概要
Catoは既存のIdentity Provider (IdP) を利用し、ユーザーのアイデンティティ管理のための中央サービスとして機能し、ユーザーをアカウントへ簡単にプロビジョニングおよび同期する機能をサポートします。 IdPはCatoアカウントと統合されており、自動的にユーザーをインポートして更新します。
Catoはユーザーおよびユーザーグループをプロビジョニングするために以下の方法をサポートしています：
IdPからSCIMおよびLDAP経由でユーザーをインポート
SCIM経由でIdPからユーザーをインポート
LDAP経由でIdPからユーザーをインポート
詳細については、SCIMとLDAPのユーザープロビジョニングの変更を参照してください。
ライセンスの割り当て
ユーザーまたはユーザーグループがこれらのいずれかの方法でプロビジョニングされると、いずれのポリシーにも含めることができ、ZTNAライセンスを割り当てることができます。 例えば、SCIMからユーザーをインポートし、LDAPから別のユーザーをインポートし、両者にリモートユーザーライセンスを割り当てることができます。 詳細については、ユーザーのリモートアクセスを定義するをご覧ください。
SCIMが設定されているときのLDAPディレクトリの追加
CMAで設定されたSCIMディレクトリの数が、LDAPディレクトリを追加できるかどうかを決定します：
SCIMディレクトリが設定されている場合、複数のLDAPディレクトリを追加できます。 現在、追加可能なLDAPディレクトリの数に制限は知られていません
SCIMディレクトリが2つ以上設定されている場合、LDAPディレクトリを追加できません
SCIMディレクトリが2つ以上設定されている場合、まずSCIMディレクトリを1つに減らす必要があります。 その後、LDAPディレクトリを追加します。
SCIMおよびLDAPを使用してユーザーをプロビジョニング
SCIMとLDAPは両方ともユーザーのプロビジョニングに使用できます。 しかし、各個別のユーザーはSCIMまたはLDAPのどちらかでしかプロビジョニングできません。 これにより、各ユーザーのための唯一の信頼できる情報源が保証されます。
同じユーザーがSCIMとLDAPの両方でプロビジョニングされたと識別された場合、SCIMプロビジョニングされたユーザーがLDAPプロビジョニングされたユーザーに優先されます。 これは、LDAPプロビジョニングされたユーザーがLDAPプロビジョニングされたグループから削除され、SCIMプロビジョニングされたグループに追加されることを意味します。
SCIMプロビジョニングは、コンシステントな動作を確保するための唯一の情報源として使用されます。 これは、ユーザーが意図したアクセスを提供するかどうかに影響を及ぼす可能性があります。 例えば：
ユーザーJohn DoeはLDAPでプロビジョニングされ、インターネットファイアウォールルールによってギャンブルサイトがブロックされているユーザーグループのメンバーです
John Doeはその後、SCIMでプロビジョニングされ、SCIMグループはインターネットファイアウォールルールに含まれていません
SCIMでプロビジョニングされたユーザーはLDAPでプロビジョニングされたユーザーを上書きし、ジョン・ドゥーはギャンブルサイトへのアクセスをブロックするユーザーグループから削除されます。
John Doeはインターネットファイアウォールルールには含まれておらず、ギャンブルサイトにアクセスできるようになります
ユーザーはメールアドレスまたはUPNを基に一致として識別されます。
SCIMおよびLDAPを使用してユーザーグループをプロビジョニング
SCIMとLDAPはともにユーザーグループをプロビジョニングするために使用できます。 しかし、各個々のユーザーグループはSCIMまたはLDAPのどちらかでしかプロビジョニングできません。 これにより、ユーザーアイデンティティのための唯一の情報源が保証され、環境において一貫したユーザーアイデンティティを確保します。
同じユーザーグループがSCIMとLDAPの両方でプロビジョニングされた場合、SCIMプロビジョニングされたユーザーグループはLDAPプロビジョニングされたユーザーグループを上書きします。 LDAPプロビジョニングされたユーザーグループに含まれるユーザーがSCIMプロビジョニングされたユーザーグループに含まれていない場合、それらのユーザーはCato管理アプリケーション内のユーザーグループから削除されます。 これにより、ユーザーに意図されたアクセスを提供することを確保する上で影響を及ぼす可能性があります。 例えば：
ファイナンスチームのユーザーグループはLDAPでプロビジョニング済みで、インターネットファイアウォールルールによってギャンブルサイトがブロックされています。 以下のユーザーが含まれます：
John Doe
Jane Phillips
Simon Thompson
ファイナンスチームのユーザーグループはその後SCIMでプロビジョニングされ、以下のユーザーが含まれます：
John Doe
Jane Phillips
SCIMプロビジョニングされたユーザーグループはLDAPプロビジョニングされたユーザーグループを上書きします
Simon Thompsonはファイナンスチームのユーザーグループから削除され、ギャンブルサイトにアクセスできるようになります