こんにちは、セキュリティチームのHitomiです。
Netskope Clientのアンインストール保護パスワードを入力してアンインストールしようとしたら、これまで通っていたはずのパスワードが通らずに失敗する。
この原因は入力側ではなくテナント側の仕様変更でした。
しかも、リリースノートを探してもこの変更は載っていません。今回はお問い合わせで判明した内容を、運用への影響とあわせて整理します。
はじめにまとめ
- R137から、Client Configurationの
ADMIN PASSWORD（アンインストール保護パスワード）に複雑性要件が強制されるようになりました（Netskopeサポート回答で確認） - 要件は「8文字以上／大文字・小文字・数字を各1文字以上／
@$!%*#?&の記号を1文字以上」 - 新要件を満たさない既存パスワードは、端末側で正しく入力してもアンインストールが拒否されます。既存パスワードは新要件を満たすものへ変更が必要です
- この変更はR137.0.0／R137.1.0のリリースノートに記載がありません（2026年8月13日時点、弊社確認）
何が起きたか
端末側の事象を調査するため、管理画面でアンインストール保護パスワードを設定し直そうとしたところ、今度は従来問題なく設定できていた形式のパスワード（大文字を含まない等）が受け付けられない事象を確認しました。
再現手順は次のとおりです。
- Netskopeの管理コンソールから
Settings > Security Cloud Platform > Netskope Client > Client Configurationにアクセスし、対象のClient Configurationを編集する TAMPERPROOFタブを選択するPassword protect Client uninstallationを有効化するADMIN PASSWORDフィールドに、これまで使用していた従来形式のパスワードを入力する- 入力直後または保存時に「The password must contain at least one number.」等のバリデーションエラーが表示され、保存できない
UI上では、入力したパスワードに不足している条件がその場で表示されます。エラー文言は不足している文字種によって変わります。
パスワード要件について
UIのエラー表示だけでは要件の全体像が分からなかったため、Netskopeサポートに問い合わせました。回答として提示されたパスワード要件は次のとおりです。
| 項目 | 要件 |
|---|---|
| 最小文字数 | 8文字以上 |
| 文字種 | 大文字・小文字・数字をそれぞれ1文字以上 |
| 記号 | @$!%*#?& のうち1文字以上 |
| 適用開始 | R137から |
なお、公式ドキュメントのClient ConfigurationおよびSecure Tenant Configuration and Hardeningのページには、2026年8月13日時点でこの文字種要件の記載がありません。上記はサポート回答に基づく情報です。
［出典: Netskope Client Configuration、Secure Tenant Configuration and Hardening］
要件を満たさないパスワードは使えません
管理画面で新しく設定できないだけなら、既存の設定はそのまま使い続ければいい・・・そう考えたくなりますが、そうはいかないというのがサポート回答のいちばん重要な部分でした。
新しい複雑性ルールを満たしていない旧パスワードを端末のアンインストール時に入力した場合、パスワード自体が正しくても、アンインストールは拒否されます（Netskopeサポート回答）。
つまり要件を満たさないパスワードは、実質的にすでに使えない状態となっているため、「設定変更を保留する」という選択肢はありません。旧形式のパスワードを使い続けている環境は、端末の廃棄・入れ替え・トラブルシュートでアンインストールが必要になったその瞬間に詰まります。
対応手順
やることはシンプル。まず現在の ADMIN PASSWORD が新要件を満たしているかを確認します。パスワード管理ツールなどで設定したパスワードを保存して把握しており、すでに要件を満たしていれば変更は不要です。
満たしていない場合や確認できない場合は新要件準拠の値へ変更し、それを関係箇所へ行き渡らせます。
① 管理画面でパスワードを変更するSettings > Security Cloud Platform > Netskope Client > Client Configuration から対象の構成を開き、TAMPERPROOF タブの ADMIN PASSWORD を新要件を満たす値に変更して保存します。Client Configurationを複数運用している場合は、Default tenant config を含めて全プロファイルを棚卸ししてください。
② 端末への反映を待つ
Netskope Clientは既定で1時間ごとに設定を確認し、更新を取り込みます。全端末に行き渡るまでの間は、端末ごとに新旧どちらのパスワードが有効かが異なる時間帯が生じます。［出典: Netskope Client Configuration］
③ パスワードを埋め込んだ資産を更新する
アンインストールスクリプト、パスワード管理台帳、キッティング・退役手順書など、旧パスワードが残っている場所をすべて更新します。
適用開始時期はいつから？
では、どのリリースで入った変更なのかというと、サポート回答では「R137から適用」とのことでした。
弊社でR137.0.0およびR137.1.0のリリースノート（What's New／Fixed Issues／Known Issues）を確認しましたが、この変更に関する記載は見当たりませんでした。管理画面の挙動が「ある日突然変わった」ように見えるのはこのためです。
なお、自テナントの現在のバージョンは Settings > General で確認できます。
まとめ
今回は、R137でアンインストール保護パスワード（ADMIN PASSWORD）に複雑性要件が追加され、既存の旧形式パスワードは「正しくても」拒否されるようになった変更をご紹介しました。
やるべきことのまとめです。
- 現在の
ADMIN PASSWORDが新要件（8文字以上・大文字/小文字/数字を各1以上・@$!%*#?&を1以上）を満たしているか確認し、満たしていなければ準拠する値へ変更する（すでに満たしていれば変更不要） - スクリプト・台帳・手順書に埋め込んだ旧パスワードをすべて更新する
- ヘルプデスクに「旧パスワードは正しくても拒否される」ことを周知する
セキュリティが強化されること自体は良いことだと思います。ただ、今回のようにリリースノートに載らないまま、運用に直結する挙動が変わると、管理者としては「聞いてないんだけど」となりますし、実際に運用にも影響しますよね。
運用に支障が出る変更こそ、サイレントで展開するのではなく事前にアナウンスしてほしい・・・というのが率直な気持ちです。
