---
title: "Catoクライアントの認証ポリシーの設定"
slug: "configuring-the-authentication-policy-for-cato-clients"
updated: 2026-11-10T00:09:48Z
published: 2026-11-10T00:09:48Z
canonical: "knowledge.catonetworks.com/configuring-the-authentication-policy-for-cato-clients"
---

> ## Documentation Index
> Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Catoクライアントの認証ポリシーの設定

この記事では、アカウント内のZTNAユーザーに対して認証の振る舞いおよび多要素認証（MFA）の要件を設定する方法について説明します。

## SDPクライアント認証ポリシーの概要

認証ポリシーは、ユーザーがアカウントにどのように認証するかを定義します：MFA、シングルサインオン（SSO）、またはユーザー名とパスワード。さらに、クライアント内のブラウザまたは外部のデフォルトOSブラウザを使用して、エンドユーザーの認証体験を選択することができます。

## アカウントのブラウザ認証を設定する（WindowsとmacOS）

WindowsとmacOSのデバイスの場合、組み込み型ブラウザと外部ブラウザのどちらを使用するかを設定できます。デフォルト設定は組み込み型ブラウザの使用で、最良のエンドユーザーエクスペリエンスを提供します。 MFAとSSOの認証はクライアント内で完了し、その後シームレスにデバイスをCato Cloudに接続します。

アカウントのネットワーク設定によっては、組み込み型ブラウザがサポートされないことがあります。そのような場合、デバイスで外部のデフォルトOSブラウザを使用するようにアカウントを設定できます。エンドユーザーはクライアントで接続を開始し、OSブラウザを使ってCato Cloudに認証します。

**アカウントのクライアントブラウザ認証を設定するには：**

1. ナビゲーションメニューから、**アクセス > ユーザー認証**をクリックします。
2. **追加設定**タブをクリックします。
3. **ブラウザ認証**で、以下のオプションのうち1つを選択してください：
  - **組み込み型ブラウザ** - SDPユーザーはクライアント内でアカウントに認証します
  - **外部ブラウザ** - SDPユーザーはOSブラウザでアカウントに認証します
4. **保存**をクリックします。

### ブラウザ認証のベストプラクティス

ブラウザ認証方式を選択する際に従うべきベストプラクティスは以下の通りです：

- 条件付きアクセスで外部ブラウザのみがサポートするブラウザプラグインが必要でない限り、組み込み型ブラウザが推奨されます。
- 適切な機能を確保するためには、常時オンが有効化されている場合に組み込み型ブラウザを使用します。外部ブラウザを使用する場合、SSO認証に必要なすべてのドメインとIPが許可されているわけではありません。
- ADFS環境では組み込み型ブラウザを使用する必要があり、さもなくばSSOは認証に使用できません。
- 組み込み型ブラウザは、外部ブラウザとHSTS施行との間のSSO認証に関連する問題を回避します。詳しくは、[SSO認証が外部ブラウザで失敗した場合 | localhostエラー](/v1/docs/sso-authentication-fails-when-using-external-browser-localhost-error)を参照してください。
- macOSまたはWindowsでOkta Verifyアプリを使用する場合には、認証に外部ブラウザを使用してください。

## 全てのユーザーに対する認証ポリシーの設定

Catoクライアントに接続するアカウント内のユーザーに対する認証ポリシーを定義するには、**ユーザー認証**画面を利用します。 SSOが有効なアカウントでは、これがデフォルトの認証ポリシーです。

以下が認証オプションです：

- SSO - ユーザーはアカウントに設定済みのアイデンティティプロバイダー（IdP）を使ってSSOで認証します
- MFA - ユーザーはSMSまたは認証アプリから受け取ったコードで認証する必要があります（RFC-6238に準拠）
- ユーザー名とパスワード - クライアント用のユーザー名とパスワードでユーザーは認証します（MFA要件はありません）

個別のユーザーのためのMFAポリシーを上書きすることも選択できます。以下を参照: [特定のユーザーに対する認証設定の上書き](/v1/docs/configuring-the-authentication-policy-for-cato-clients#overriding-authentication-settings-for-specific-users)。

ディレクトリサービスを使用しており、ユーザーの携帯電話番号を高度な認証のために変更する必要がある場合、IdP内でのみ番号を変更する必要があります。

> [!TIP]
> 注：
> 
> [登録コード](/v1/docs/activating-users-with-a-registration-code)を使ってプロビジョニングされたユーザーには、多要素認証（MFA）とシングルサインオン（SSO）はサポートされていません。

**トークンの有効性設定のワークフロー**

**トークンの有効性 > 期間**のオプションは、Catoクライアントを動作させているデバイスが「信頼済み」であるかどうかによります：

- Catoクライアントを実行しているデバイスでユーザーが信頼を有効にしている場合（Cato Cloudへの接続時にクライアントで**このデバイス/コンピュータで再度尋ねない**オプションを選択）、期間が有効で地理的な位置が別の国に変更されていない限り、MFAは求められません。
- Catoクライアントを動作させているデバイスでユーザーが信頼を有効にしていない場合（Cato Cloudへの接続時にクライアントで**このデバイス/コンピュータで再度尋ねない**オプションを解除）、期間設定は効果を持たず、このデバイスでは常にMFAが必要です。

> [!TIP]
> 注：
> 
> Windowsクライアントの組み込みブラウザはIdPトークンを更新できます。 IdPトークンの有効期限が切れた際、再認証の要求はユーザーに表示されません。

![ClientAccess_Authentication.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24218250450845.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A50%3A03Z&se=2026-11-10T17%3A50%3A03Z&sr=c&sp=r&sig=LkEaTvxlODEczudCvshmHHag5Et2y72b4wjfldiVr7U%3D)

**リモートユーザーのMFAポリシーを設定するには：**

1. ナビゲーションメニューから、**アクセス > ユーザー認証**をクリックします。
2. **メソッド**のドロップダウンリストで、**MFA**を選択します。
3. **一般**オプションを設定し、ポリシーの**認証方法**を選択します。
  - **どれでも** - 各ユーザーが自身の認証方法を選択します
  - **認証アプリ** - ユーザーは認証アプリ（Google Authenticator等）を使用しなければなりません
  - **SMS** - ユーザーに認証コードを含むSMSメッセージが送信されます
4. **トークンの有効期間**セクションで、クライアントでのMFAトークンの動作を選択します：
  - **常にプロンプト** - ユーザーが接続するたびにMFAが必須です。

ログインしているユーザーは、**日**または**時間**（最後のログインから）の期間が過ぎると、再認証が必要です。
  - **期間** - ユーザーは定義した**日**または**時間**についてMFAを必要としません。
5. **保存**をクリックします。

## トークン期限通知の設定

**クライアントアクセス**ページでアカウント通知設定を設定します。設定と通知の動作については、[トークン期限通知の設定](/v1/docs/configuring-token-expiry-notifications)を参照してください。

## 特定のユーザーに対する認証設定の上書き

特定のユーザーに対して異なる認証設定をカスタマイズし、グローバル認証ポリシーを上書きできます。ユーザーを編集し、**認証**画面を使用してそのユーザーの認証方法をカスタマイズします。

**特定のユーザーに対するグローバル認証設定を上書きするには：**

1. ナビゲーションメニューから、**アクセス > ユーザー**をクリックします。
2. ユーザーを選択し、ナビゲーションメニューから**ユーザー設定 > 認証**を選択します。
3. **アカウントの認証設定を上書き**を選択します。

![Override_Authentication_Settings.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24218264377245.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A50%3A03Z&se=2026-11-10T17%3A50%3A03Z&sr=c&sp=r&sig=LkEaTvxlODEczudCvshmHHag5Et2y72b4wjfldiVr7U%3D)
4. ユーザーの認証**方法**を選択します。
5. このユーザーの認証設定を構成します。
6. **保存**をクリックします。

### ユーザーのMFAのリセット

必要な場合には、クライアントを新しいデバイスにインストールする際などに、ユーザーのMFA設定をリセットできます。

**ユーザーのMFA設定をリセットするには：**

1. ナビゲーションメニューから、**アクセス > ユーザー**をクリックします。
2. **ユーザー**リスト内で、ユーザーの名前の横にあるチェックボックスを選択します。
3. **アクション**ドロップダウンメニューから、**MFAリセット**を選択します。
4. 確認ウィンドウで、**OK**をクリックします。
5. ユーザーはCatoユーザーポータルへのリンクを含む電子メールを受け取ります。ポータルにサインインした後、ユーザーはデバイスのためにMFA設定を有効化する必要があります。