この記事は、Cato管理画面へのアクセスを制御する管理者の役割を設定する方法を説明します。 RBACについてさらに詳しく知りたい場合は、管理者とロールベースのアクセス制御 (RBAC)とはをご覧ください。
定義済みの管理者の役割を理解する
Catoは、多数の事前定義されたロールを提供しており、管理者に割り当てることができます。 ロールの行をクリックすると、ロールを編集パネル内の各ページの権限を表示できます。 ただし、定義済みのロールは変更または削除できません。
以下は定義済みのロールです：
編集者 - 全ページの参照と編集権限
閲覧者 - 全ページの参照のみ
ネットワーク管理者 - 主に接続性とネットワークアクセスを扱う管理者。 権限には、ネットワークメニューおよび関連ページ、WANファイアウォールなどの編集が含まれますが、インターネットファイアウォールなどのセキュリティ機能に関しては閲覧のみです。 アクセス機能に対する権限も閲覧のみです。
セキュリティ管理者 - 主にセキュリティを扱う管理者。 権限には、セキュリティおよびアセットメニュー下のすべてのページの編集が含まれ、ネットワークおよびアクセス機能に対しては閲覧のみです。
アクセス管理者 - アクセスメニューのすべてのページを編集できるが、他のすべてのページはなしに設定されます
地域ビューア - すべてのサイトとSDPユーザー、そして全イベントおよびアプリケーション分析に対する参照のみの権限
アクセス制限付きビューア - すべてのサイトとSDPユーザーに対する参照のみの権限（イベントとアプリケーション分析へのアクセスはありません）
物流管理者 - ソケットとアクセサリーページの完全参照と編集の権限
AIセキュリティセンシティブ - AIセキュリティモジュールにユーザーが入力したプロンプトデータを表示するアクセス権。
カスタム管理者の役割の作成
組織のの特定のニーズに適合するように、CMAのすべてのページに細かな権限を定義してカスタムロールを作成できます。 ただし、ページ内の個々のタブや機能に対して権限を別々に設定することはできません。
デフォルトでは、新しいロールを作成するとき、すべての権限は閲覧のみに設定されます。 ロールの行をクリックして、ロールを編集パネル内で権限を変更できます。 ロールの行から[設定] > [その他]メニューを選択してロールを削除できますが、管理者に現在割り当てられているカスタムロールは削除できません。
編集者ロールを持つ管理者だけがロールを作成または変更できます
カスタムロールに対する変更を監査証跡（モニタリング > 監査証跡）で監査できます。
一部のページに対する権限は、他のページおよび機能に対する依存権限を自動的に設定します。 ロールを作成する際に適用される依存権限は次のとおりです：
ナビゲーションメニューのページは、それに含まれるページおよびセクションの権限を定義します。 たとえば、サイトページ（ネットワーク > サイト）の権限は、サイトページからアクセスするサイト設定ページの権限を決定します。
エクスポート機能をサポートするページについては、編集権限を付与すると、管理者がデータやポリシーをエクスポートできるようになります。 たとえば、インターネットファイアウォールページに対して編集権限を持つロールは、CSVファイルにルールをエクスポートできます。
次のページの表示または編集権限は、イベントページへの参照のみの権限を許可します。 イベントの権限を編集に変更することはできますが、なしにすることはできません。
サイト（ネットワーク > サイト）
ユーザー（アクセス > ユーザー）
アプリケーション分析（ホーム > アプリケーション分析）
脅威ダッシュボード（セキュリティ > セキュリティ脅威）
クラウドアプリダッシュボード（セキュリティ > クラウドアプリダッシュボード）
MITRE ATT&CK®（セキュリティ > MITRE ATT&CK®）
カスタム管理者の役割を作成するには：
ナビゲーションメニューからアカウント > ロール&権限をクリックします。
新規をクリックしてカスタムロールを作成します。 ロールを作成パネルが開きます。
ロール名を入力し、Cato管理画面の各セクションのページの権限を定義するためにセクションを展開します。
送信をクリックします。
カスタムロールはロールのリストに表示されます。
管理者へのロールの割り当て
管理者ページで、各管理者に複数のロールを割り当てることができます。 管理者が同じページに対して異なる権限を含む複数のロールを割り当てられると、より多くの権限が適用されます。 たとえば、管理者がWANファイアウォールページに対して編集権限を持つロールと、参照のみの権限を持つ別のロールを割り当てられた場合、その管理者はWANファイアウォールポリシーを編集できます。
注： IdPを使用して管理者グループをインポートした場合、この手順を使用してグループとしてロールを定義できます。
編集者ロールを持つ管理者だけがロールを割り当てたり削除したりできます
監査証跡（モニタリング > 監査証跡）でロール割当の変更を確認できます
管理者にロールを割り当てるには：
ナビゲーションメニューからアカウント > 管理者をクリックします。
管理者の行をクリックして、管理者の設定を開きます。
ロールドロップダウンメニューから複数のロールを選択します。
保存をクリックします。
ロールが管理者に適用されます。
サイト、ユーザー、および高度なグループへの管理者アクセスを提供する
Cato管理画面の管理者が編集または参照する権限を持つサイト、SDPユーザー、および高度なグループを定義できます。 特定のサイトまたはユーザーの参照権限がない管理者は、CMAページ上でそのエンティティに関する情報を確認することができません。
管理者がグループ（高度なグループではなく）に対する編集/表示権限を付与された場合、そのグループ内のサイトを編集/表示する能力があることを意味します。 グループ内にサイト以外のアイテムがある場合、それらは無視されます。
管理者が高度なグループを編集/表示する権限がある場合、それはグループ内のエンティティを表示したり、メンバーを追加・削除できることを意味します。
管理者は、すべてのユーザーグループに対して編集権限を持っている場合のみ、新しいSDPユーザーを作成できます。
役割に基づいて権限が割り当てられている管理者の場合、役割とエンティティの間にはANDリレーションシップがあります。 たとえば、管理者がロンドンサイトに対する参照権限を割り当てられ、その後サイトページの参照権限を持たない場合、その管理者はロンドンサイトを表示することができません。 また、ロンドンサイトに対する編集権限を有していても、サイトページに対する参照権限だけであれば、サイトを見ることはできても編集することはできません。
管理者がサイト、ユーザー、および高度なグループにアクセスできるようにするには：
ナビゲーションメニューからアカウント > 管理者をクリックします。
新しい管理者を作成するか、既存の管理者を編集します。
エンティティのアクセス権限で、ドロップダウンメニューからアイテムのタイプを選択します。
ドロップダウンを使用して、複数のエンティティを選択します。 エンティティはテーブルに追加されます。
エンティティタイプに関連するすべての設定を確認します。 たとえば、個別のサイトに対して権限を追加したばかりの場合は、すべてのサイトへのアクセス設定が適切か確認してください。
エンティティのテーブルにおける管理者権限を定義します。
保存をクリックします。 サイトとユーザーグループが管理者に割り当てられます。
エンティティ権限の既知の制限
管理者は、すべてのユーザーグループを合わせて最大1000のSDPユーザーに対して権限を持つことができます
管理者が1000を超えるSDPユーザーに対する権限を持っている場合、エラーが発生します。 SDPユーザーが1000以下になるように、一部のユーザーグループの権限を除去する必要があります。
管理者は、最大200の個別サイトに対して権限を持つことができます。 グループに適用されている場合、サイトには制限はありません。
Catoレポートはサイトやユーザーへの管理者権限に基づいてフィルタリングされません。 どの管理者がレポートを生成および表示できるかを制御するために、レポートページへのアクセスを制限できます。
管理者にグループを割り当てると、適用されるのはサイトとユーザーのみです。 グループ内の他のアイテム（ネットワーク範囲など）は無視されます。
次のダッシュボードとモニタリングページは、サイトまたはSDPユーザーで自動的にフィルタリングされません：
ルートテーブル
監査証跡
SaaS セキュリティ APIダッシュボード
XDRダッシュボード
検出と対応
アセット
ポリシー内のルールを管理する際、管理者は、特定のサイト、ユーザーグループなどに対する権限がない場合でも、すべての値を使用してルールを作成できます。
ユーザーグループに対する権限を持っている管理者は、ルールにSDPユーザーを追加することしかできません。 ユーザー アウェアネスで識別されたユーザーをルールに追加することはできません。