Эта статья рассматривает функции и параметры для импорта Пользователей SDP в ваш аккаунт в Cato для безопасного удаленного доступа к сети.
Обзор
Идентификация пользователей является основным элементом политики нулевого доверия, и Cato делает импорт и управление пользователями простыми. Cato использует вашего существующего Поставщика Идентификационных Данных (IdP), который является централизованной службой для управления идентификацией пользователей, и поддерживает возможность легкого предоставления и синхронизации пользователей с вашей учетной записью. IdP интегрируется с вашим аккаунтом Cato и автоматически импортирует и обновляет пользователей.
Это гарантирует, что у вас есть единственный источник истины для идентификации пользователей и обеспечивает вам консистентную идентификацию пользователей в вашей среде.
Cato поддерживает следующие методы импорта и создания пользователей:
Импорт пользователей из IdP через LDAP
Импорт пользователей из IdP через SCIM
Вручную создавайте пользователей в Приложении Управления Cato
Для получения дополнительной информации о поддерживаемых IdP в Cato, ознакомьтесь с разделом Использование Поставщика Идентификационных Данных для вашего аккаунта Cato.
Импорт пользователей с использованием LDAP
Вы можете предоставить пользователям доступ к вашему аккаунту с помощью LDAP для синхронизации пользователей из IdP в Cato. Cato поддерживает эти IdP для импорта через LDAP:
Microsoft локальный или Azure Active Directory (AD)
(Синхронизация групп с использованием протокола LDAP)
Okta
OneLogin (требуется vLDAP)
Jump Cloud
Для получения дополнительной информации о настройке предоставления LDAP с вашим IdP, ознакомьтесь со статьями в разделе Управление учетными записями пользователей LDAP.
Предварительные условия для импорта LDAP
Имя домена
Имя входа DN или Привязка DN и связанный пароль для аутентификации в AD или к LDAP-провайдеру
Базовый DN: Точка, с которой сервер LDAP начинает поиск аутентификации пользователя в вашем каталоге
Настройте входящие правила брандмауэра, чтобы позволить Cato подключиться к локальному AD или Azure AD
Жизненный цикл управления пользователями и группами
Процесс синхронизации LDAP происходит автоматически, один раз каждые 24 часа, в 0:00 по GMT. Любые обновления пользователей, удаленные пользователи или различия членства в группах в IdP синхронизируются с вашим аккаунтом.
Защита LDAP с помощью LDAPS
Cato предоставляет возможность улучшения безопасности при импорте пользователей через LDAP между вашим AD и Cato и перехода с LDAP на LDAPS. Cato использует TLS (SSL) для защиты подключения LDAP.
Шаги для настройки LDAPS для вашего аккаунта Cato:
Включите LDAPS на IdP (например, AD).
В Приложении Управления Cato, включите шифрование для управления учетными записями пользователей LDAP.
Cato пытается подключиться к IdP через порт 636.
Для облачных IdP, таких как Azure AD или Okta, Cato поддерживает только LDAPS, поскольку эти потоки проходят через общедоступный Интернет (который не является безопасным по своей природе).
Cato никогда не импортирует и не синхронизирует пароли для учетных записей пользователей IdP.
Преимущества импорта пользователей с помощью LDAP
LDAP - это давно устоявшаяся технология и практика для импорта пользователей.
Дополнительные ресурсы для импорта пользователей с помощью LDAP
Импорт пользователей с использованием SCIM
Определено SCIM стандарт для обмена информацией о идентификации между различными облачными приложениями и позволяет синхронизировать соответствующие данные идентификации между вашим IdP и вашим аккаунтом в Cato.
Cato поддерживает следующие IdP:
Azure AD
Okta
OneLogin
OneWelcome
Предварительные условия для импорта SCIM
Cato поддерживает SCIM, начиная с версии 2.0 и выше
Преимущества импорта SCIM
Немедленная синхронизация пользователей из IdP с вашего аккаунта Cato.
Обновления или изменения членства в группах или профилей пользователей обновляются почти в реальном времени
Интегрируйте IdP с вашим аккаунтом Cato, не настраивая никаких входящих правил брандмауэра
SCIM широко поддерживается поставщиками IdP и легко интегрируется с вашим аккаунтом
Дополнительные ресурсы для импорта пользователей с помощью SCIM
Ручное создание пользователей в приложении управления Cato
Вы также можете создать пользователей вручную в приложении управления Cato. Ручное создание пользователей часто используется в специфических ситуациях и не является масштабируемым решением, так как требует постоянных усилий для управления жизненным циклом идентификации пользователя.
Для получения дополнительной информации о ручном создании пользователей, смотрите Работа с пользователями.
Предварительные условия для ручного создания пользователей
Учетная запись каждого пользователя в приложении управления Cato должна включать: имя, фамилию и адрес электронной почты.
Лучшие практики для импорта пользователей
Импорт пользователей с помощью SCIM обычно является лучшим решением, чем импорт пользователей с помощью LDAP:
SCIM работает практически в реальном времени, и любые изменения в службе каталогов автоматически и быстро синхронизируются с вашим аккаунтом Cato.
LDAP автоматически синхронизируется с вашим аккаунтом один раз каждые 24 часа.
SCIM — это более простой, последовательный, современный и масштабируемый способ управления идентификацией из централизованного IdP в пользовательские приложения.
Мы рекомендуем использовать LDAP для импорта пользователей, только если невозможно использовать SCIM.