この記事は、初期認証を提供するためにネットワークとリソースへのアクセスを安全に確保するためのプレログイン設定の設定方法について説明します。
プレログインの概要
プレログインはゼロトラストネットワークアーキテクチャ（ZTNA）の重要なコンポーネントです。 これは、デバイス認証に基づいてデバイスへのアクセスを提供し、ユーザーが認証される前に提供します。 きめ細かなプレログインポリシーは、信頼されているデバイスに適用される許可された宛先の限定的なアクセスポリシーを定義します。
Catoのプレログイン機能は、新しいデバイスが新しいリモートユーザーに送信される場合の初期デバイス認証の問題に対処します。 デバイスは会社のアクティブディレクトリ（AD）に接続して、ユーザー認証を完了する必要があります。 しかし、これは新規デバイスであるため、そこにWindowsのユーザー資格情報はなく、認証されていないユーザーはADに接続することを許可されていません。
Catoのソリューションは、信頼された証明書とCatoクライアントをデバイスに事前にデプロイすることに基づいています。 これにより、デバイスが設定したプレログインリソースに接続するための十分な信頼が確立されます。 その後、ユーザーはデバイスに安全に認証することができます。
Catoのプレログインソリューション
デバイスがパブリックインターネット（例：ユーザーの自宅のWiFi）に接続できるようになると、またはWindowsユーザーがサインアウトすると、Catoのプレログイン機能によりデバイスはプレログインリソースに接続できるようになります。
このプレログイン段階では、デバイスはデフォルトのIPアドレス範囲からIPアドレスを取得します。 システムがデフォルトの範囲で動作するように構成されていますことを確認してください。
WindowsデバイスはCatoクライアントと信頼された証明書と共に事前構成され、Windowsレジストリにはアカウント名が設定されています。 クライアントは、その後、関連するリソースに接続し、例えば、ADに接続し、ユーザーはデバイスを認証します。 WindowsデバイスがCato Cloudに認証されると、Windowsユーザーの資格情報がデバイスに保存され、将来、必要に応じてADに認証し接続できます。
ユーザーが認証されるとき、そのルールが固定または動的なIPアドレスに一致した場合、そのアドレス範囲から引き出されます。
Windowsデバイスの必要条件
これらすべての必要条件を満たすWindowsデバイスは、Catoのプレログイン機能を使用できます。
Cato SDPクライアントの要件：
Windowクライアントv5.4以降でサポートされています
クライアントがデバイスにインストールされています
証明書の要件：
Cato管理アプリケーションにプライベート署名証明書（Cato証明書ではない）をアップロードします (アクセス > クライアントアクセス > 署名証明書)
証明書のアップロードに関する詳しい情報はこちらの記事をご覧ください。
Windowsデバイスに署名されたデバイス証明書をインストールします
デバイスのクライアント用Windowsレジストリを設定しますコンピューター\HKEY_LOCAL_MACHINE\SOFTWARE\CatoNetworksVPN：
このデバイスに対してプレログインを有効化
PreLogin (DWORD), データの値 1
アカウント名をCato管理アプリケーションで表示されるように設定します
サブドメイン (文字列), データの値 <アカウントサブドメイン>
例えば、アカウント名SampleCoは以下のドメインです： sampleco.via.catonetworks.com
ここで__, sampleco が <アカウントサブドメイン>アカウント用のサブドメインをアクセス > シングルサインオンに表示できます
クライアントがCato Cloudへの初期認証を成功させた後、レジストリが自動的に更新されます
（オプション）アウトオブザボックスでAlways-Onを設定している場合、次のキーを定義してください：
InitialAlwaysOn (DWORD), データの値 1
許可された宛先の要件
プライベートDNSサーバー（内部ADサーバーを含む）を使用するアカウントの場合、次の設定を構成します：
非公開DNSサーバーは許可された宛先として定義されています
アカウントに定義されたDNSサーバーは許可された宛先として自動的に含まれます
DNS転送が有効にされ、プライベートDNSサーバー用に設定されています
デフォルトでは、CatoクライアントはDNSサーバーとして10.254.254.1を設定します
お使いのアカウントがカスタムサービス範囲を使用している場合、DNSのIPアドレスはx.y.z.3です
Always-Onで設定されたSDPクライアントは、次の場所にのみ接続を許可されています：
WAN - 許可された宛先に定義されたリソース
インターネット - IdPでのユーザー認証
Always-On設定のない（新規デバイスを含む）SDPクライアントは、次の場所に接続できます：
WAN - 許可された宛先に定義されたリソース
インターネット - Windowsデバイスはインターネット上のあらゆるリソースに接続できます
セキュリティの理由から、許可された宛先のための最小のIP範囲を定義することをお勧めします
プレログインと接続時に接続
プレログインと起動時に接続が両方とも有効にされている場合、デバイスが起動した後、クライアントはプレログイン状態に入ります。 ユーザーがデバイスにサインインすると、クライアントはユーザーを認証しようとします。 詳細については、Catoクライアント接続フローの理解を参照してください。
サンプルプレログイン使用例
課題 - 新品のWindowsデバイスが社員の自宅に送られます。 企業のADはCatoサイトの背後にあるため、新しいユーザーはそれに接続できません。
解決策 - デバイスは上記のプレログイン要件を満たしています。 ユーザーがコンピュータをオンにすると、ADに接続することが許可され、ユーザーはADに認証してネットワークに接続することが許可されます。
Cato管理アプリケーションでのプレログイン設定の構成
事前構成されたWindowsデバイスが接続できる許可された宛先にリソースを定義するためにプレログイン画面を使用します。 デバイスのクライアントがCato Cloudへの接続を試みると、そのデバイスはプレログインデバイスとして認識されます。
Cato Cloudは、許可された宛先として構成されているリソースに接続を許可し、この接続にはWANおよび内部ファイアウォールルールが適用されません。 さらに、プレログイントラフィックにはデバイスポスチャ要件が適用されません。 Cato Cloudはプレログインプロセスに関連するトラフィックのみを許可します。
許可された宛先は、IPアドレス、IP範囲、または（特定のサイトに対して定義されている）ホストであることができます。 プレログインは最大48の許可された宛先をサポートします。
プレログインをサポートするためのアカウントの設定：
ナビゲーションメニューから、アクセス > クライアントアクセスをクリックします。
プレログインセクションを展開します。
プレログインを有効化を選択します。
ドロップダウンメニューから、各許可された宛先のホスト、IPアドレス、またはIP範囲を選択します。
注: セキュリティ上の理由から、IP範囲0.0.0.0 - 255.255.255.255を許可された宛先として使用しないでください。
保存をクリックします。