本文解释了Cato客户端如何让用户通过单点登录(SSO)进行认证并连接到网络。
为您的账户配置SSO简化了认证过程并提升了用户体验。 使用SSO时，三个组件共同验证用户的身份，以便他们可以连接到网络。 首先，用户使用他们的SSO凭据进行身份验证。 其次，您的IdP充当认证系统以验证用户的凭据。 最后，Cato与您的IdP集成，以便用户可以登录客户端并连接到网络。
SSO认证过程依赖于在您的IdP和Cato之间生成和验证共享的唯一令牌。
注意
注意： Cato 在 SSO 仅支持 OIDC。 基于 SAML 的认证目前不支持。
对于SSO认证，客户端依赖于两个加密的SSO令牌来验证用户是否认证并允许连接到网络。
-
IdP令牌：这是用户使用他们的SSO凭据认证后由您的IdP生成的。
-
Cato令牌：该令牌由网络接入点在客户端收到来自IdP的成功验证响应后生成。 该令牌由Cato用于验证用户已被认证，以便客户端可以维持与Cato云的连接。 Cato令牌存储在设备上，其有效期在Cato管理应用程序中设置。
Cato令牌过期后，网络接入点检查IdP令牌是否有效。 如果客户端收到来自IdP的成功验证响应，网络接入点生成新的Cato令牌，并且客户端保持连接到Cato云。 如果Cato令牌和IdP令牌都已过期，客户端将从Cato云断开连接。 用户重新认证后，客户端仅在收到新的IdP令牌时重新连接。
您可以配置Cato令牌的过期方式：
-
持续时间：您选择Cato令牌有效的时间段。 在这段时间内，如果用户断开客户端，令牌仍然有效。
-
总是提示：用户断开客户端后，Cato令牌过期。 如果用户未断开连接，您可以选择Cato令牌的有效时间段。
下表解释了当每个令牌过期时，客户端的连接状态：
本节提供了用户使用SSO认证客户端并连接到网络的示例。
该流程解释了用户首次认证客户端时会发生什么。
-
在客户端，用户点击添加用户。
-
网络接入点生成一个屏幕让用户输入他们的电子邮件地址
-
网络接入点将电子邮件地址与Cato账户关联。 客户端显示为账户配置的认证选项。
-
-
用户点击SSO选项，客户端显示一个浏览器(在客户端或外部浏览器)，以便用户可以输入IdP登录和MFA凭证。
-
IdP验证用户的凭证
-
-
如果凭证有效，IdP向网络接入点发送成功响应和IdP令牌。
-
网络接入点直接与IdP确认令牌的有效性。
-
如果令牌有效，网络接入点生成Cato令牌并将其发送给客户端。
-
客户端在设备上存储Cato令牌
-
用户已认证，客户端连接到网络
-
0 条评论
请登录写评论。