WindowsクライアントのSSOセッション挙動

この記事は、IdPトークンとCatoトークンに関するWindowsクライアントのシングルサインオン(SSO)認証セッションの挙動について説明します。

概要

エンドユーザーは、Catoの認証トークンに基づいてCatoクライアントに認証されます。このトークンの期間はCato管理アプリケーションで設定されています。 IdP認証トークンの期間は、IdPの設定に基づいています。これらのトークンの開始時間は同期されていないため、同じ期間に設定したとしても通常は異なる時間に失効します。両方のトークンが期限切れの場合、ユーザーはIdPに再認証する必要があります。 SDPユーザのセッション期限切れについて詳しくは、ZTNAユーザーのセッション目標を理解するを参照してください。

注：
すべてのクライアントバージョンにおいて、Catoトークンが有効であれば、ユーザーが認証されます（たとえIdPトークンが期限切れでも）。
トークンの有効期間設定を常時プロンプトに設定せず、期間に設定したアカウントの場合、SDPユーザーはクライアントで接続するたびにIdPに認証する必要があります。 IdPトークンは無視されます。

SSO認証セッションの詳細については、アカウントのSSOとサブドメインの設定を参照してください。

Windowsクライアントトークンの期限切れ挙動

Catoトークンの期限が切れる10分前に、クライアントはエンドユーザーに影響やメッセージを与えずにIdP経由の自動再認証を試みます。 IdPトークンが有効な場合、クライアントは自動的に再認証し、Catoはアカウントのトークン期間設定に基づいて新しいSSOトークンを生成します。

CATOトークンの有効時間をCato管理アプリケーション（アクセス > シングルサインオン）で設定します。ユーザーエクスペリエンスとトークンの有効期限に関する詳しい情報については、SDP Usersのセッションの有効期限を理解するを参照してください。

両方のトークンが期限切れの場合、エンドユーザーはIdPに認証し、その後、新しいCatoトークンが生成されます。

Windowsクライアントトークンの期限切れ挙動の例

これは、Windowsクライアントのセッション挙動の例です。

ユーザーはIdPの資格情報（ユーザー名とパスワード）を入力することによってクライアントに認証されます。 IdPはユーザーのためにSSOトークンを生成します。
CATOトークンは、Cato管理アプリケーションのシングルサインオン設定に基づき10日間の期間で生成されます。
10日後- Catoトークンが期限切れの10分前、クライアントはIdPトークンに静かに再認証を試みます。
1. IdPトークンが有効な場合、クライアントは自動的に再認証を行い、ユーザーに影響を与えることなく続行します（セッションは中断されません）。 Catoトークンはさらに10日間有効です。
2. IdPトークンが期限切れの場合、ユーザーはIdPに認証するよう促され、その後Catoトークンはさらに10日間有効になります（セッションは中断されません）。
  ユーザーがIdPに再認証しない場合、残りの10分が終了した後、セッションが終了します。

クライアントSSO再認証メッセージの挙動

SSOセッションが期限切れに近づくと、クライアントはメッセージを表示し、ユーザーがセッションを中断せずに再認証できるようにします。構成と通知動作については、トークン期限切れ通知の設定を参照してください。