この記事は、SDPユーザー、クライアントレスユーザー、およびCato管理アプリケーション(CMA)管理者のアカウントに対してMicrosoft Entra IDをシングルサインオン(SSO)プロバイダーとして設定する方法を説明します。
SSOは、ユーザーが認証され、ネットワークへの接続が許可されていることを検証するために、CatoとユーザーのIdPからの暗号化されたトークンに依存しています。より詳細については、Catoのユーザー向けSSO認証を参照してください。
アカウントのためにSSOを有効にする方法については、アカウントのためのSSOとサブドメインの設定を参照してください。
シングルサインオンの設定
Catoシングルサインオン（SSO）を使用すると、Catoユーザーは既存のアイデンティティプロバイダー（IdP）の資格情報を使用でき、Cato Networksからの専用の資格情報は必要ありません。ユーザーはEntraで定義された電子メールアドレスまたはUPN（ユーザプリンシパル名）を使用してCatoに接続することができます。
CatoアカウントとSSOの概要
Cato、IdP、および会社のユーザーディレクトリの間で信頼の連鎖が確立されると、Catoはユーザー認証のためにIdPを信頼します。
Cato SSOは以下のクライアントオペレーティングシステムをサポートします：
Windows
macOS
iOS
Android
Linux
既知の制限事項
中国で21Vianet によって運営されているEntra SSOはサポートされていません。
Entra で SSO を設定するための準備
Entra と信頼を確立する前に、次の前提条件を完了することを確認してください：
SSO統合を設定する管理者は、Entra IDへの認証が可能であり、Azureテナントのグローバル管理者または特権ロール管理者の権限を持っている必要があります。
注: CMA管理者にEntra IDアカウントがない場合、統合は失敗します。
LDAPのために、EntraはあなたのCatoアカウント内のユーザーディレクトリと同期されている必要があります。
手動で作成されたSDPユーザーに対して、Windows v5.x、macOS v5.x、およびLinux v5.x クライアントでは、SSOがサポートされています
iOSおよびAndroidで、LDAPまたはSCIMプロビジョニングを使用して組織からCatoにインポートされたユーザーのみがSSOを使用できます
各 Entra ユーザーの プロフィール には、有効な 電子メール アドレスが必要です。
MicrosoftとのSSOの設定
このセクションでは、CMA から Microsoft Entra での SSO の設定方法について説明します。
MicrosoftアカウントのためのSSOの設定方法：
ナビゲーションメニューから、アクセス > シングルサインオンを選択します。
新規をクリックします。
アイデンティティプロバイダー ドロップダウンメニューから、Microsoft Entra を選択します。
名前を入力します。
適用をクリックし、シングルサインオンページで保存をクリックします。
シングルサインオンページで、作成したプロバイダーをクリックします。
Microsoftの同意設定をクリックします。
要求された権限ポップアップウィンドウが表示されます。
注: 適用をクリックし、次にクリック 保存. 次に、Microsoftの同意設定リンクを有効にするためにエントリを編集します。
要求された権限ポップアップウィンドウで、承認するをクリックします。以下を参照してください。
CMA によって Entra テナントを Cato アカウントと関連付けるように求められた場合、確認 をクリックします。
単一のシングルサインオンプロバイダーを設定する場合、デフォルトトグルを有効にします。複数のシングルサインオンプロバイダーを設定する場合、複数のアイデンティティプロバイダーの設定を参照してください
適用をクリックします。
あなたのアカウントのユーザータイプに対して、1つまたは複数の種類のシングルサインオンログインを許可を選択します：
Cato クライアント ユーザー（トークンの有効期間を設定）
クライアントレスSDPユーザー（クッキータイプを設定）
ブラウザ拡張機能ユーザー
Cato管理アプリケーション管理者
保存をクリックします。あなたのアカウントのEntra SSO設定が構成されました。
Catoの権限の付与
このセクションでは、Cato 管理アプリケーションを使用して Microsoft Entra ID または Office 365 と SSO を有効にする方法を説明します。
ユーザーを識別するために、Catoはユーザーデータへのアクセスの同意を要求します。構成プロセスの一環として、管理者は、ユーザーの代わりにCato SSOアプリケーションにデータへのアクセスを許可しなければなりません。これにより、テナントでの管理者権限は提供されません。詳しくは、Microsoftドキュメントを参照してください。
Catoに対してテナント全体の管理者同意を付与するには、組織を代表して同意を与える権限を持つユーザー（グローバル管理者または特権ロール管理者）として Entra に署名する必要があります。詳細情報は、Microsoftドキュメントをご覧ください。
Cato クライアント ユーザーに対して、トークン有効期間設定を日または時で定義することにより、ユーザーが認証されたままの時間を指定します。ログインしているユーザーは、最後のログインから定義した日数または時間に達すると、再認証する必要があります。常にプロンプトオプションは、ユーザーが常にクライアントに認証する必要があることを意味します。
必須権限
SSOを有効にするためには、Catoに次の権限を付与する必要があります。これらの権限は、構成プロセス中にCatoによって自動的に要求されます。エンタープライズアプリケーションを手動で作成する必要はありません。
API名 | クレーム値 | 権限 |
|---|---|---|
Microsoft Graph | 電子メール | ユーザーのメールアドレスを表示 |
Microsoft Graph | offline_access | 指定されたデータへのアクセスを維持 |
Microsoft Graph | openid | ユーザーをサインインさせる |
Microsoft Graph | プロフィール | ユーザーの基本的なプロフィールを表示 |
Entra SSO 接続のトラブルシューティング
問題 | 考えられる原因 | 解決策 |
|---|---|---|
AADSTS50105: サインインしたユーザーがロールに割り当てられていません… | Entra ID アプリケーション設定が Cato アプリケーションについて正しく構成されていません。 |
|
ユーザーは資格を入力し、認証なしでログインページに戻されます | この Entra ユーザーの プロフィール に有効な 電子メール アドレスがありません。 | このユーザーのために Entra の プロフィール に有効なメールアドレスを追加します。 |
AADSTS90008: ユーザーまたは管理者がアプリケーションの利用に同意していません | Entraテナントでのユーザーデータへのアクセスに対する同意をCatoに付与していません。 | ユーザーデータへのアクセスに対する同意をCatoに与えます。詳細については、Entra とのシングルサインオンのために必要な更新 を参照してください。 |
記事のチェンジログ
日付 | 説明 |
|---|---|
2026年10月11日 |
|