Always On）を提供できる場合もありますが、ご自身でサインインする Mac では対象外です。ひとりでに接続するマシンは、ほぼ常に user-logon です。アプリ自身の環境設定が状態を表示することはありますが、状態を所有しているわけではないため、クライアント側でチェックを外しても次のポリシー更新で元に戻ります。ポータルは接続時と更新のたびに方式を配信するので、クライアント側の変更は設計上一時的なものです。

ポリシーが常に優先されます。

二つの方式を並べて比較

On-Demand は、アプリがまだ手動と表記している場合もありますが、あなたが接続をクリックするまで何も接続しない方式です。User-logon は、Mac への認証後にトンネルが立ち上がる方式で、保護されないまま閲覧する時間帯をなくせるため、多くの管理された端末群が望むものです。そのトレードオフは、まさにあなたが気づいた症状、つまり必要だと決める前にトンネルが存在することです。どちらの方式もトンネルが到達できる範囲を変えるものではなく、いつ立ち上がるかだけを決めます。

業務で On-Demand 接続が必要なら、それは設定変更ではなくポリシー変更の申請です。

目的が一時的な切断である場合

一部の配備ではアプリに Disconnect コントロールが表示され、Palo Alto Networks はそれを Mac Disconnect ガイド でアプリ バージョン 6.0 以降について文書化しています。表示されるのは、エージェント設定が許可している場合だけです。その設定では、理由、パスコード、ヘルプデスクのチケットを求めることも、切断を続けられる時間や頻度を制限することもあります。

サービスを停止するのではなく、そのワークフローを完了してください。停止は切断のように見えて、ポリシー違反のように振る舞います。

強制されたトンネルを切断すると通信は通常のネットワーク経路に戻るため、キャプティブポータルを調べているときには覚えておく価値があります。

launch agent を編集すると何が壊れるか

よくある回避策は、アプリが起動しないように launch agent の RunAtLoad や KeepAlive キー、あるいは非公開のポータル設定を編集することです。次のポリシー更新やアプリ更新までは動いているように見えるかもしれません。しかしその後、アプリと管理ポリシーが食い違い、サポートが推論できない状態になります。さらに、組織が承認していない構成をマシンに残すことになります。

起動ウィンドウを隠すのはまた別の申請で、それには専用のサポートされたインターフェース設定があります。

何を正確に申請すべきか

On-Demand を名前で指定するか、条件付きで承認された Disconnect ワークフロー、あるいはログインウィンドウを抑制するサポートされた方法を申請してください。曖昧な申請には間違った回答が返り、また plist の編集に戻ることになります。Disconnect コントロールは 6.0 以降でのみ文書化されているため、実行しているアプリのバージョンも伝えてください。

Disconnect オプションがない、あるいはアプリがすぐに再接続する場合は、割り当てられたエージェント設定を IT に持ち込み、自分のグループにはどの方式が適用されるのかを確認してください。