ディレクトリサービス設定セクションでは、アカウントとActive Directory（AD）などのLDAPドメイン間でユーザーを同期するための設定を構成できます。
注意：
Cato LDAPサービスの送信元IPであるCato管理アプリケーションのIPアドレスを許可リストに追加する必要があります。詳細については、Cato IPアドレスの使用例（この記事を表示するにはサインインする必要があります）。
ドメインの設定の高レベルワークフロー
ディレクトリサービスを使用してLDAPドメインをCatoアカウントと統合するためのワークフロー：
ドメインをCMAへの追加
アカウントにLDAPドメインを追加すると、Cato管理画面にディレクトリサービス接続を追加する必要があります。 ディレクトリサービス設定 ウィンドウでは、組織内の各ドメインおよびサブドメインに個別の接続が必要です。 例えば、アカウントにsample.com、alpha.sample.com、example.com ドメインがある場合、ディレクトリサービス設定 で3つの接続を作成する必要があります。
ドメインパスワード、パスワードの最大長は48文字です。
ドメインの識別名（DN）を入力する際：
ログインDNはLDAPディレクトリ階層内の管理者のオブジェクトを指します
ベースDNは、管理者がCatoと同期しているユーザーおよびグループのLDAPディレクトリ階層内のオブジェクトを指します
ユーザー同期設定を理解する
ドメインコントローラー上のLDAPユーザーへの変更は、Cato管理画面で多数のユーザー変更をトリガーする可能性があります。 エラーのリスクを減らすために、次の方法で各同期での変更数を制限することを選択できます：
ユーザーの削除または無効化を防ぐ: 削除または無効化されるユーザーの数を制限できます。
グループメンバーシップの更新を防ぐ: LDAP同期が1500以上のユーザーのグループメンバーシップを変更した場合、MicrosoftのオンプレミスActive Directoryはそれらのユーザーをグループから削除する可能性があります。 これを防ぐため、1回の同期でユーザーグループのメンバーシップを変更できる最大ユーザー数をカスタマイズできます。 詳細については、ディレクトリサービスおよびユーザー認識エラーのトラブルシューティングを参照してください。
ユーザーのメールの更新: 更新されるユーザーメールアドレスの数を制限できます。
制限を超えた場合、次の LDAP 同期は失敗し、ディレクトリサービス サブタイプのイベントが作成されます。
Note:
もしユーザーがADで無効化されてから再有効化されると、ネットワークに接続するにはCatoクライアントをアンインストールして再インストールする必要があります。
ドメインコントローラ内のグループへのパス変更
ドメインコントローラー内のグループへのパスを変更した場合は、Cato管理画面内のベースDNも更新する必要があります。
新しいパスにCMAを更新しないと、移動されたユーザグループは同期の対象外となり、削除されます。 これらのユーザグループはユーザグループページで表示されなくなります。 削除されたユーザグループはポリシーにおいて削除済みとして可視化されますが、ポリシーはユーザグループに適用されません。 SDPライセンスは削除されたLDAP提供ユーザーグループ内のユーザーから削除され、ネットワークに接続できなくなります。 ユーザがネットワークに接続する必要がある場合は、SDPライセンスを再割り当てする必要があります。
ドメインをCMAへの追加
Cato管理画面にドメインを追加するには：
ナビゲーションメニューから、アクセス > ディレクトリサービスをクリックします。
LDAPセクションまたはタブから、新規をクリックします。
新しいディレクトリサービスパネルが開きます。
LDAPプロバイダを選択します。
1つのLDAPプロバイダーしか選択できません。
LDAP認証説明セクションで、ログインDNを設定します：
オンプレミスADの場合は、ADアカウント名(DN)を使用します
Azure ADの場合は、ADアカウントのユーザープリンシパル名(UPN)を使用します
ログインDNとベースDNを入力します。
ディレクトリサービス接続のために作成したCNユーザーのパスワードを入力します。
SSL接続を使用するLDAPドメインの場合、暗号化を選択します。
ドメインがCato管理画面に追加されました。 ドメインのためのドメインコントローラーを設定します。
SDPユーザ同期設定を選択します。
ドメインコントローラの追加
LDAPサーバーに関連付けられたドメインコントローラー(DC)をディレクトリサービスドメインに追加します。
サイトの背後にあるLDAPサーバーの場合、DCをIPアドレスで追加するか、サイトに定義されたホストとして追加できます (ネットワーク > サイト > {site name} > サイト設定 > 静的ホスト予約)。
外部にあり、パブリックIPアドレスを使用するサーバーの場合、IPアドレスまたはドメインを使用してDCを定義できます。
Cato IPアドレスの許可リストに追加
トラフィックがADサービスに到達できるようにするために、Cato IPアドレスの使用例にリストされているIPアドレスを許可リストに追加します（この記事を表示するにはログインする必要があります）。 これらのIPアドレスへのトラフィックは、Catoトンネル内でルーティングされます。
以下のデプロイメントのためにファイアウォールまたはルーティングデバイスが正しく設定されていることを確認してください：
DCはIPsecサイトの背後にあります（ソケットではなく）
すべてのトラフィックはソケットにルーティングされません
ドメインコントローラーを追加するには：
新規ディレクトリサービスパネルのナビゲーションメニューで、ドメインコントローラーをクリックします。
DCの位置情報に基づいて、接続設定を定義します：
サイトの背後に定義されたホスト上のDCの場合、内部ホストを選択し、LDAPサーバーの静的ホストを選択します
内部IPを使用するDCの場合、内部IPを選択し、DCのIPアドレスを入力します
サイトの背後にないDCの場合、外部IPまたはドメインを選択し、DCのためのIPアドレスまたはドメインを入力します
Add をクリックします。
複数のDCを持つデプロイメントの場合、各DCを追加するために前の手順を繰り返します。
保存して閉じるをクリックしてください。
ドメインへの接続性のテスト
ドメインを定義し、ドメインコントローラを追加した後、ドメインとCato管理画面間の接続性をテストすることをお勧めします。
Cato管理画面は、自動的にドメインのすべてのドメインコントローラへの接続性をテストし、各ドメインコントローラの結果を表示します。
接続テストが失敗した場合、トラブルシューティングの推奨事項はディレクトリサービスおよびユーザー認識エラーのトラブルシューティングを参照してください。
ドメインへの接続をテストするには：
ドメインの接続列から、接続テストをクリックします。 Cato管理画面は接続テストの結果を表示します。
ドメインとあなたのCatoアカウント間の同期
DCを追加した後、LDAPグループ内のユーザーを同期する方法を定義する設定を構成します。
ディレクトリサービスを使用していて、MFAのためにユーザーの携帯電話番号を変更する必要がある場合は、LDAPディレクトリでのみ電話番号を変更してください
ドメインのディレクトリサービス設定の高レベル概要
アカウントと同期されるLDAPグループを選択します。
毎日ユーザーを自動的に同期するかどうかを有効化または無効化します。
LDAPグループから削除されたユーザーの動作を定義するには、彼らを無効化またはCato管理画面から削除します。
アクティブディレクトリグループをインポート
アカウントに同期するLDAPグループを選択します。
アカウントにインポートされるSDP ユーザの AD グループを選択するには：
New Directory Service パネルで、User Groups をクリックします。
Select User Groups ドロップダウンから、アカウントと同期しているグループを選択します。
注意: グループが選択されていない場合、Active Directory 全体がインポートされます。
このドメインの同期設定を構成します（下記参照）。
ライセンス割り当てとポリシー適用
ユーザーがアカウントに同期されると、SDPライセンスを割り当て、ユーザーがどこに接続しても適用されるポリシーを適用できます。 SDPライセンスの割り当てについての詳細は、Assigning ZTNA Licenses to Usersを参照してください。
同期設定の概要
アカウントを有効にするとLDAPディレクトリと毎日自動的に同期し、CMAのグループとユーザーがドメインのものと一致するように更新されます。
ディレクトリ名列でどのユーザーがインポートされたか、また手動で作成されたかが確認できます - インポートされたユーザーはLDAPディレクトリ名で表示され、手動作成は手動として表示されます。 また、ディレクトリ名でフィルタをかけたり、システム内の手動で追加されたすべてのユーザーを表示したりすることもできます。
Catoは午前12時(UTC)にすべてのアカウントに対して毎日の自動LDAP同期を開始します。 Catoは1アカウントずつ同期を実行し、すべてのアカウントの毎日の同期を完了するには数時間かかることがあります。 もし午前12時以降、CatoがLDAP同期を開始する前にSDPユーザーグループの毎日の同期オプションが無効化されると、自動同期はオプションが有効になる次の時間枠までスキップされます。
注意：
注意: 複数のドメインを持つアカウントの場合、アカウント内のすべてのドメインにわたって同期設定は同じでなければなりません。 さもなければ、異なるドメイン間での可能な信頼依存関係に関連する問題が発生する可能性があります。
ディレクトリサービスグループに存在しなくなったユーザー
ユーザーがインポートされたディレクトリサービスグループに存在しなくなった場合設定は、LDAPサーバーからユーザーやグループが削除されたり、期限切れになったり、無効になった場合の同期挙動を定義できます。 以下のオプションから選択できます：
無効にする - ユーザーが無効になり、Catoクラウドに接続できません。 ユーザーは、自分がメンバーであったユーザーグループに残ります
削除 - ユーザーアカウントはCato管理画面から削除され、彼らがメンバーであったユーザーグループも含まれます
グループまたはユーザーがLDAPサーバーから削除されたが、Cato管理画面でオブジェクトまたはルールに使用されている場合、これは同期の動作です：
ユーザーは削除される代わりに無効化されます
グループはもはや同期されないとしてマークされます
グループまたはユーザーは手動としてラベル付けされ、LDAPではありません
デフォルトで、CMAはLDAP同期の一環として100以上ユーザーを削除または無効化することを防ぎます。 LDAP同期の開始時に、同期が100以上のユーザーを削除または無効化する場合（デフォルト設定の場合）、同期はキャンセルされ、メール通知が送信されます。 ユーザーの削除や無効化を防ぐ設定を無効にするか、LDAP同期ごとの削除ユーザーの最大数を変更できます。
ディレクトリサービス同期設定の設定
ドメインとあなたのCatoアカウント間の同期のために設定を設定してください。 ディレクトリサービスグループからユーザーが削除されたときの動作と、日次自動同期を有効にするかどうかを選択します。
ドメインの同期設定を設定するには：
自動同期設定を管理する：
新規ディレクトリサービスパネルで、ユーザグループを選択します。
ユーザグループセクションで、SDPユーザーグループの毎日の同期を有効または無効に選択します。
有効化されると、トグルは緑色になります。
ADドメイン内での取り込まれたディレクトリサービスグループにもう存在しない場合の動作を定義する：
無効化する CMAでユーザーを無効化する
削除する CMAからユーザーを削除する
(オプション)LDAP同期中に削除するユーザー数を制限する設定をカスタマイズします：
LDAP同期中に削除できるユーザーの数を変更するには、ユーザーに、削除される最大数を入力します。
LDAP同期中に削除できるユーザー数の制限を解除するには、
この設定を無効化します。
適用をクリックしてから、保存をクリックします。
ドメインは設定を完了し、ユーザーとグループをアカウントと同期します。
ディレクトリサービスの手動同期
ADサーバとCMAの間でユーザーとグループを手動で同期するには、今すぐ同期機能を使用します。 複数のドメインを持つアカウントでは、CMAがすべてのドメインを同時に同期します。
候補変更を確認して送信をクリックした後も、すべての送信済み変更が必ずしも適用されるとは限りません。 CMAは、ユーザーとグループを作成または更新する前に、各変更を検証します。 たとえば、同名の手動グループがすでに存在する場合、変更は失敗する可能性があります。 処理された各変更の結果は、イベントページで確認できます。
注：
イベントページが更新されるまでには数分かかる場合があります。
すべてのドメインのディレクトリサービスを手動で同期するには：
ナビゲーションメニューから、アクセス > ディレクトリサービスをクリックします。
LDAPセクションまたはタブで、今すぐ同期をクリックします。
手動LDAP同期ウィンドウが開き、ユーザーとグループへの潜在的な変更が表示されます。 変更を確認して、送信をクリックします。
確認ページは、リクエストが送信されたことを示し、該当するシステムイベントとサブタイプでフィルタリングされたイベントページへのリンクを含みます。
同期が成功した場合、LDAPプロビジョニングというサブタイプのシステムイベントが生成され、以下のようなメッセージが表示されます：
ユーザー'x'が作成されました
同期に失敗した場合、同じサブタイプのシステムイベントが生成され、以下のようなメッセージが表示されます：
ユーザーの保存に失敗しました
送信された潜在的な変更を再検索する場合は、次のようなメッセージが含まれているディレクトリサービスのサブタイプのシステムイベントを検索します：
‘x’ の潜在的な変更が送信されました
例
以下の例では、3つの潜在的な変更が手動で送信されたことがわかります。
変更は正常に送信され、イベントページで確認すると、Jane Phillipsが正常に作成されたことがわかります：
ただし、John Doeは、同じメールを持つ手動で作成されたユーザーがすでにアカウント内に存在するため、作成できませんでした。
ドメインとドメインコントローラの削除
不要になった場合は、ドメインとDCを削除できます。
注：
ドメインまたはDCを削除すると、そのユーザーはもはやドメインに関連付けられず、Catoユーザーとしてラベル付けされます。 同じ、または異なるドメインから同じユーザーを追加した場合、それらはシステム内で重複します。 一度はCatoユーザーとして、もう一度はドメイン下に追加されます。
ドメインを削除するには：
ナビゲーションメニューから、アクセス > ディレクトリサービスをクリックします。
LDAPセクションまたはタブのドメインの行で、
をクリックします。保存をクリックします。 ドメインがアカウントから削除されました。
ドメインコントローラを削除するには：
ナビゲーションメニューから、アクセス > ディレクトリサービスをクリックします。
LDAPセクションまたはタブで、ドメインを編集します。
ディレクトリサービスを編集パネルが開きます。
新規ディレクトリサービスパネルのナビゲーションメニューで、ドメインコントローラをクリックします。
DCの行で、
をクリックします。適用をクリックしてから、保存をクリックします。 DCがドメインから削除されました。
複数ドメインの管理
組織が複数のドメインを持っている場合、各ドメインにディレクトリサービス接続を定義することができます。 新規ドメインをアカウントに追加して設定します。
アカウントに追加した各新規ドメインのパスワードを入力する必要があります。