本記事では、OneLoginからCato NetworksへのOpenID Connect（OIDC）シングルサインオン（SSO）の設定手順をご案内します。
目次
前提条件
- OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional（新料金体系）のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- Cato Management Applicationの Editor または Access Admin 権限をお持ちであること
- Cato SDP ClientからのSSOにはCato Networksのユーザーに SDPライセンス が必要であること
1. OneLogin側の設定
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ［Add App］をクリックします
-
Cato Networks と検索し、OpenID Connect2.0 のコネクタを選択します
-
Visible in portal のトグルをクリックし、× に変更します
*Cato Management ApplicationおよびCato ClientへのOIDCシングルサインオンは、OneLoginを起点とするSSOができないため、OneLoginポータルにおけるコネクタを非表示にすることを推奨いたします。
- ［Save］をクリックします
-
SSO タブに移動し、Client ID をクリップボードへコピーします
-
Show client secret をクリックします
-
Client Secret をクリップボードへコピーします
-
Authentication Method を POST に変更します
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
2. Cato Networks側の設定
- Cato Management Application に Editor または Access Admin でログインします
-
アクセス タブに移動します
- アクセス設定 > 認証 > シングルサインオン に移動し、［新規］をクリックします
-
Identity Provider から［OneLogin］を選択します
- 任意の 名前 を入力します
例）OneLogin
-
デフォルト に変更します
-
クライアントID に 1. OneLogin側の設定 手順7 でコピーした値を貼り付けます
-
ドメインプレフィックス に OneLoginテナントのサブドメイン を入力します
例）OneLoginのURLがpentio.onelogin.comの場合、pentioと入力します
-
ドメイン接尾辞 に .oneLogin.com を選択します
-
クライアントシークレット に 1. OneLogin側の設定 手順9 でコピーした値を貼り付け、［適用］をクリックします
- SDPクライアントユーザ > シングルサインオンでのログインを許可する にチェックを入れます
- Cato 管理画面の管理者 > シングルサインオンでのログインを許可する にチェックを入れます
*本手順により、Cato Management Applicationの管理者にもSSOを許可した場合、Cato SDP ClientとCato Management Applicationの両方へのSSOを1つのコネクタで実現することができます。
- ［保存］をクリックします
-
正常に保存されました と表示されることを確認します
OIDC連携の設定は以上です。
3. OIDC SSOの動作確認
- Cato Management Applicationからログアウトし、［Sign in with OneLogin］をクリックします
- 対象のOneLoginユーザーでサインインを続行します
-
You are logged in as… と表示されることを確認します
OIDC SSOの動作確認は以上です。
4. OIDC SSOの無効化
- Cato Management Application に Editor または Access Admin でログインします
-
アクセス タブに移動します
- アクセス設定 > 認証 > シングルサインオン に移動します
- Cato 管理画面の管理者 > シングルサインオンでのログインを許可する のチェックを外します
- SDPクライアントユーザ > シングルサインオンでのログインを許可する のチェックを外し、［保存］をクリックします
-
正常に保存されました と表示されることを確認します
OIDC SSOの無効化は以上です。
5. 外部ブラウザ経由でのCato ClientへのSSO
OneLoginにおいてPKI証明書を用いたデバイストラストをご利用の場合、Cato Clientの設定を変更し、外部ブラウザ経由でのSSOをご利用ください。
- Cato Clientを開きます
- ［Settings］を開き、Force External Browser にチェックを入れます
- ［Users］を開き、［ADD USER］をクリックします
-
Authentication in progress と表示され、外部ブラウザが起動します
-
Email を入力し、［Continue］をクリックします
- OneLoginへリダイレクトされるので、ユーザー認証を行います
-
You have been authenticated successfully と表示されることを確認します
- 切断する場合は［Home］に表示されているボタンをクリックします
外部ブラウザを経由したログインは以上です。