--- title: "SaaSアプリケーションのテナント制限を管理する（テナント制限ポリシー）" slug: "managing-tenant-restrictions-for-saas-apps-tenant-restrictions-policy" updated: 2026-10-01T23:12:46Z published: 2026-10-01T23:12:46Z canonical: "knowledge.catonetworks.com/managing-tenant-restrictions-for-saas-apps-tenant-restrictions-policy" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # SaaSアプリケーションのテナント制限を管理する（テナント制限ポリシー） この文書は、テナント制限ポリシーを使用して、SaaSアプリケーションのテナントへのアクセスを管理する方法を説明します。テナント制限ルールがヘッダーインジェクションを使用してどのようにアクセスを管理するかの概要については、[SaaSアプリケーションのテナントへのアクセスを制限する](/v1/docs/restricting-access-to-saas-application-tenants)をご覧ください。 ## 概要 テナント制限ポリシーは、ネットワーク内で許可されたアプリケーションに対して、ユーザーがアクセスできるテナントを制限するルールを作成することを可能にします。これにより、組織のテナント以外へのアクセスを防ぐことでネットワークの安全性を高めます。例えば、ユーザーが個人のメールアカウントやファイル共有アカウントへのアクセスを停止し、機密データの漏洩を防ぐことができます。 テナント制限ルールベースは、HTTPクライアント要求のヘッダーフィールドを変更することで、SaaSアプリケーションに向けたユーザートラフィックを制御します。トラフィックがルールに一致すると、Catoはプロキシとして機能し、そのルールで定義されたHTTPヘッダーを挿入します。サードパーティのアプリが指定されたヘッダーを受信し、そのアプリのための組織のテナントアクセスポリシーを実施します。 特定のユーザーグループ、サイト、または他のソースに適用される詳細なテナント制限ルールを設定できます。詳細なルールは、テナント制限を徐々に運用に組み込み、使用上の問題を回避するのに役立ちます。指定されたソースに対してテナント制限をバイパスするルールを作成することもできます。 ### 複数管理者によるポリシー改訂と同時編集 テナント制限ポリシーは、異なる管理者が同時にポリシーを編集することを可能にします。各管理者はルールを編集し、変更をルールベースに保存して、自分の非公開のリビジョンに保存してから、アカウントポリシー（公開済みリビジョン）に公開できます。ポリシー改訂の管理方法についての詳細は、[ポリシー改訂の操作](/v1/docs/working-with-policy-revisions)をご覧ください。 ### 前提条件 - テナント制限のルールでは、TLSインスペクションを有効にし、そのルールに一致するトラフィックを検査するTLSインスペクションポリシーを定義する必要があります。 - テナント制限機能はCASBライセンスに含まれています。 CASBライセンスの購入についての詳細は、Catoの担当者にお問い合わせください。 ## テナント制限ポリシーの有効化 テナント制限ポリシーを有効にして、SaaSアプリケーションのテナントアクセスを制御するルールを作成します。 **テナント制限ポリシーを有効または無効にするには：** 1. ナビゲーションメニューから**セキュリティ > アプリケーション & データ インライン**を選択します。 2. **テナント制限**タブを選択します。 3. スライダーをクリックして、アカウントに対する**テナント制限**ポリシーを有効（緑）または無効（灰色）にします。 ## テナント制限ルールの追加 テナント制限ポリシーにルールを追加するときは、そのアプリケーションのテナントアクセスを定義するために必要な各セクションを設定します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/31556465303709.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A13%3A51Z&se=2026-11-10T18%3A13%3A51Z&sr=c&sp=r&sig=i75kIpIohohmC2YeCcNIIruaVeTjmrnMT0zONHai9WA%3D) ### テナント制限ルールの作成 新しいテナント制限ルールを作成し、その設定を構成して組織のテナント管理を実施します。**インジェクトされたヘッダー** 項目には、次の文字のみを含むことができます： - **ヘッダー名** - **a**-**z**, **A**-**Z**, **0**-**9**、及び特別な文字: **_**と **-** - **ヘッダー値** - **a**-**z**, **A**-**Z**, **0**-**9**、及び特別な文字: **_ :;.,\/"'?!(){}[]@<>=-+*#$&`|~^&** ![Tenant_control_nonpolicy_new_rule.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/27468567339165.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A13%3A51Z&se=2026-11-10T18%3A13%3A51Z&sr=c&sp=r&sig=i75kIpIohohmC2YeCcNIIruaVeTjmrnMT0zONHai9WA%3D) **新しいテナント制限ルールを作成するには：** 1. ナビゲーションメニューから**セキュリティ > アプリケーション & データ インライン**を選択します。 2. **テナント制限**タブを選択します。 3. **新規**をクリックします。**新規ルール**パネルが開きます。 4. ルールのための**名前**を入力します。 5. ルールベースでのルールの**位置**を設定します。 6. **ソース**を展開し、ソースタイプを選択してください。 - タイプを選択してください（例：ホスト、ネットワークインターフェース、IP、すべて）。デフォルト値は**すべて**です。 - 必要に応じて、そのタイプのドロップダウンリストから特定のオブジェクトを選択します。 7. ドロップダウンメニューからSaaS**アプリケーション**を選択します。 8. 設定されたアプリケーションのための各**ヘッダー名**と**ヘッダー値**を定義してください（詳細情報は下記を参照）。 9. このルールの**アクション**を選択します。オプションは**ヘッダーの挿入**と**バイパス**です。 10. **（オプション）**このルールが有効であるときの**時間**オプションを設定します。 11. **保存**をクリックします。 変更は未公開の改訂に保存され、公開または破棄されるまで編集可能な状態で利用できます。 ## SaaSアプリのためのカスタムヘッダーの追加 **ヘッダー名**と**ヘッダー値**フィールドは、テナント制限ポリシーが施行するアプリとアクションを定義します。これらのフィールドは、各アプリに特有です。下記は、一般的に使用されるアプリに必要なフィールドの例です。最新の情報を確保するために、アプリのドキュメントを確認することをお勧めします。 ### ChatGPT ChatGPTはテナント制限を強制するために、以下のヘッダーと値を要求します。詳細については、[OpenAIのドキュメント](https://help.openai.com/en/articles/20001323-corporate-network-controls-in-chatgpt-enterprise)をご覧ください。 | ヘッダー | ヘッダー値 | | --- | --- | | `Chatgpt-Allowed-Workspace-Id` | `OpenAIワークスペースID (UUID)` | ### Claude Claudeはテナント制限を強制するために、以下のヘッダーと値を要求します。詳細については、[Claudeのドキュメント](https://support.claude.com/en/articles/13198485-enforce-network-level-access-control-with-tenant-restrictions)をご覧ください。 | ヘッダー名 | ヘッダー値 | | --- | --- | | `anthropic-allowed-org-ids` | `組織のチームID` | ### Microsoft 365 > **注意：** > > テナント制限ルールでは、Teams、Outlook、SharePoint、OneDrive、またはCopilotなどの個別の Microsoft 365 サービスではなく、**Microsoft Login** アプリケーションを選択します。 Microsoft は公式にサインイン時のテナント制限（ヘッダーインジェクションを介して）をサポートしており、これらすべてのサービスが共有しています。 Microsoft 365は、テナント制限を施行するために2つのヘッダーが必要です。この順序で次の二つのルールを追加してください。詳細については、[Microsoft のドキュメント](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/tenant-restrictions)を参照してください。 | ヘッダー名 | ヘッダー値 | | --- | --- | | `Sec-Restrict-Tenant-Access-Policy` | `restrict-msa` | | `Restrict-Access-To-Tenants` または `Restrict-Access-Context` | 組織のドメイン、例えば`bbbbcccc-1111-dddd-2222-eeee3333ffff` | 例を挙げると： ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/image(75).png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A13%3A51Z&se=2026-11-10T18%3A13%3A51Z&sr=c&sp=r&sig=i75kIpIohohmC2YeCcNIIruaVeTjmrnMT0zONHai9WA%3D) ### Slack Slackはテナント制限を施行するために2つのヘッダーが必要です。詳細については、[Slack のドキュメント](https://slack.com/help/articles/360024821873-Approve-Slack-workspaces-for-your-network)を参照してください。 | ヘッダー名 | ヘッダー値 | | --- | --- | | `X-Slack-Allowed-Workspaces-Requester`, `X-Slack-Allowed-Workspaces` | 組織のワークスペースID | ### Google Suite 次のヘッダーと値を追加してテナント制限を施行します。詳細については、[Google のドキュメント](https://support.google.com/a/answer/1668854)を参照してください。 | ヘッダー名 | ヘッダー値 | | --- | --- | | `X-GooGApps-Allowed-Domains` | 組織のドメイン | 例として： ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/image(76).png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A13%3A51Z&se=2026-11-10T18%3A13%3A51Z&sr=c&sp=r&sig=i75kIpIohohmC2YeCcNIIruaVeTjmrnMT0zONHai9WA%3D) ### Dropbox 次のヘッダーと値を追加してテナント制限を施行します。詳細については、[Dropbox のドキュメント](https://help.dropbox.com/security/network-control)を参照してください。 | ヘッダー名 | ヘッダー値 | | --- | --- | | `X-Dropbox-allowed-Team-Ids` | 貴社の組織のチームID |