この記事では、アカウント内のSDPユーザーに対して認証の振る舞いや多要素認証（MFA）の要件を設定する方法について説明します。
SDPクライアント認証ポリシーの概要
認証ポリシーは、ユーザーがアカウントにどのように認証するかを定義します：MFA、シングルサインオン（SSO）、またはユーザー名とパスワード。 さらに、クライアント内のブラウザまたは外部のデフォルトOSブラウザを使用して、エンドユーザーの認証体験を選択することができます。
アカウントのブラウザ認証を設定する（WindowsとmacOS）
WindowsとmacOSのデバイスの場合、組み込み型ブラウザと外部ブラウザのどちらを使用するかを設定できます。 デフォルト設定は組み込み型ブラウザの使用で、最良のエンドユーザー経験を提供します。 MFAとSSOの認証はクライアント内で完了し、その後シームレスにデバイスをCato Cloudに接続します。
アカウントのネットワーク設定によっては、組み込み型ブラウザがサポートされないことがあります。 そのような場合、デバイスで外部のデフォルトOSブラウザを使用するようにアカウントを設定できます。 エンドユーザーはクライアントで接続を開始し、OSブラウザを使ってCato Cloudに認証します。
アカウントのクライアントブラウザ認証を設定するには：
ナビゲーションメニューから、アクセス > ユーザー認証をクリックします。
追加設定タブをクリックします。
ブラウザ認証で、以下のオプションのうち1つを選択してください：
組み込み型ブラウザ - SDPユーザーはクライアント内でアカウントに認証します
外部ブラウザ - SDPユーザーはOSブラウザでアカウントに認証します
保存をクリックします。
ブラウザ認証のベストプラクティス
ブラウザ認証方式を選択する際に従うべきベストプラクティスは以下の通りです：
条件付きアクセスで外部ブラウザのみがサポートするブラウザプラグインが必要でない限り、組み込み型ブラウザが推奨されます。
適切な機能を確保するためには、常時オンが有効化されている場合に組み込み型ブラウザを使用します。 外部ブラウザを使用する場合、SSO認証に必要なすべてのドメインとIPが許可されているわけではありません。
ADFS環境では組み込み型ブラウザを使用する必要があり、さもなくばSSOは認証に使用できません。
組み込み型ブラウザは、外部ブラウザとHSTS施行との間のSSO認証に関連する問題を回避します。 詳しくは、SSO認証が外部ブラウザで失敗した場合 | localhostエラーを参照してください。
macOSまたはWindowsでOkta Verifyアプリを使用する場合には、認証に外部ブラウザを使用してください。
全てのユーザーに対する認証ポリシーの設定
Catoクライアントに接続するアカウント内のユーザーに対する認証ポリシーを定義するには、ユーザー認証画面を利用します。 SSOが有効なアカウントでは、これがデフォルトの認証ポリシーです。
以下が認証オプションです：
SSO - ユーザーはアカウントに設定済みのアイデンティティプロバイダー（IdP）を使ってSSOで認証します
MFA - ユーザーはSMSまたは認証アプリから受け取ったコードで認証する必要があります（RFC-6238に準拠）
ユーザー名とパスワード - クライアント用のユーザー名とパスワードでユーザーは認証します（MFA要件はありません）
個々のユーザーに対してMFAポリシーを上書きすることも選択できます。下記の特定ユーザー向けの認証設定の上書きを参照してください。
ディレクトリサービスを使用しており、ユーザーの携帯電話番号を高度な認証のために変更する必要がある場合、IdP内でのみ番号を変更する必要があります。
注：
登録コードを使ってプロビジョニングされたユーザーには、多要素認証（MFA）とシングルサインオン（SSO）はサポートされていません。
トークンの有効性設定のワークフロー
トークンの有効性 > 期間のオプションは、Catoクライアントを動作させているデバイスが「信頼済み」であるかどうかによります：
Catoクライアントを実行しているデバイスでユーザーが信頼を有効にしている場合（Cato Cloudへの接続時にクライアントでこのデバイス/コンピュータで再度尋ねないオプションを選択）、期間が有効で地理的な位置が別の国に変更されていない限り、MFAは求められません。
Catoクライアントを動作させているデバイスでユーザーが信頼を有効にしていない場合（Cato Cloudへの接続時にクライアントでこのデバイス/コンピュータで再度尋ねないオプションを解除）、期間設定は効果を持たず、このデバイスでは常にMFAが必要です。
注：
Windowsクライアントv5.12から、クライアントの 組み込み型ブラウザがIdPトークンを更新できるようになりました。 IdPトークンの有効期限が切れた際、再認証の要求はユーザーに表示されません。
リモートユーザーのMFAポリシーを設定するには：
ナビゲーションメニューから、アクセス > ユーザー認証をクリックします。
メソッドのドロップダウンリストで、MFAを選択します。
一般を設定し、ポリシーの認証方式を選択します：
どれでも - 各ユーザーが自身の認証方法を選択します
認証アプリ - ユーザーは認証アプリ（Google Authenticator等）を使用しなければなりません
SMS - ユーザーに認証コードを含むSMSメッセージが送信されます
トークンの有効期間セクションで、クライアントでのMFAトークンの動作を選択します：
常にプロンプト - ユーザーが接続するたびにMFAが必須です。
ログインしているユーザーは、日または時間（最後にログインした時から）で定義した期間が過ぎた場合に再認証が必要です。
期間 - ユーザーは定義した日または時間についてMFAを必要としません。
保存をクリックします。
特定のユーザーに対する認証設定の上書き
特定のユーザーに対して異なる認証設定をカスタマイズし、グローバル認証ポリシーを上書きできます。 ユーザーを編集し、認証画面を使用してそのユーザーの認証方法をカスタマイズします。
特定のユーザーに対するグローバル認証設定を上書きするには：
ナビゲーションメニューから、アクセス > ユーザーをクリックします。
ユーザーを選択し、ナビゲーションメニューからユーザー設定 > 認証を選択します。
アカウントの認証設定を上書きを選択します。
ユーザーの認証方法を選択します。
このユーザーの認証設定を構成します。
保存をクリックします。
ユーザーのMFAのリセット
必要な場合には、クライアントを新しいデバイスにインストールする際などに、ユーザーのMFA設定をリセットできます。
ユーザーのMFA設定をリセットするには：
ナビゲーションメニューから、アクセス > ユーザーをクリックします。
ユーザーリスト内で、ユーザーの名前の横にあるチェックボックスを選択します。
アクションドロップダウンメニューから、MFAリセットを選択します。
確認ウィンドウで、OKをクリックします。
ユーザーはCatoユーザーポータルへのリンクを含む電子メールを受け取ります。 ポータルにサインインした後、ユーザーはデバイスのためにMFA設定を有効化する必要があります。