Press CTRL+K to open search

配置 OneLogin 的 LDAP 同步和 SSO

  • 更新于 Jul 30, 2026
  • 发布于 Jul 7, 2026
  • 1 分钟阅读
Prev Next

本文解释了如何使用 LDAP 导入和同步 OneLogin 用户，并将 OneLogin 配置为 Cato 用户的 SSO 提供者。

SSO 依赖来自 Cato 和你的 IdP 的加密令牌来验证用户已通过身份认证并允许连接到网络。 有关详细信息，请参阅 Cato 用户的 SSO 认证。

LDAP 同步和 OneLogin SSO 的高级概览

这是将您的 Cato 账户与 OneLogin 配置和集成的过程的高级概览。 在您配置 OneLogin 以与 Cato 同步用户后，还可以将 OneLogin 配置为用户的 SSO 提供商。

  1. 在OneLogin中，配置虚拟LDAP设置。

  2. 在Cato管理应用程序中，将OneLogin域名添加到您的账户。

  3. 将OneLogin域控制器添加到域名中。

  4. 在OneLogin中，创建一个OpenID Connect应用程序以允许Cato认证用户使用OneLogin。

  5. 将群组（OneLogin角色）导入到您的账户。

  6. 为用户选择OneLogin作为SSO提供商。

注意：

要使用 OneLogin 作为 SSO 提供商，必须在 OneLogin 和 Cato 之间配置 LDAP 同步。 这需要在您的 OneLogin 帐户上启用 VLDAP 服务。

配置虚拟 LDAP 设置

要为 OneLogin 和您的 Cato 帐户启用 SSO 和 LDAP 同步，请使用 OneLogin 中的 认证 窗口启用虚拟 LDAP 并禁用多因素认证 (MFA)。 该窗口还具有用于在 Cato 管理应用中配置域的登录 DN 设置。

VPN SSO 需要启用 OneLogin VLDAP 服务。 如果您仅将 OneLogin 用于 LDAP 同步，则无需启用 VLDAP。

由于 OneLogin 的限制，每次 LDAP 同步限于 500 名用户。 对于有超过 500 名用户的账户，请多次运行 LDAP 同步。

要配置OneLogin中的虚拟LDAP设置：

  1. 在 OneLogin 中，从菜单栏选择 认证 > VLDAP。

    OneLogin_VLDAP.png

  2. 对于使用SSO的账户，确保已启用启用VLDAP服务。

  3. 清除多因素认证以禁用您的OneLogin账户的MFA。

  4. 在虚拟专有名称中，复制虚拟DN。 您将在添加新域名到OneLogin（下方）中输入虚拟DN。

  5. 单击 保存。 虚拟LDAP设置已配置。

配置 Cato 管理应用程序以与 OneLogin 执行 LDAP 同步

将您的 OneLogin 帐户作为目录服务中的新域名添加到 Cato 管理应用程序。 然后，为该域定义域控制器。

为 OneLogin 添加新域

使用 目录服务 窗口向您的帐户添加新域。 然后配置该域的 OneLogin LDAP 设置。

要添加新OneLogin域名到目录服务：

  1. 从导航菜单中，点击访问 > 目录服务。

  2. 在LDAP部分或标签页中，点击新建。

    新目录服务面板打开。

  3. 在LDAP服务器中输入域名的名称。

  4. 在 LDAP 身份验证连接 部分的 登录 DN 中配置 OneLogin 认证设置：

    OneLogin_LDAP_Details.png

    1. 在登录DN中，粘贴您在配置虚拟LDAP设置中复制的虚拟LDAP。

    2. 将cn更改为您的OneLogin账户的电子邮件地址。

    3. 在 基础 DN 中，粘贴虚拟 LDAP 并删除 cn 和 ou。 上面的截图显示了这些设置：

      • 登录DN: cn=admin@samplenetworks.com,ou=users,dc=sample-networks,dc=onelogin,dc=com

      • 基础DN: dc=sample-networks,dc=onelogin,dc=com

    4. 输入您的OneLogin账户的管理员密码。

    5. 启用使用SSL。

  5. 单击 保存。 OneLogin域名已上传到Cato管理应用程序。

  6. 点击测试连接以确保Cato可以连接到您的OneLogin账户。

为 OneLogin 配置域控制器

在配置和保存 OneLogin 域之后，配置域控制器的设置。 使用适合您的 OneLogin 帐户的主机设置：

  • US - ldap.us.onelogin.com

  • Europe - ldap.eu.onelogin.com

有关OneLogin主机设置的更多信息，请参见OneLogin文档。

要配置域控制器：

  1. 从 LDAP 部分或标签页，编辑您的 OneLogin 账户的域名。

  2. 从编辑目录服务导航菜单中，选择域控制器。

  3. 从下拉窗口中，选择 IP 或主机。

    OneLogin_DCOM.png

  4. 输入美国或欧洲的OneLogin主机，然后点击添加。

    由于域名已启用SSL，主机使用端口636。

  5. 点击 保存并关闭。 域控制器已上传到OneLogin域名。

为OpenID Connect配置OneLogin应用程序

在OneLogin中创建一个新应用，允许Cato使用OneLogin认证SDP用户。 然后将其配置为连接到Cato。

注意：

在 OneLogin 市场中存在一个遗留的 Cato Networks 应用程序，目前不支持。 我们建议不要使用此应用程序。

创建新应用

在OneLogin中创建一个新的OpenID Connect应用程序。

要创建OpenID Connect应用程序：

  1. 在您的OneLogin账户中，从菜单栏选择应用程序 > 应用程序。

  2. 点击添加应用。

  3. 搜索OpenId Connect并选择应用程序。

  4. 在添加OpenID Connect (OIDC)窗口中，输入应用程序的显示名称。

  5. 单击 保存。

配置OpenID Connect应用程序

将OneLogin应用程序配置为支持SDP用户的Cato SSO。 Cato根据角色执行与OneLogin的LDAP同步，而不是根据OneLogin群组。

对于新版SDP用户，使用Windows客户端v5.1及更高版本，需要为OneLogin应用程序配置额外的重定向URI。 此URI不适用于早期版本，或对于升级到Windows客户端v5.1或更高版本的现有用户。

要配置应用程序以连接到Cato：

  1. 从左侧导航菜单中，选择配置。

  2. 在重定向 URI中，输入这些 URI：

    • https://sso.via.catonetworks.com/auth_results

    • https://sso.proxy.catonetworks.com/auth_results

    • https://auth.catonetworks.com/oauth2/broker/code/onelogin

    • https://auth.us1.catonetworks.com/oauth2/broker/code/onelogin

    • https://auth.in1.catonetworks.com/oauth2/broker/code/onelogin

    • https://auth.jp1.catonetworks.com/oauth2/broker/code/onelogin

    • https://auth.catonetworks.com/endsession/callback

    • https://auth.in1.catonetworks.com/endsession/callback

    • https://auth.jp1.catonetworks.com/endsession/callback

    • https://auth.us1.catonetworks.com/endsession/callback

    • （为Windows客户端的新建远程用户）

      • https://sso.ias.catonetworks.com/auth_results

      • https://169.254.255.254/auth_results

  3. 从左侧导航菜单中选择SSO，并配置这些SSO设置：

    1. 将应用程序类型设置为Web。

    2. 将认证方法设置为POST。

    3. 复制客户端ID和客户端密钥。 在下面 配置 OneLogin 作为 SDP 用户的 SSO 提供商 部分中粘贴这些设置。

  4. 应用程序在 集成的应用程序 表中显示，状态为 已连接。

  5. 将应用程序添加到相关的OneLogin用户和角色。

  6. 执行初始LDAP同步。 在Cato管理应用中，在目录服务屏幕上，点击立即同步。

将OneLogin配置为SDP用户的SSO提供商

在Cato管理应用程序中，您可以将OneLogin配置为您账户中SDP用户和管理员的全局SSO提供商。

对于管理员，请确保CMA管理员的电子邮件与OneLogin中的电子邮件地址相同。

要配置OneLogin为SSO提供商：

  1. 在导航菜单中，选择 访问 > 单点登录。

  2. 点击新建

  3. 从身份提供者下拉菜单中选择OneLogin。

  4. 输入一个名称。

  5. 输入这些设置：

    • 客户端ID - 如上从OneLogin复制

    • 编辑客户端密钥 - 如上从OneLogin复制

    • OneLogin 域前缀 - 您的域名在您的OneLogin账户中定义

    • OneLogin 域后缀 - 选择onelogin.com

  6. 如果您正在配置一个单点登录提供商，启用默认开关。 如果您正在配置多个单点登录提供商，请参阅 配置多个身份提供者。

  7. 点击 应用。

  8. 为您账户中的一个或多种用户类型选择允许使用单点登录进行登录：

    • SDP客户端用户（设置 令牌有效期 设置）

    • 无客户端SDP用户（设置 Cookie 类型）

    • Cato管理应用管理员

  9. 应用程序在 集成的应用程序 表中显示，状态为 已连接。 OneLogin已配置为您账户中SDP用户的SSO提供商。

相关文章