この記事では、ユーザーのアカウントに対するシングルサインオン（SSO）や、Cato管理アプリケーションおよびブラウザアクセスのサブドメインを設定する方法を説明します。
アカウントのシングルサインオンプロバイダーの概要
アクセス > シングルサインオン 画面では、アカウントのための単一シングルサインオン(SSO)プロバイダーを選択できます。 このSSOプロバイダーを使用して、Cato クライアント、ブラウザアクセス、およびCato管理アプリケーションへの管理者ユーザーを認証することができます。
サポートされているSSOプロバイダーのリストについては、シングルサインオンをご覧ください。
アカウント内のユーザーに対するSSO認証設定を選択できます。 ユーザーをSSOプロバイダーでのみ認証させるか、Catoのユーザー資格情報でのみ認証させるか、またはどちらのオプションでも認証させるかを選択できます。
Cato管理アプリケーションの管理者には、SSOプロバイダーのユーザー名（管理者のメールアドレス）が認証プロセスの一部として使用されます。 Cato管理アプリケーションの管理者アカウントとSSOプロバイダーアカウントで同じメールアドレスを使用することを確認してください。
アカウント用に複数のSSOプロバイダーを設定することができます。 詳しくは、複数のアイデンティティプロバイダーを設定するをご覧ください。
注: SDPユーザー、クライアントレスSDP、Cato管理アプリケーションの管理者ごとに異なる認証設定を選択できますが、すべて同じSSOプロバイダーを使用します。
Cato管理アプリケーションでのシングルサインオンの使用
Cato管理アプリケーションの管理者に対するSSO認証設定を有効にする詳細については、管理者用認証設定の構成をご覧ください。
アカウント用のサブドメインをカスタマイズする
ユーザーが会社のログインウィンドウを簡単に識別できるように、アカウントにカスタムサブドメインを作成できます。 同じサブドメインがCato管理アプリケーションとクライアントレスSDPポータルに使用されます。 以下を参照してください、Catoサブドメインの設定。
Catoクライアント用のSSO設定を構成する
注: アカウントのSSOプロバイダーとして設定する前に、AzureとOktaでSSOアプリを設定することを確認してください。 詳しくは、以下を参照してください：
シングルサインオンウィンドウを使用して、アカウントのユーザーを認証するためのSSOプロバイダーを設定します。 Microsoft AzureとOktaでSSO設定を構成するには、管理者権限が必要です。 AzureおよびOkta SSOの設定に関する詳細は、関連するMicrosoftおよびOktaのドキュメントをご覧ください。
シングルサインオンを無効にすると、ユーザーはCatoのユーザー資格情報でのみ認証できます。
SSOで認証することが許可されるドメインを設定することができます。 特定のドメインに基づくアクセス制限は、アカウントのセキュリティを向上させます。
ベストセキュリティプラクティスとして、SSOトークンの有効期間の上限は30日に設定することをお勧めします。 SSOセッション動作の詳細については、Windows SDPクライアント用SSOセッション動作をご覧ください。
常時プロンプトとSSOの使用
追加のセキュリティとして、常時プロンプト機能を有効にすることができます。これにより、エンドユーザーはCato Cloudに接続する際にIdPに認証が常に必要となります。 これには、クライアントが別のPoPに移動するなど、Cato Cloudから切断された場合も含まれます。
エンドユーザーが再認証を強制される前に、デバイスがCato Cloudに連続して接続されることが許可される時間の最大量を設定します。 常時プロンプトが有効な場合、エンドユーザーが切断して再接続すると、その時間の長さが満たされるまで認証が必要です。
注: 切断時に、エンドユーザーがCato Cloudに再接続する場合、認証されたままでいるための2分間の猶予期間があります。
アカウント用のシングルサインオンプロバイダーを構成する
重要
重要: AzureとOktaでSSOアプリを構成してから、アカウントのSSOプロバイダーとして設定することを確認してください。 詳しくは、以下を参照してください：
シングルサインオンウィンドウを使用して、アカウントのユーザーを認証するためのSSOプロバイダーを設定します。 Microsoft AzureとOktaでSSO設定を構成するには、管理者権限が必要です。 AzureおよびOkta SSOの設定に関する詳細は、関連するMicrosoftおよびOktaのドキュメントをご覧ください。
シングルサインオンを無効にすると、ユーザーはCatoのユーザー資格情報でのみ認証できます。
SSOで認証することが許可されるドメインを設定することができます。 特定のドメインに基づくアクセス制限は、アカウントのセキュリティを向上させます。
アカウントのSSOプロバイダー設定を構成するには：
ナビゲーションメニューからアクセス > シングルサインオンを選択します。
新規をクリックします。
SSOプロバイダー設定のいずれかで続行します。 さらに詳しくは、シングルサインオンをご覧ください。
一つのシングルサインオンプロバイダーを設定する場合は、デフォルトトグルを有効にします。 複数のシングルサインオンプロバイダーを設定する場合は、複数のアイデンティティプロバイダーを設定するをご覧ください。
適用をクリックします。
アカウント内の一つまたは複数のユーザータイプに対して、シングルサインオンでのログインを許可を選択します：
SDPクライアントユーザ（トークンの有効期間を設定）
クライアントレスSDPユーザー（クッキータイプを設定）
Cato管理アプリケーションの管理者
保存をクリックします。 SSO設定がアカウントに構成されました。
Catoサブドメインの設定
シングルサインオンウィンドウを使用して、Cato管理アプリケーションおよびクライアントレスSDPポータルのサブドメインを設定します。 各ログインウィンドウのURLも確認できます。
Catoサブドメインは、サンプル.comなどのトップレベルドメイン（TLD）をサポートしていません。 サブドメインでは文字と数字を使用できます。 ダッシュはアカウントが初めて作成されたときに（初期的にサブドメインはアカウント名に一致）有効です。 後でサブドメインを編集しようとすると、ダッシュは許可されなくなり、エラーメッセージが表示されます。
注: サブドメインを変更した場合、すべてのログインは新しいサブドメインを使用してCato管理アプリケーションおよびSDPユーザポータルにログインする必要があります。
アカウントのサブドメインを構成するには：
ナビゲーションメニューからアクセス > シングルサインオンをクリックします。
Catoサブドメインセクションで、アカウントのサブドメインを入力します。
保存をクリックします。
Cato管理アプリケーションでのサブドメインへのログイン
管理者は、https:/<subdomain>.cc.catonetworks.comのサブドメインを含むURLを使用してCato管理アプリケーションにログインできます。
管理者がhttps://cc.catonetworks.comのURLでログインする場合、サブドメインを識別するためのウィンドウが追加されます。
サブドメインを使用してCato管理アプリケーションにログインするには：
インターネットブラウザから、Cato管理アプリケーション
https:/<subdomain>.cc.catonetworks.comにアクセスします。下のスクリーンショットには、サブドメインサンプルのURLが示されています。
ログインウィンドウでユーザ名とパスワードを入力します。
ログインをクリックします。
Cato管理アプリケーションがサブドメインで開かれます。