Catoへのユーザーインポート

この記事では、SDPユーザーをCatoアカウントにインポートしてネットワークへの安全なリモートアクセスを行う方法について説明します。

概要

ユーザーアイデンティティはゼロトラストの基盤であり、Catoはユーザーを簡単にインポートおよび管理できるようにします。 Catoは既存のIdentity Provider（IdP）を活用しており、ユーザーアイデンティティ管理のための集中型サービスとして機能し、ユーザーをアカウントに簡単にプロビジョニングおよび同期する機能をサポートしています。 IdPはCatoアカウントと統合されており、ユーザーを自動的にインポートおよび更新します。

これにより、ユーザーアイデンティティの一元化した信頼できる情報源を確保し、環境全体で一貫したユーザーアイデンティティを提供します。

Catoは次の方法でユーザーをインポートおよび作成することをサポートしています。

IdPからLDAP経由でユーザーをインポートします。
IdPからSCIM経由でユーザーをインポートします。
Cato管理アプリケーションでユーザーを手動で作成します。

CatoがサポートするIdPに関する詳細情報は、CatoアカウントのためのIdentity Providerを使用を参照してください。

LDAPでのユーザーインポート

IdPからLDAPを使ってユーザーをアカウントにプロビジョニングし、Catoに同期できます。 CatoはLDAPインポートのために以下のIdPをサポートします。

オンプレミスまたはAzure Active Directory (AD)
(LDAPプロトコルを使用してグループを同期)
Okta
OneLogin （vLDAPが必要）
Jump Cloud

IdPでのLDAPプロビジョニングの設定方法については、LDAPユーザープロビジョニングセクションの記事を参照してください。

LDAPインポートの前提条件

ドメイン名
ADまたはLDAPプロバイダへの認証に必要なログインDNまたはバインドDNおよび関連するパスワード
ベースDN: ディレクトリ内でのユーザー認証を検索する際にLDAPサーバーが使用する開始点
オンプレミスADまたはAzure ADに接続するためのインバウンドファイアウォールルールの設定

ユーザーとグループのライフサイクル管理

LDAP同期プロセスは、24時間ごとに自動的に行われ、GMTの0:00に実行されます。ユーザーへのいかなる更新、削除、またはIdP内のグループメンバーシップの変更はアカウントに同期されます。

LDAPSを使用したLDAPのセキュリティ強化

Catoは、ADとCato間のLDAPを使用したユーザーインポートの際にセキュリティを向上させ、LDAPからLDAPSへの移行を可能にします。 CatoはLDAP接続のセキュリティを確保するためにTLS（SSL）を使用しています。

CatoアカウントのためのLDAPS設定手順：

IdP（例えばAD）でLDAPSを有効にします。
Cato管理アプリケーションでLDAPユーザープロビジョニングの暗号化を有効にします。
Catoは636番ポートでIdPに接続しようとします。

Azure ADまたはOktaなどのクラウドベースのIdPのため、Catoはセキュリティ上、LDAPSのみをサポートしています。

CatoはIdPユーザーアカウントのパスワードをインポートまたは同期することはありません。

LDAPを用いたユーザーインポートの利点

LDAPは、ユーザーをインポートするための確立された技術と実践です。

LDAPを使用したユーザーインポートのための追加リソース

SCIMを使用したユーザーインポート

SCIMは、異なるクラウドアプリベンダー間でのアイデンティティ情報交換の標準を定義し、IdPとCatoアカウント間で関連するアイデンティティデータを同期できます。

Catoは以下のIdPをサポートします：

Azure AD
Okta
OneLogin
OneWelcome

SCIMインポートの前提条件

CatoはSCIMのバージョン2.0以降をサポートしています。

SCIMインポートの利点

ユーザーをIdPからCatoアカウントに即座に同期します。
グループメンバーシップやユーザープロファイルの変更はリアルタイムで更新されます。
インバウンドファイアウォールルールを設定することなく、IdPをCatoアカウントに統合できます。
SCIMはIdPベンダーによって広くサポートされており、アカウントへの統合が容易です

SCIMを使用したユーザーインポートのための追加リソース

Cato管理アプリケーションでのユーザーの手動作成

Cato管理アプリケーションでユーザーを手動で作成することも可能です。手動でユーザーを作成することは特定の状況で使用されることが多く、そのために管理が必要でありスケーラブルなソリューションではありません。

手動でのユーザー作成に関する詳細は、ユーザーとの作業を参照してください。

ユーザーを手動で作成するための前提条件

各Cato管理アプリケーションユーザーアカウントには、名、姓、メールアドレスが含まれている必要があります。

ユーザーインポートのベストプラクティス

SCIMを使用したユーザーインポートは、LDAPを使用したインポートよりも一般的に優れたソリューションです：
- SCIMはほぼリアルタイムで、ディレクトリサービスのいかなる変更も自動的に迅速にCatoアカウントに同期されます。
- LDAPは24時間に一度アカウントと自動的に同期されます。
SCIMは、中央集権のIdPから下流のアプリケーションにアイデンティティを管理するための簡単で一貫性があり、現代的でスケーラブルな方法です。
SCIMを使用できない場合にのみ、LDAPを使用したユーザーインポートを推奨します。