---
title: "LDAPにユーザーを同期する"
slug: "syncing-users-with-ldap"
updated: 2026-07-30T01:28:31Z
published: 2026-07-30T01:28:31Z
canonical: "knowledge.catonetworks.com/syncing-users-with-ldap"
---

> ## Documentation Index
> Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt
> Use this file to discover all available pages before exploring further.

# LDAPにユーザーを同期する

この記事では、Active Directory（LDAP統合）と連携してCatoアカウントを設定する方法を説明し、デモンストレーションします。 この機能を使うと、ユーザーを取得し、Cato管理画面アプリケーション（CMA）に自動的に追加することができます。 ADサーバーへの認証は行われません。

ユーザーグループの名前には`sAMAccountName`属性が使われています。

同期には次の二つのメインオプションがあります：

1. ローカルADサーバーとの同期

2. 外部ADサーバーとの同期

## ユーザー同期設定の理解

ドメインコントローラでのLDAPユーザーの変更は、Cato管理画面でのユーザー変更を起こす可能性があります。 エラーを減らすために、以下の方法で各同期中に行われる変更の数を制限することができます：

- **ユーザーの削除や無効化防止:** 削除または無効化されるユーザー数を制限できます。
- **グループメンバーシップの更新防止:** LDAPの同期で1500人以上のユーザーグループメンバーシップが変更された場合、MicrosoftのオンプレミスActive Directoryがユーザーをグループから削除する可能性があります。 これを防ぐため、一回の同期でユーザグループメンバーシップを変更できる最大ユーザー数をカスタマイズできます。 詳細は、[Directory Services and User Awareness Errors Troubleshooting](/v1/docs/directory-services-and-user-awareness-errors-troubleshooting)をご覧ください
- **ユーザーのメールアドレス更新:** 更新されるユーザーのメールアドレス数を制限できます。

制限が超えられた場合、次のLDAP同期は失敗し、「**ディレクトリサービス**」サブタイプのイベントが作成されます。

> [!NOTE]
> 注：
> 
> 1つのグループが10,000人以上のメンバーを含む場合、同期できません。

## ローカルADサーバーの同期

LDAP同期が正しく動作していない場合は、[LDAP同期およびプロビジョニングのトラブルシューティング](/v1/docs/ldap-sync-and-provisioning-troubleshooting)をご参照ください。

**ローカルADサーバーの同期方法（Catoサイト背後のサーバー）：**

1. サイトのための**静的ホスト予約**ページにADサーバーを追加します。

![Hosts.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24218214952349.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A48%3A52Z&se=2026-11-10T17%3A48%3A52Z&sr=c&sp=r&sig=FfC%2FkirrcxZ6hGGnMqee%2BG6MpvMOZ3wOdc5hfB8yKEY%3D)
  1. ナビゲーションメニューから**ネットワーク > サイト**を選択して、サイトを選びます。
  2. ナビゲーションメニューから**サイト設定 > 静的ホスト予約**を選択します。
  3. **新規**をクリックして、ADサーバーの設定を入力します。
  4. **適用**をクリックし、その後、**保存**をクリックします。
2. アカウントに対して、**LDAP**サービスに新しいドメインを追加します。
  1. ナビゲーションメニューから**アクセス > ディレクトリサービス**をクリックし、**LDAP**タブまたはセクションを選択します。
  2. **新規**をクリックし、ADドメインの設定を行います。

![New_DirectorySevice.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24218225793309.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A48%3A52Z&se=2026-11-10T17%3A48%3A52Z&sr=c&sp=r&sig=FfC%2FkirrcxZ6hGGnMqee%2BG6MpvMOZ3wOdc5hfB8yKEY%3D)
    - ログインDNとベースDN - ADにアクセスするためのユニークな文字列（取得したユーザーの認証）
    - パスワード - Active Directory DNにアクセスするためのパスワード
    - 暗号化 - 全てのサーバーではサポートされていませんが、**SSLを使用する**を選択して接続を保護します
    - SDPユーザー同期設定 - LDAP同期に追加する制限を選択してください
  3. **保存**をクリックします。
3. 1番目のステップからADサーバーをドメインコントローラ（DC）としてドメインに追加します。
  1. パネルナビゲーションセクションで、**ドメインコントローラー**をクリックします。
  2. 上部のドロップダウンメニューから**ホスト**を選択し、次のドロップダウンメニューからステップ1で選択したホストを選びます。

![AD_host.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24218212619293.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A48%3A52Z&se=2026-11-10T17%3A48%3A52Z&sr=c&sp=r&sig=FfC%2FkirrcxZ6hGGnMqee%2BG6MpvMOZ3wOdc5hfB8yKEY%3D)
  3. **保存**をクリックします。
4. Catoアカウントに同期するADグループを選択します。

> [!NOTE]
> 注：
> 
> - グループが選択されていない場合、全てのADグループがユーザーアウェアネスのためにインポートされます。
> - 親グループを選んだ場合、ネストされたグループも同期されます
> - ユーザープリンシパル名（UPN）ADパラメータが設定されている場合、ユーザーはユーザーアウェアネスによって特定されます
  1. パネルナビゲーションセクションで、**ユーザーグループ**をクリックします。
  2. 同期するADグループを選択します。

![Edit_User_Groups.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24218215217949.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A48%3A52Z&se=2026-11-10T17%3A48%3A52Z&sr=c&sp=r&sig=FfC%2FkirrcxZ6hGGnMqee%2BG6MpvMOZ3wOdc5hfB8yKEY%3D)

> [!NOTE]
> 注：
> 
> Active Directoryからの組織単位のインポートでは、キャピタリゼーションが重要です。 **ExampleGroup**は**EXAMPLEGROUP**とは異なる扱いになります。

Active Directory内でOU名を変更する場合は、CMA内で選択したOUも変更してください。
  3. **Daily Sync User Groups**を選択して、グループとユーザーを毎日自動的に同期させます。
  4. **保存して閉じる**をクリックします。
5. **ディレクトリサービス**画面で、**今すぐ同期する**をクリックします。

ユーザーが同期された後、[SDPライセンス](/v1/docs/assigning-ztna-licenses-to-users)を割り当てられます。

ユーザーアウェアネスには、[ADクエリ](/v1/docs/using-ad-query-for-user-awareness)または[アイデンティティエージェント](/v1/docs/using-cato-identity-agents-for-user-awareness)によってユーザーが特定されます。

## 外部ADサーバーの同期

外部ADサーバーを同期する必要がある場合は、上記と同じ手順を実行できます。

- ユーザーのUPNまたはメールアドレスがADで変更された場合、影響を受けるLDAPユーザーのステータスはCMAで変わりません。
- Azure ADを同期する際に、**メンバー**と**ゲスト**のユーザータイプの両方が同期されます。
- ADユーザーには必ず名前と姓が設定されていることを確認してください。 そうしないと、名前または姓が欠けているユーザーはCatoアカウントに同期されません。

## ローカルADサーバーの同期

ドメインコントローラがIPsec接続の背後にあるか、Socketにのみいくつかのサブネットをルーティングする場合、VPNトンネルルーティング設定内にCMAのIPアドレスを含めてください。 このIPへのトラフィックはCatoトンネルを経由してルーティングされるべきです。

CMAのIPアドレスについて詳細は、[LDAP同期の問題を解決する](/v1/docs/resolving-issues-with-ldap-sync)をご覧ください（この記事を表示するにはCato知識ベースアカウントにログインする必要があります）。