あなたのアカウントのためのAzure SSOの設定

この記事は、SDPユーザー、クライアントレスユーザー、そしてCato管理アプリケーション(CMA)管理者のアカウントに対してAzureをシングルサインオン(SSO)プロバイダーとして設定する方法を説明します。

SSOは、ユーザーが認証され、ネットワークへの接続が許可されていることを検証するために、CatoとユーザーのIdPからの暗号化されたトークンに依存しています。 より詳細については、Catoのユーザー向けSSO認証を参照してください。

アカウントのためにSSOを有効にする方法については、アカウントのためのSSOとサブドメインの設定を参照してください。

シングルサインオンの設定

Catoシングルサインオン（SSO）を使用すると、Catoユーザーは既存のアイデンティティプロバイダー（IdP）の資格情報を使用でき、Cato Networksからの専用の資格情報は必要ありません。 ユーザーはAzureで定義された電子メールアドレスまたはUPN（ユーザープリンシパル名）を使用してCatoに接続することができます。

CatoアカウントとSSOの概要

Cato、IdP、および会社のユーザーディレクトリの間で信頼の連鎖が確立されると、Catoはユーザー認証のためにIdPを信頼します。

Cato SSOは以下のクライアントオペレーティングシステムをサポートします：

• Windows

• macOS

• iOS

• Android

• Linux

既知の制限事項

• 中国のAzureはサポートされていません

AzureでのSSOの設定準備

Azureと信頼を確立する前に、以下の前提条件を完了してください：

• Azureにはグローバル管理者または特権ロール管理者の特権が必要であり、AzureおよびCMAのための同じメールを使用しています

  注: CMA管理者にEntra IDアカウントがない場合、統合は失敗します。

• LDAPのために、AzureはCatoアカウント内のユーザーディレクトリと同期されている必要があります

• 手動で作成されたSDPユーザーに対して、Windows v5.x、macOS v5.x、およびLinux v5.x クライアントでは、SSOがサポートされています

  • iOSおよびAndroidで、LDAPまたはSCIMプロビジョニングを使用して組織からCatoにインポートされたユーザーのみがSSOを使用できます

• 各Azureユーザーのプロフィールには、有効な電子メールアドレスが必要です。

MicrosoftとのSSOの設定

このセクションでは、Cato管理アプリケーションからMicrosoft AzureでのSSOの設定方法について説明します。

MicrosoftアカウントのためのSSOの設定方法：

1. ナビゲーションメニューから、アクセス > シングルサインオンを選択します。

2. 新規をクリックします。

3. アイデンティティプロバイダードロップダウンメニューから、Microsoft Azureを選択します。

4. 名前を入力します。

5. 適用をクリックし、シングルサインオンページで保存をクリックします。

6. シングルサインオンページで、作成したプロバイダーをクリックします。

7. Microsoftの同意設定をクリックします。

   要求された権限ポップアップウィンドウが表示されます。

   注: 適用をクリックし、次にクリック 保存. 次に、Microsoftの同意設定リンクを有効にするためにエントリを編集します。

   

8. 要求された権限ポップアップウィンドウで、承認するをクリックします。 以下を参照してください。 

9. CMAによってAzureテナントをCatoアカウントと関連付けるように求められた場合、確認をクリックします。

10. 単一のシングルサインオンプロバイダーを設定する場合、デフォルトトグルを有効にします。 複数のシングルサインオンプロバイダーを設定する場合、複数のアイデンティティプロバイダーの設定を参照してください

11. 適用をクリックします。

12. あなたのアカウントのユーザータイプに対して、1つまたは複数の種類のシングルサインオンログインを許可を選択します：

    • SDPクライアントユーザー（トークンの有効性を設定）

    • クライアントレスSDPユーザー（クッキータイプを設定）

    • ブラウザ拡張機能ユーザー

    • Cato管理アプリケーション管理者

13. 保存をクリックします。 あなたのアカウントのAzure SSO設定が構成されました

Catoの権限の付与

このセクションでは、Cato管理アプリケーションを使用してMicrosoft Azure ADまたはOffice 365とSSOを有効にする方法を説明します。

ユーザーを識別するために、Catoはユーザーデータへのアクセスの同意を要求します。 構成プロセスの一環として、管理者は、ユーザーの代わりにCato SSOアプリケーションにデータへのアクセスを許可しなければなりません。 これにより、Azureテナントでの管理者権限は提供されません。 詳しくは、Microsoftドキュメントを参照してください。

Catoに対してテナント全体の管理者同意を付与するには、組織を代表して同意を与える権限を持つユーザー（グローバル管理者または特権ロール管理者）としてAzureに署名する必要があります。 詳細情報は、Microsoftドキュメントをご覧ください。

SDPクライアントユーザーに対して、トークンの有効性設定を利用して、ユーザーが認証されたままでいる時間を日または時間で定義します ログインしているユーザーは、最後のログインから定義した日数または時間に達すると、再認証する必要があります。 常時プロンプトオプションは、ユーザーが常にクライアントに対して認証を求められることを意味します。

Azure SSO接続のトラブルシューティング