Configuration de SSO et du sous-domaine pour le compte

L'écran Accès > Single Sign-On vous permet de choisir un fournisseur de Single Sign-On (SSO) pour votre compte. Vous pouvez choisir d'utiliser ce fournisseur SSO pour authentifier les utilisateurs aux Clients Cato, à l'Accès Navigateur, et les admins à l'Application de Gestion Cato.

Pour une liste des fournisseurs SSO pris en charge, consultez Single Sign-On.

Vous pouvez choisir différents paramètres d'authentification SSO pour les utilisateurs de votre compte. Vous pouvez permettre aux utilisateurs de ne s'authentifier qu'avec le fournisseur SSO, ou uniquement avec les identifiants utilisateur Cato, ou vous pouvez laisser les utilisateurs choisir l'une ou l'autre option.

Pour les administrateurs de l'application de gestion Cato, le nom d'utilisateur du fournisseur SSO (adresse e-mail de l'administrateur) est utilisé dans le processus d'authentification. Assurez-vous d'utiliser la même adresse email pour l'admin de l'application de gestion Cato et le compte du fournisseur SSO.

Vous pouvez configurer plusieurs fournisseurs SSO pour votre compte. Pour plus d'informations, voir Configurer plusieurs fournisseurs d'identité.

Utilisez la fenêtre Single Sign-On pour configurer le fournisseur SSO afin d'authentifier les utilisateurs de votre compte. Vous devez avoir des permissions d'admin pour configurer les paramètres SSO dans Microsoft Azure et Okta. Pour plus d'informations sur la configuration de Azure et Okta SSO, consultez la documentation pertinente de Microsoft et Okta.

Lorsque vous désactivez le Single Sign-On, les utilisateurs ne peuvent s'authentifier qu'avec les identifiants utilisateur Cato.

Vous pouvez choisir de configurer quels domaines sont autorisés à s'authentifier avec SSO. Restreindre l'accès basé sur des domaines spécifiques augmente la sécurité pour votre compte.

En tant que meilleure pratique de sécurité, nous recommandons que la durée de validité du jeton SSO soit réglée à un maximum de 30 jours. Pour plus d'informations sur le comportement de la session SSO, voir Comportement de la session SSO pour le client SDP Windows.

Utilisation de l'authentification unique avec Toujours demander

Pour une sécurité accrue, vous pouvez activer la fonctionnalité Always Prompt, afin que les utilisateurs finaux soient toujours tenus de s'authentifier auprès de l'IdP lorsqu'ils se connectent au Cato Cloud. Cela inclut également lorsqu'ils sont déconnectés du Cato Cloud, par exemple, si le client passe d'un PoP à un autre.

Configurez la durée maximale pendant laquelle un appareil est autorisé à être en connexion continue avec le Cato Cloud avant que l'utilisateur final soit forcé de se réauthentifier. Lorsque Always Prompt est activé, lorsque l'utilisateur final se déconnecte et se reconnecte, il bénéficie de la durée complète avant d'être obligé de s'authentifier.

Note

Remarque : Lors de la déconnexion, il y a une période de grâce de deux minutes où l'utilisateur reste authentifié, s'il se reconnecte au Cato Cloud.

Utilisez la fenêtre Single Sign-On pour configurer le fournisseur SSO afin d'authentifier les utilisateurs de votre compte. Vous devez avoir des permissions d'admin pour configurer les paramètres SSO dans Microsoft Azure et Okta. Pour plus d'informations sur la configuration de Azure et Okta SSO, consultez la documentation pertinente de Microsoft et Okta.

Lorsque vous désactivez le Single Sign-On, les utilisateurs ne peuvent s'authentifier qu'avec les identifiants utilisateur Cato.

Vous pouvez choisir de configurer quels domaines sont autorisés à s'authentifier avec SSO. Restreindre l'accès basé sur des domaines spécifiques augmente la sécurité pour votre compte.

Utilisez la fenêtre Single Sign-On pour configurer le sous-domaine pour l'application de gestion Cato et le portail SDP sans client. Vous pouvez également voir l'URL pour chaque fenêtre de connexion.

Le sous-domaine Cato ne prend pas en charge les domaines de premier niveau (TLD) tels que example.com. Vous pouvez utiliser des lettres et des chiffres dans le sous-domaine. Les traits d'union sont valides uniquement lorsque le compte est d'abord créé (le sous-domaine correspond initialement au nom du compte). Si vous tentez plus tard de modifier le sous-domaine, les traits d'union ne sont plus autorisés, et vous recevrez un message d'erreur.