皆さん、こんにちは。

SB C&Sでネットワーク/セキュリティ関連のプリセールスを担当している　大東です。

Cato Networksでは、様々なIDaaSとシングルサインオンの連携ができますが、Cisco Systemsの「Duo」とも連携できるようになりました。

Duoと言えば、CiscoSystemsのIDaaSであり、「多要素認証（MFA）を中心としたゼロトラスト対応のID認証・アクセス制御プラットフォーム」の製品です。

昨今ではDuo DirectoryのIDaaS機能やITDR機能などバージョンアップが大幅に行われている製品となります。

※Cisco Systems Duoの詳しい製品説明はコチラ

2026年8月現在、CATOが対応しているシングルサインオンの製品は下記となります。

Microsoft EntraID、Okta、Google、OneLogin、Pingなどは以前からありましたが、この数年で他のIDaaS製品も増えています。

7月上旬ごろはまだDuoはリストにはなかったのですが、新しく「Duo」の項目が増えていることが分かります。

これまでのCisco Duoとの連携ログイン

DuoはMFA製品の面が強いため、これまでは下記の図ようにEntraIDとDuoを連携するなどで利用はできていました。

この場合、一度EntraIDとの連携を経由するためDuo経由で直接Microsoft365を利用しているようなお客様にとっては、ひと手間いるような状態でした。

これからのCisco Duoとの連携ログイン

Cisco DuoがIDaaSの機能を実装したことにより、Cisco Duoの画面に遷移し認証を行うことでログインが可能。

CATO×Cisco Duoの連携手順について

※事前にCisco Duo側にユーザーを作成するか、EntraIDなどからユーザーのプロビジョニングを行い、Duo Direcrtory側にも同様のユーザーがいることが前提条件となります。

本資料では既にユーザーがいる前提となるため、この部分は割愛しております。

■Duo側のユーザーディレクトリに対象ユーザーがいる状態

１．シングルサインオンの有効化

CATOの管理画面から[Access]>[Single-Sign-On]からCATOとしてシングルサインオンを有効にします。

２．Cisco Duo側の設定

Cisco Duoの管理画面にログインし、[Applications]＞[Application Catalog]をクリックします。

「Oauth」等で検索し「OAuth2.1/OIDC」のアプリケーションを探し「+Add」をクリックします。

アプリケーションの名前などを入力し、このアプリケーションを利用するユーザーを指定します。

※下記画面では全ユーザーとしていますが、Duo Directoryで作成したグループやEntraIDなどから連携したグループなども指定可能です。

連携に必要な下記情報をコピーします。

[Metadataタブ]：OIDC Discovery URL

※CATO側の設定で入力します。

[Generalタブ]をクリックし、GrantTypeで「Authrization Code」にチェックを入れます。

その下にある[Sign-In Redirect URLs]に下記のURLをそれぞれ入力します。

=====

https://auth.catonetworks.com/oauth2/broker/code/duo

https://auth.us1.catonetworks.com/oauth2/broker/code/duo

https://auth.in1.catonetworks.com/oauth2/broker/code/duo

https://auth.jp1.catonetworks.com/oauth2/broker/code/duo

https://auth.catonetworks.com/endsession/

https://auth.us1.catonetworks.com/endsession/

https://auth.in1.catonetworks.com/endsession/

https://auth.jp1.catonetworks.com/endsession/

https://sso.via.catonetworks.com/auth_results

https://sso.ias.catonetworks.com/auth_results

https://sso.proxy.catonetworks.com/auth_results

=====

[Scopesタブ]については、特に変更項目はありません。

[Access Policy]タブでScope Authorizationに「openid」「email」「profile」を追加してください。

[Clientsタブ]でPublic client scopesでScope Authorizationに「openid」「email」「profile」を追加してください。

Clientタブでスクロールし[Clients]の部分にある[Cilent ID]、[Client Secret]をコピーし、Scopes(Permissions）に「openid」「email」「profile」を追加してください。

３．CATO側でのCisco Duo連携設定

CATO側の設定に戻り、[Access] > [Single Sign-On]から[New]をクリックし、Cisco Duoとの連携設定を行います。

Cisco Duo側でコピーした「メタデータURL」「クライアントID」「クライアントシークレット」を入力

Well-Knows URLにはメタデータURLを入力しますが、「https://」以降を入力してください

この設定をデフォルトのシングルサインオン設定とする場合は、[Default]トグルもONにしてください

基本的な設定はこれで完了となります。

シングルサインオンのユーザーについて

Cisco Duo内のユーザーがCATO側のユーザーディレクトリに存在している必要があります。

CATO側のユーザーは、ActiveDirectoryからのLDAP連携やEntraIDからのSCIMプロビジョニング、手動でのユーザー追加などで事前にCATO側に作成しておく必要があります。

※Cisco DuoユーザーのメールアドレスとCATO側のユーザーのメールアドレスが同一となるように登録する必要があります。

（オプション）マルチプルIDP設定をしている場合

この設定は、CATO内でCisco Duo以外にも複数のIDaaSを設定し、マルチプルIdPをしている場合に必要なものとなります。

※一つのSSOしかない環境の場合は、この設定は必要ありません。

下記は、CATOにマニュアルで作成したユーザーに対してCisco DuoのSSOを利用する設定です。

SSOとユーザープロビジョニングの紐づけします。

今回、CATO側には手動でユーザーを追加しているため、Directory Serviceは「Mannual Directory Service」を選択しております。

実際のログイン画面

まとめ

今回は、CATOとCisco DuoのIdP連携について記載しました。CATOはマルチIdPにも対応しているため、複数のIdPを設定することも可能です。

自社はEntraIDで管理しているが、共同利用している子会社はGoogleを利用している、メンテナンス業者はCisco Duoを利用しているなどの場合でもCATOのテナントを分けることなく柔軟にSSO構成を設計できます。
Cisco Duoと連携することで、クラウドサービス利用時の認証を一元化しつつ、Catoによるリモートアクセス制御やゼロトラストアクセスを組み合わせることができ、
ユーザー利便性を損なわずに、認証・アクセス制御・セキュリティ運用をより統合的に管理できます。
Cisco DuoがIDaaS機能も実装したことで、今後案件としても増えていく可能性があり、Catoとの連携により、安全で拡張性の高いリモートアクセス基盤を実現しやすくなります。

弊社では、CATOの勉強会や希望に応じてハンズオンなども実施しておりますので、担当営業までご相談いただければ幸いです。