この記事では、内部ネットワーク上のADユーザーの可視性を向上させるためにUser Awarenessを設定する方法を説明します。
User Awarenessの概要
Cato管理画面は、ユーザーがCatoクライアントに認証したために企業ネットワークに接続しているリモートユーザーを簡単に識別できます。 しかし、サイトの背後にいるユーザーにとっては、彼らがクライアントと接続していないので、IPアドレスやコンピュータ名しか見ることができません。 内側のアナリティクスを使用するには、名前（姓や名前）の個人情報が必要です。 User Awareness機能はActive Directory（AD）と統合され、IPアドレスとユーザー名の相関関係を作成します。 PoPはDCのログインログをクエリし、ユーザーを彼らのコンピューターのIPアドレスにマッピングできます。 ユーザーデータはほぼリアルタイムで使用でき、遅延はわずか30秒です。 User Awarenessによりトポロジウィンドウとアナリティクスで、内部ユーザーの名前が表示され、IPアドレスだけではありません。
User Awarenessを設定する準備
User Awarenessを有効にする前に、ドメインのディレクトリサービスを設定する必要があります。 ディレクトリサービスの構成について詳しくは、LDAPによるユーザーのプロビジョニングを参照してください。
監査ポリシーが、ユーザーアウェアネスがWindowsセキュリティログで使用するイベントIDと一緒に構成され、ユーザーをIPアドレスにマッピングするように設定されていることを確認してください。 詳細については、ディレクトリサービスとユーザーアウェアネスのエラーと問題のトラブルシューティングを参照してください。
次のセクションでは、サードパーティのファイアウォールの背後にあるIPsecサイトのためのUser Awarenessの設定方法を説明します。 IPsecサイトを持っていない場合は、リアルタイムドメインコントローラーの定義を続けてください。
User Awareness同期のためのサードパーティファイアウォールを設定する
User Awarenessの同期では固定IPアドレスをシステム範囲用に使用します。 DCへのアクセスを制御するためにサードパーティのファイアウォールを使用する顧客は、すべてのポートとサービスのため、このIPアドレスを許可するようにファイアウォール設定を更新する必要があります。 ユーザーアウェアネスの同期に使用するIPアドレスは、デフォルトのシステム範囲またはカスタムシステム範囲を使用するアカウントによって異なります。
Cato CloudでのDNSサーバー用のデフォルトおよびカスタム範囲について詳しくは、Cato CloudでのDNSフローの取り扱いを参照してください。
デフォルトのシステム範囲を使用するアカウント
Cato Networks用に予約されているデフォルトのシステム範囲は10.254.254.0/24です。 このデフォルト範囲を使用するアカウントでは、ユーザーアウェアネス同期のための固定IPアドレスは：10.254.254.12です。
カスタムシステム範囲を使用するアカウント
デフォルトではなくカスタムシステム範囲を使用するアカウントでは、ユーザーアウェアネス同期に基づいて固定IPアドレスを計算するためにカスタム範囲を使用します。 固定IPアドレスはカスタム範囲における9番目です。 例として、カスタム予約範囲が10.10.10.0/16である場合、固定IPアドレスは10.10.10.9です。
より小さいIP範囲を使用するアカウントでも、カスタム範囲で9番目を使用します。 例えば、カスタム予約範囲が10.200.200.64/28である場合、固定IPアドレスは10.200.200.73 (10.200.200.64 + x.x.x.9) です。
共有ホストでのUser Awareness
User Awarenessは、四つの異なるユーザーが同一デバイスに二時間内にサインインすることを検出した場合、そのデバイスは共有ホストと見なされます。 ファイアウォールとネットワークルールは、すべての共有ホストユーザーグループやホストIPアドレスに適用され、SDPユーザーのルールに適用されません。
リアルタイムドメインコントローラーの定義
WMIクエリをリアルタイムで監視するWMIコントローラーをドメインコントローラー（DC）上で定義します。
サイトの背後にあるADsのため、ドメインコントローラー（DC）をそのサイトのホストとして定義するように確認してください（Networks > Site Settings > Host）。
注：
複数のDCを使用するアカウントでは、リアルタイムドメインコントローラーにログインイベントを追加するために全てのDCを追加する必要があります。
リアルタイムドメインコントローラーを定義するには：
ナビゲーションメニューから、Access > User Awarenessをクリックします。
リアルタイムドメインコントローラーのセクションまたはタブで、新規をクリックします。
リアルタイムドメインコントローラー追加パネルが開きます。
ドメインコントローラーのドロップダウンメニューからADドメインを選択します。
その場所に応じて、DCへの接続設定を定義します：
サイトの背後に定義されているホスト上のDC用に、内部ホストを選択し、LDAPサーバーの静的ホストを選択します
サイトの背後にいないDC用に、外部IPまたはドメインを選択し、DCのIPアドレスまたはドメインを入力します
注：
DCにはパブリックIPアドレスを使用する必要があります。
ADユーザーのユーザ名とパスワードを入力します。
OKをクリックします。 リアルタイムドメインコントローラーがUser Awareness設定に追加され、Cato Cloudにプッシュされます。
各ドメインコントローラーに対して前の手順を繰り返します。
ドメインコントローラー接続ステータスのテスト
リアルタイムドメインコントローラーを定義した後、接続ステータスをテストし、Cato管理画面およびCato CloudがDCに接続できることを確認します。
ポップアップウィンドウは、接続が成功したか、Cato CloudがDCとの接続に失敗したかを表示します。
注：
サイトの背後にある定義済みホストのDCの場合にのみ接続ステータスをテストすることができます。
リアルタイムドメインコントローラーの接続ステータスをテストするには：
ナビゲーションメニューから、Access > User Awarenessをクリックします。
リアルタイムドメインコントローラータブで、ドメインの接続列から、接続テストをクリックします。
ポップアップウィンドウは接続テストの結果を表示します。
User Awarenessのためにドメインを同期する
User Awarenessのために同期されているドメインのADグループを定義します。 ADを毎日自動的に同期するか、手動でのみ同期を行うか選択できます。 User Awarenessの同期設定は、アカウント内のすべてのドメインで同じである必要があります。
ドメインのADグループまたはユーザーが削除された場合、ルールまたはグループで使用されていない限り、アカウントは無効になります。 ディレクトリサービスの同期設定について詳しくは、SCIMおよびLDAPを使用したユーザーのプロビジョニングを参照してください。
Active Directory GroupsのUser Awarenessの定義
ADドメイン内のUser Awarenessのために同期されるユーザーを含むADグループを選択し、日々の同期設定を定義します。
リアルタイムドメインコントローラーが設定されているか、アイデンティティエージェントが有効になっている場合にのみ、ユーザーはCatoアカウントに同期されます（Access > User Awareness > Identity Agent）。
User Group名にはsAMAccountName属性がCato管理画面で使用されます。
User Awarenessと同期されたADグループを定義するには：
ナビゲーションメニューから、Access > Directory Servicesをクリックします。
LDAPタブまたはセクションを選択し、ドメインをクリックします。
パネルが開きます。
パネルナビゲーションメニューから、ユーザーグループを選択します。
親グループを選択すると、ネストされたグループも同期されます
User AwarenessのためのADグループを選択します。
注: グループが選択されていない場合、すべてのADグループがUser Awarenessのためにインポートされます。
User Awarenessグループを自動的に同期するには、
User Awarenessグループの日次同期有効化してください。適用をクリックします。
リアルタイムドメインコントローラーの削除
リアルタイムドメインコントローラーを削除するには：
ナビゲーションメニューから、Access > User Awarenessをクリックします。
リアルタイムドメインコントローラーセクションまたはタブで、ドメインの行にある
をクリックします。保存をクリックします。 リアルタイムドメインコントローラーは削除されました。