この記事は、ユーザーのためのシングルサインオン（SSO）と、Cato管理アプリケーションおよびブラウザアクセスのサブドメインを構成する方法を説明します。
アカウントのシングルサインオンプロバイダーの概要
アクセス > シングルサインオン画面では、アカウントのためにシングルサインオン（SSO）プロバイダーを設定できます。これらのプロバイダーを使用して、Catoクライアント、ブラウザアクセス、エンタープライズブラウザ、ブラウザ拡張機能ユーザー、およびCato管理画面の管理者を認証します。
サポートされているSSOプロバイダーのリストについては、シングルサインオンをご覧ください。
アカウント内のユーザーに対するSSO認証設定を選択できます。ユーザーをSSOプロバイダーでのみ認証させるか、Catoのユーザー資格情報でのみ認証させるか、またはどちらのオプションでも認証させるかを選択できます。
Cato管理アプリケーションの管理者には、SSOプロバイダーのユーザー名（管理者のメールアドレス）が認証プロセスの一部として使用されます。 Cato管理アプリケーションの管理者アカウントとSSOプロバイダーアカウントで同じメールアドレスを使用することを確認してください。
アカウント用に複数のSSOプロバイダーを設定することができます。詳しくは、複数のアイデンティティプロバイダーを設定するをご覧ください。
注: Catoクライアントユーザー、ブラウザアクセスユーザー、エンタープライズブラウザユーザー、ブラウザ拡張ユーザー、およびCato管理アプリケーション管理者には異なる認証設定を選択できます。複数のSSOプロバイダーをアカウントに設定できます。複数のアイデンティティプロバイダーの設定を参照してください。
Cato管理アプリケーションでのシングルサインオンの使用
Cato管理アプリケーションの管理者に対するSSO認証設定を有効にする詳細については、管理者用認証設定の構成をご覧ください。
アカウント用のサブドメインをカスタマイズする
ユーザーが会社のログインウィンドウを特定しやすいように、アカウント用のカスタムサブドメインを作成できます。同じサブドメインがCato管理アプリケーションとクライアントレスSDPポータルに使用されます。以下のCatoサブドメインの設定を参照してください。
Catoクライアント用のSSO設定を構成する
注: アカウントのSSOプロバイダーとして設定する前に、AzureとOktaでSSOアプリを設定することを確認してください。詳しくは、以下を参照してください：
シングルサインオンウィンドウを使用して、アカウントのユーザーを認証するためのSSOプロバイダーを設定します。 Microsoft AzureとOktaでSSO設定を構成するには、管理者権限が必要です。 AzureおよびOkta SSOの設定に関する詳しい情報については、MicrosoftおよびOktaの関連ドキュメントを参照してください。
シングルサインオンを無効にすると、ユーザーはCatoのユーザー資格情報でのみ認証できます。
SSOで認証することが許可されるドメインを設定することができます。特定のドメインに基づくアクセス制限は、アカウントのセキュリティを向上させます。
ベストセキュリティプラクティスとして、SSOトークンの有効期間の上限は30日に設定することをお勧めします。 SSOセッション動作の詳細については、Windows SDPクライアント用SSOセッション動作をご覧ください。
常時プロンプトとSSOの使用
追加のセキュリティとして、常時プロンプト機能を有効にすることで、エンドユーザーをCato Cloudに接続する際にIdPへの認証を常に要求します。これには、クライアントが別のPoPに移動するなど、Cato Cloudから切断された場合も含まれます。
エンドユーザーが再認証を強制される前に、デバイスがCato Cloudに連続して接続されることが許可される時間の最大量を設定します。常時プロンプトが有効の場合、エンドユーザーは切断して再接続した後、認証を強制されるまでのすべての期間を持ちます。
注: 切断時には、Cato Cloudに再接続する場合、エンドユーザーが認証されたままでいられる2分間の猶予期間があります。
アカウント用のシングルサインオンプロバイダーを構成する
重要
重要: AzureとOktaでSSOアプリを構成してから、アカウントのSSOプロバイダーとして設定することを確認してください。詳しくは、以下を参照してください：
シングルサインオンウィンドウを使用して、アカウントのユーザーを認証するためのSSOプロバイダーを設定します。 Microsoft AzureとOktaでSSO設定を構成するには、管理者権限が必要です。 AzureおよびOkta SSOの設定に関する詳細は、関連するMicrosoftおよびOktaのドキュメントをご覧ください。
シングルサインオンを無効化すると、ユーザーはCatoのユーザ資格情報でのみ認証できます。
SSOで認証することが許可されるドメインを設定することができます。特定のドメインに基づくアクセス制限は、アカウントのセキュリティを向上させます。
アカウントのSSOプロバイダー設定を構成するには：
ナビゲーションメニューからアクセス > シングルサインオンを選択します。
新規をクリックします。
SSOプロバイダー設定のいずれかで続行します。さらに詳しくは、シングルサインオンをご覧ください。
一つのシングルサインオンプロバイダーを設定する場合は、デフォルトトグルを有効にします。複数のシングルサインオンプロバイダーを設定する場合は、複数のアイデンティティプロバイダーを設定するをご覧ください。
適用をクリックします。
アカウント内の一つまたは複数のユーザータイプに対して、シングルサインオンでのログインを許可を選択します：
SDPクライアントユーザ（トークンの有効期間を設定）
クライアントレスSDPユーザー（クッキータイプを設定）
Cato管理アプリケーションの管理者
保存をクリックします。 SSO設定がアカウントに構成されました。
Catoサブドメインの設定
シングルサインオンウィンドウを使用して、Cato管理アプリケーションおよびクライアントレスSDPポータルのサブドメインを設定します。各ログインウィンドウのURLも確認できます。
Catoサブドメインは、サンプル.comなどのトップレベルドメイン（TLD）をサポートしていません。サブドメインでは文字と数字を使用できます。ダッシュはアカウントが初めて作成されたときに（初期的にサブドメインはアカウント名に一致）有効です。後でサブドメインを編集しようとすると、ダッシュは許可されなくなり、エラーメッセージが表示されます。
注: サブドメインを変更した場合、すべてのログインは新しいサブドメインを使用してCato管理アプリケーションおよびSDPユーザポータルにログインする必要があります。
アカウントのサブドメインを構成するには：
ナビゲーションメニューからアクセス > シングルサインオンをクリックします。
Catoサブドメインセクションで、アカウントのサブドメインを入力します。
保存をクリックします。
Cato管理アプリケーションでのサブドメインへのログイン
管理者は、https:/<subdomain>.cc.catonetworks.comのサブドメインを含むURLを使用してCato管理アプリケーションにログインできます。
管理者がhttps://cc.catonetworks.comからログインする場合、サブドメインを識別するための追加のウィンドウがあります。
サブドメインを使用してCato管理アプリケーションにログインするには：
インターネットブラウザから、Cato管理アプリケーション
https:/<subdomain>.cc.catonetworks.comにアクセスします。下のスクリーンショットには、サブドメインサンプルのURLが示されています。
ログインウィンドウでユーザ名とパスワードを入力します。
ログインをクリックします。
Cato管理アプリケーションがサブドメインで開かれます。