---
title: "クライアント接続ポリシーの構成"
slug: "configuring-the-client-connectivity-policy"
updated: 2026-09-16T06:20:59Z
published: 2026-09-16T06:20:59Z
canonical: "knowledge.catonetworks.com/configuring-the-client-connectivity-policy"
---

> ## Documentation Index
> Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt
> Use this file to discover all available pages before exploring further.

# クライアント接続ポリシーの構成

この記事では、Catoアカウントでゼロトラストネットワークアクセス（ZTNA）を実装し、強制する一環として、クライアント接続ポリシーのルールを設定する方法について説明します。

詳しくは[クライアント接続ポリシーとは？](/v1/docs/what-is-the-client-connectivity-policy)をご覧ください。.

## 概観

クライアント接続ポリシーを使用して、Catoクライアントがユーザーのデバイスで実行するZTNAポリシーの要件を適用します。例えば、デバイスの姿勢とチェック、信頼レベル、デバイスOSなどがあります。 デバイスがプロファイル用に設定されたポリシーに準拠していない場合、ユーザーはCato Cloudに接続できません。

例えば、デバイスの姿勢ポリシーに準拠している場合にのみ、リモートユーザーが内部リソースにアクセスできるようにすることができます。 これにより、内部リソースに接続されているデバイスに対する信頼度が向上します。

クライアント接続ポリシーを使用して、ワンタイム認証後にユーザーに安全なリモートインターネットアクセスを提供することもできます。 詳細情報については、[ワンタイム認証を使用したリモートインターネットセキュリティ](/v1/docs/remote-internet-security-with-one-time-authentication)を参照してください。

### アクションの理解

**アクション**は、ユーザーに提供されるアクセスレベルを定義します。 アクションは次の通りです:

- **WANとインターネットの許可:** ユーザーはインターネットアクセスを保護され、プライベートネットワーク(WAN)にアクセスできます。 **注:** このオプションはユーザーがプライベートネットワーク(WAN)にアクセスすることを許可します。 ユーザーのプライベートネットワーク(WAN)へのアクセスは、[WANファイアウォール](/v1/docs/managing-the-wan-firewall-policy)のルールに依存します。
- **インターネットのみを許可:** ユーザーは安全なインターネットアクセスのみ可能で、プライベートネットワーク (WAN) にアクセスできません。

このアクションには、**アクティブなWANセッションの終了**オプションも含まれています。 このオプションは、ルールによって以前はWANアクセスが許可されていたリモートユーザーが状態の変化によりインターネットアクセスが許可されるルールに一致する場合に適用されます。 この場合、リモートユーザーの既存のWANセッションを終了するかどうかを選択することができます。

例えば、リモートユーザーは信頼度に基づいてWANアクセスが付与されます。 その条件が後に変更され、例えばトークンが期限切れになると、リモートユーザーはWANへのアクセスを許可されなくなります。 この設定は、ユーザーの現在のWANセッションが切断されているかどうかを決定します。 このオプションはオフィスモードでは適用されません。 **注:** このオプションはユーザーがインターネットへアクセスする権限を提供します。 ユーザーのインターネットへのアクセスは、[インターネットファイアウォール](/v1/docs/managing-the-internet-firewall-policy)のルールに依存します。
- **WANとインターネットをブロック:** ユーザーはインターネットとWANへのアクセスがブロックされます。

ユーザーがこのアクションと一致するルールを満たすと、既存のWANセッションは常に終了します。

### 前提条件

デバイスチェックは、WindowsおよびmacOSクライアントでサポートされています。 各チェックの要件についての詳細は、[デバイスポスチャープロファイルとデバイスチェックの作成](/v1/docs/creating-device-posture-profiles-and-device-checks)をご覧ください。

## クライアント接続ポリシーの実装準備

ポリシーの目標は、ポリシーに一致するデバイスのみを信頼することです。 したがって、信頼されていないすべてのデバイスをブロックするルールを定義し、ネットワークへの接続を許可しないようにします。

クライアント接続ポリシーを有効化する前に、サポートされていないクライアントやオペレーティングシステムを持つユーザーの動作を決定してください。 これらのユーザーがアカウントに接続するのを許可しますか？ 例えば、LinuxクライアントまたはWindowsクライアントv4.7以前のユーザーです。

### サポートされている接続ポリシー機能

- 様々なマルウェア対策およびエンドポイントファイアウォールベンダーのためのチェックの設定を行い、関連ソフトウェアがインストールされ実行中であり、クライアントを使用したリモートアクセスが許可されることを確認します。
- 常時接続型のリアルタイムチェックを有効にしないことを推奨します。 ポリシー要件を満たさない場合、クライアントが突然ネットワークから切断される可能性があるためです。 これはユーザーにとって悪いユーザーエクスペリエンスを提供する可能性があります。

リアルタイムチェックのためにサポートされているベンダーとバージョンのリストを[こちら](/v1/docs/creating-device-posture-profiles-and-device-checks)で確認できます。
- 接続ポリシーは順序付けされたポリシーであるため、ユーザーを複数のプロフィールやルールに追加できます。 しかし、最初に一致するルールがユーザーに適用されます。

### クライアント接続ポリシーとオフィスでの常時接続ポリシー

このセクションでは、サイトの背後で常時接続ポリシーを強制し、オフィスでもリモートユーザーに認証を要求する際にクライアント接続ポリシーを使用する方法について説明します。

クライアントが[オフィスモード](https://knowledge.catonetworks.com/docs/configuring-office-mode)にある場合、クライアントはサイトトンネルを利用してCato Cloudにトラフィックを送信し、クライアントデータトンネルを確立せずにトンネル内トンネルで送信します。 このモードでは、クライアントはCato Cloudへの制御トンネルのみを確立し、全てのデータトラフィックは既存のサイトトンネルを介して処理されます。

常時オン**オフィスでの認証を要求する**設定は、クライアントがオフィスモードで動作中に認証を必要とするかどうかを制御します。 この設定はWindowsクライアントにのみ適用されます。 他のオペレーティングシステムを実行しているクライアントでは、この設定にかかわらず、オフィスでも認証が常に必要です。

- クライアント接続ポリシーが、オフィスのサイトの後方にあるデバイスであっても、ユーザーがWANまたはインターネットに接続できるようにする必要があります。
- クライアントが常時オンをバイパスするモードに入ると、サイトのWANおよびインターネットファイアウォールポリシーがユーザーに適用されます。 このポリシーは、ユーザーがリモートで接続するときに適用されるものとは異なる場合があります。
- この認証は**制御トンネル**のみに適用されるため、認証が失敗するかトークンの有効期限が切れると、クライアント接続ポリシーにおける**すべてをブロック**ルールのみが適用されます。
  - オフィスモードでは、インターネットアクセスを許可しながらWANアクセスをブロックするルールは適用されません。
  - 結果として、クライアント接続ポリシーが**すべてをブロック**ルールに一致して制御トンネルを完全にドロップしない限り、データトラフィックは影響を受けません。

詳細については、[Always-Onセキュリティでユーザーを保護する](/v1/docs/protecting-users-with-always-on-security)を参照してください。

## クライアント接続ポリシーと設定の構成

このセクションでは、クライアント接続ポリシーを作成し、各ルールに1つ以上のプロファイルを追加する方法を説明します。

### クライアント接続ポリシーの作成

クライアント接続ポリシーは順序付けられたルールベースであり、個々のルールは適用されるユーザーの範囲を持ち、地理的位置（国）やデバイスOSを含みます。 ユーザーまたはグループがルールに一致すると、Cato Cloudは接続を次のように管理します:

- ルールのデバイスプロファイル要件を満たした場合、アカウントへの接続が許可されます。
- ルールのデバイスプロファイル要件を満たさない場合、Cato Cloudはポリシーの低優先度ルールに従って状態を検査し続けます。
- ユーザーまたはグループのいずれもルールに一致しないデバイスは、ポリシーの最後の暗黙のルール（ANY ANYブロック）によってブロックされます。

**クライアント接続ポリシーのルールを作成するには：**

1. ナビゲーションメニューから、**アクセス > クライアント接続ポリシー**をクリックします。
2. **新規**をクリックします。

**新規ルール**パネルが表示されます。
3. ルールのスコープを設定します：
  1. このルールのために、**ユーザー/グループ**、**信頼度レベル**、**プラットフォーム**、**公開ISP IP範囲**、**接続元**、および**国**を定義します。
4. **デバイス姿勢プロファイル**セクションを展開し、このルールのプロファイルを選択します。

単一のポリシールールに複数のプロファイルが含まれている場合、それらの間には暗黙のORがあります。

**メモ**: **Any**デバイス姿勢プロファイルを選択することは、ルールにデバイス姿勢プロファイルが含まれないことを意味します。
5. ルールの**アクション**を選択します。 使用可能なアクションの詳細については、[リモート・インターネット・セキュリティとワンタイム認証](/v1/docs/remote-internet-security-with-one-time-authentication)を参照してください。
6. **適用**をクリックします。
7. クライアント接続ポリシーの各ルールに対して手順2〜5を繰り返します。
8. **クライアント接続ポリシー**を有効にし、**保存**をクリックします。

スライダーは、ルールが有効なときは緑色、無効なときは灰色になります。

### サンプルクライアント接続ポリシー

このセクションでは、クライアント接続ポリシーの例とルールがどのように適用されるかを示しています。

![ClientConnectivity Policy.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/29832100230429.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A41%3A19Z&se=2026-11-10T17%3A41%3A19Z&sr=c&sp=r&sig=llEBcud3Xd4gFF3klP5Qab73VN%2FHSbiaW8H07q6X0ZA%3D)

1. ルール1の範囲は、アフリカとヨーロッパのWindowsデバイスを持つRnDグループです。
  - これらのユーザーがCato Cloudに接続しようとすると、**RnD Africaプロファイル**または**RnD Europeプロファイル**の要件を満たす場合にのみ接続が許可されます。

そうでない場合、エンジンはルール2のユーザーとデバイスをチェックします。
2. ルール2の範囲は、ルール1でデバイス姿勢プロファイルの要件を満たさなかったWindowsデバイスを持つアフリカとヨーロッパのRnDグループです。
  - これらのユーザーがCato Cloudに接続しようとすると、デバイスポスチャプロフィール**すべて**と一致し、ブロックされます。 Cato Cloudに接続することはできません。
  - ルール2は、アフリカとヨーロッパのRnDグループのメンバーでないユーザーには適用されず、これらのユーザーはルール3を続行します。
3. ルール3の範囲は、Windowsデバイスを持つすべてのユーザーまたはユーザーグループです。

ユーザーがCato Cloudに接続しようとすると、**サンプルプロファイル**の要件を満たす場合、インターネットにのみ接続が許可され、WANには接続できません。

そうでない場合、ユーザーは最終暗黙ANY ANYブロックルールでブロックされます。

## デバイス姿勢のユーザーエクスペリエンス

デバイスがデバイスチェックに一致すると、Cato Cloudに接続でき、クライアントが**接続済み**と表示され、ユーザーの体験はそれと同じになります。 これはアカウントにデバイス姿勢ポリシーがない場合と同じユーザーエクスペリエンスです。

デバイスがデバイスチェックに一致しない場合、クライアントはCato Cloudに接続せず、ユーザーにエラーメッセージを表示します。 クライアント接続後、デバイスが[定期チェック](/v1/docs/creating-device-posture-profiles-and-device-checks)に失敗すると、クライアントが切断され、同じエラーメッセージが表示されます。

これはエラーメッセージの一例です:

![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/DevicePosture_ClientError.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A41%3A19Z&se=2026-11-10T17%3A41%3A19Z&sr=c&sp=r&sig=llEBcud3Xd4gFF3klP5Qab73VN%2FHSbiaW8H07q6X0ZA%3D)

デバイスが満たしていない特定の要件を表示するには、**詳細**をクリックします。 また、同じ詳細を表示するイベントが生成されます。

### サポートされていないクライアントバージョンのユーザーエクスペリエンス

OS用にクライアント接続ポリシーを作成する場合、すべてのデバイスにインストールされているすべてのクライアントが[サポートされている最小のクライアントバージョン](/v1/docs/preparing-to-install-the-cato-client)にアップグレードされていることを確認することを強くお勧めします。 以前の（サポートされていない）クライアントバージョンへのアクセスを許可しないルールに対するエンドユーザーエクスペリエンスは次の通りです:

- Windows OS - ユーザーにメッセージは表示されず、クライアントは暗号化トンネルへの接続を試み続けます。
- macOS、iOS、Android、Linux - ユーザーにはこのデバイスがネットワークからブロックされている旨のメッセージが表示されます（たとえば、このOSからの接続は禁止されています）。

## クライアント接続ポリシーのイベントを理解する

Cato管理アプリケーションは、クライアント接続ポリシーに関連する2種類のイベントを生成します。

- ユーザーやユーザーグループがクライアント接続ポリシーのルールの要件を満たし、ネットワークへの接続が許可された場合はいつでも。
- クライアント接続ポリシーの要件を満たさないためにネットワークへの接続がブロックされるユーザーまたはユーザーグループはいつでも。

次の表は、許可アクションイベントの一部のイベントフィールドを説明しています。

| フィールド | 説明 |
| --- | --- |
| デバイスポスチャプロファイル | デバイスポスチャプロフィールに適合するデバイスの名前。 |
| DNSポリシー | クライアント接続ポリシーでデバイスの接続を許可したルールの名前。 |
| 認証方法 | ユーザーがクライアントに認証するために使用した認証方法。 |

次の表は、ブロックアクションと接続がブロックされた理由を持つさまざまな接続イベントを説明しています。

| イベントサブタイプ | ブロックの理由 | イベントメッセージの説明 |
| --- | --- | --- |
| [クライアント接続ポリシー](https://support.catonetworks.com/hc/ja/articles/4415419573393#UUID-4b076fcd-244f-11d9-9986-28463fbd7bd4) | デバイス検査の要件を満たせないデバイス | デバイスにインストールされているマルウェア対策またはファイアウォールの詳細と、デバイスチェックに必要な情報を表示します。 |
| クライアント接続ポリシー | サポートされていないクライアント | デバイスがサポートされていないクライアントOSまたはバージョンを使用して接続しています。適用されるルールがサポートされていないクライアントの接続を許可していません。 |
| クライアント接続ポリシー | デバイスがどのルールにも一致しません | デバイスがクライアント接続ポリシーのいかなるルールのスコープにも一致しませんでした。 したがって、接続は最終の暗黙のルールによってブロックされました。 |