アカウント内でSSOを用いてユーザーをプロビジョニングおよび認証するために、複数のIdentity Provider（IdP）を設定することができます。 この記事では、アカウントで複数のIdPを設定する方法を説明します。
組織が複数のIdPを通じてユーザーを管理している場合、それらすべてをCatoと統合できるため、ユーザーを単一のテナントに統合する必要がありません。 複数のIdP（または同じIdPの複数のテナント）からユーザーをプロビジョニングし、複数のSSOプロバイダーを設定し、それぞれのプロバイダーで認証するユーザーをマッピングできます。
ユーザーがCatoクライアントまたはブラウザアクセスにサインインすると、そのユーザーに対して構成されたSSOプロバイダーのみが表示されます。
複数のIdPを設定するには次の手順に従います：
-
複数のSCIMディレクトリを構成
-
アカウントに複数のSSOプロバイダーを構成
-
ディレクトリをSSOプロバイダーにマッピング
アクセス > ディレクトリサービスページで、新規をクリックして複数のソースからユーザーをプロビジョニングするためにSCIMディレクトリを追加します。 SCIMでユーザーをプロビジョニングする方法の詳細については、SCIMユーザープロビジョニングをご覧ください。 すべてのSCIMディレクトリサービスにおいて、UPNとオブジェクトIDは一意でなければなりません。
アカウントで使用するために複数のIdentity Providerを追加できます。 デフォルトとして指定されたプロバイダは、管理者がCato管理画面にサインインするために使用します。 管理者がCMAにサインインするために複数のSSOプロバイダーはサポートされていません。
アカウントに複数のSSOプロバイダーを追加するには：
-
ナビゲーションメニューからアクセス > シングルサインオンを選択します。
-
新規をクリックします。
認証方式を追加するパネルが開きます。
-
追加したいアイデンティティプロバイダを選択し、名前を追加します。
-
（任意）このアイデンティティプロバイダをアカウントのデフォルトプロバイダにするには、デフォルトトグルを有効にします。
-
アイデンティティプロバイダの認証の詳細を追加します。 各プロバイダーには異なる構成要件があります。 アイデンティティプロバイダの構成方法について詳しくは、アイデンティティプロバイダ用の構成記事を参照してください。
注意: アイデンティティプロバイダーがAzureの場合は、適用をクリックし、その後保存をクリックします。 その後、Microsoft の同意設定リンクを有効にするためのエントリを編集します。
-
アカウント内の1つ以上のユーザータイプに対してシングルサインオンでのログインを許可するを選択します：
-
SDPクライアントユーザ（トークンの有効期限設定を設定）
-
クライアントレスSDPユーザ（Cookieタイプを設定）
-
Cato 管理画面の管理者
-
-
適用をクリックし、その後保存をクリックします。
ユーザー認証ページで、ユーザーのデフォルト認証方法を定義できます。 SSOを選択すると、デフォルトですべてのディレクトリサービスオプションが選択されます。 この構成では、すべてのユーザーがデフォルトのSSOプロバイダーで認証されます。 この構成を変更し、各ディレクトリがどのSSOプロバイダを使用するかをマップすることができます。
追加設定タブでは、クライアントでの認証に使用されるブラウザ（組み込みまたは外部）と再認証プロンプトを構成できます。 詳細情報は、Catoクライアントの認証ポリシーの設定を参照してください。
To map directories to an SSO provider:
-
ナビゲーションメニューからアクセス > ユーザー認証を選択します。
-
デフォルトメソッドドロップダウンをクリックし、SSOを選択します。
-
選択されたディレクトリサービスを選択します。
-
新規作成をクリックします。
新しいディレクトリサービス SSO プロバイダーパネルが開きます。
-
ディレクトリサービスドロップダウンをクリックし、マップしたいユーザーのプロビジョニング方法を選択します。
-
シングルサインオンプロバイダードロップダウンをクリックし、使用するプロバイダーを選択します。
-
適用をクリックし、その後保存をクリックします。
アカウントで不要になったIdentity Providerを無効にすることができます。 Identity Providerが無効化されると、ユーザーはCatoクライアントにサインインする際に使用できなくなります。
アカウントに複数のIdentity Providerが構成されている場合でも、ユーザーに影響はありません。 ユーザーがサインイン用にメールアドレスを入力した後、クライアントはユーザーにマップされたSSOプロバイダーのサインインページを表示します。
0件のコメント
記事コメントは受け付けていません。