この記事では、CatoクライアントがユーザーをSSO(シングルサインオン)で認証し、ネットワークに接続する方法を説明します。
アカウントにSSOを設定することで、認証が容易になり、ユーザーエクスペリエンスが向上します。 SSOでは、ユーザーがネットワークに接続できるように、3つのコンポーネントが連携してユーザーのアイデンティティを確認します。 まず、ユーザーはSSOのクレデンシャルで自分を識別します。 次に、IdPが認証システムとして機能し、ユーザーのクレデンシャルを検証します。 そして、CatoがIdPと連携してユーザーがクライアントにサインインし、ネットワークに接続できるようにします。
SSO認証プロセスは、IdPとCato間で共有される一意のトークンの生成と検証に依存しています。
注意
注: CatoはSSOのためにOIDCのみをサポートします。 SAMLベースの認証は現在サポートされていません。
SSO認証のために、クライアントは2つの暗号化されたSSOトークンに依存して、ユーザーが認証され、ネットワークに接続することを確認します。
-
IdPトークン: これは、ユーザーがSSOクレデンシャルで認証した後にIdPによって生成されます。
-
Catoトークン: クライアントがIdPからの成功した検証応答を受け取った後、PoPによって生成されます。 このトークンは、ユーザーが認証されていることを確認するためにCatoが使用します。それによりクライアントはCatoクラウドへの接続を維持できます。 Catoトークンはデバイスに保存され、有効期間はCato管理画面で設定されます。
Catoトークンが期限切れになると、PoPはIdPトークンが有効かどうかを確認します。 クライアントがIdPからの成功した検証応答を受け取ると、PoPは新しいCatoトークンを生成し、クライアントはCatoクラウドに接続したままになります。 CatoトークンとIdPトークンの両方が期限切れになると、クライアントはCatoクラウドから切断されます。 ユーザーが再認証した後に新しいIdPトークンを受け取ると、クライアントは再接続されます。
Catoトークンがどのように有効期限切れになるかを設定できます：
-
期間: Catoトークンが有効である期間を選択します。 この期間中、ユーザーがクライアントを切断してもトークンは有効のままです。
-
常時プロンプト: ユーザーがクライアントを切断するとCatoトークンの有効期限が切れます。 ユーザーが切断しない場合、Catoトークンが有効な期間を選択できます。
下記のテーブルは、各トークンが有効期限に達したときのクライアント接続ステータスを説明しています：
|
IdPトークンステータス |
Catoトークンステータス |
接続ステータス |
|---|---|---|
|
有効 |
有効 |
クライアントが接続されました |
|
期限切れ |
該当 |
クライアントがCatoトークンの期限が切れるまで接続されます |
|
有効 |
期限切れ |
|
|
期限切れ |
期限切れ |
|
このセクションでは、ユーザーがSSOを使用してクライアントに認証し、ネットワークに接続する例を示します。
このプロセスフローは、ユーザーが初めてクライアントに認証する際に何が起こるかを説明します。
-
クライアントで、ユーザーはユーザー追加をクリックします。
-
PoPは、ユーザーがメールアドレスを入力するための画面を生成します
-
PoPはメールアドレスをCatoアカウントに関連付けます。 クライアントは、アカウントのために設定された認証オプションを表示します。
-
-
ユーザーはSSOオプションをクリックし、クライアントはブラウザ（クライアント内または外部ブラウザ）を表示して、ユーザーがIdPログインと2要素認証の資格情報を入力できます。
-
IdPはユーザーの資格情報を検証します
-
-
資格情報が有効である場合、IdPはPoPにIdPトークンとともに成功の応答を送信します。
-
PoPはIdPと直接トークンの有効性を確認します。
-
トークンが有効であれば、PoPはCatoトークンを生成し、それをクライアントに送信します。
-
クライアントはデバイスにCatoトークンを保存します
-
ユーザーが認証され、クライアントがネットワークに接続されます
-
このプロセスフローは、常時オンが有効なユーザーがクライアントに認証するときに何が起こるかを説明します。
このプロセスは、上記の初期認証の後に行われます。
-
デバイスの電源が入り、起動します。
-
クライアントはデバイス上のCatoトークンが有効かどうかを確認します。 このチェックは自動またはユーザーによって開始されることがあります。これはトークンの有効性設定に依存します。
-
Catoトークンが有効である場合、クライアントは接続します
-
Catoトークンが期限切れである場合、クライアントはIdPトークンが有効かどうかを確認します
-
IdPトークンが有効である場合、クライアントはPoPに成功した検証の応答を送信します。 PoPは新しいCatoトークンを作成し、クライアントが接続します
-
IdPトークンの期限が切れている場合、クライアントは接続しません。 クライアントはアカウントに設定された認証オプションを表示します。 ユーザーが再認証した後にのみ、クライアントは接続します。
-
-
0件のコメント
サインインしてコメントを残してください。