皆さん、こんにちは。

SB C&Sでネットワーク/セキュリティ関連のプリセールスを担当している　大東です。

Cato Networksでは、様々なIDaaSとシングルサインオンの連携ができますが、GoogleWorksSpaceとのシングルサインオン/ユーザープロビジョニングの連携手順について説明します。

※本機能は、2026年8月現在（EA：Early Access）となるため、GA後は多少の画面遷移変更の可能性も含んでいる可能性があります。

昨今では、Google（Gmail)をメインツールとして利用されているお客様もかなり増えております。

Googleとしても、様々なSaaSサービスとシングルサインオンできるサービスがあり、実際に利用されている方も多いかと思います。

CATOとしても、シングルサインオン連携は以前から機能がありましたが、ユーザーのプロビジョニングについてはEntraIDやOktaのようにSCIMが利用できないため、CATO側で手動でユーザーを作るか、別で連携するなどの方法が必要でした。

しかし、ようやくGoogle側とAPIを利用しての直接連携してユーザープロビジョニングができる機能が備わりました。

連携のイメージ

※現在は、下記の制限事項がありますので事前に確認をお願いします。

・最大10,000ユーザーと10,000グループの同期

・GoogleWorkSpaceとの連携後、他のIDaaS(EntraID,Oktaなど）とのSCIM連携など、複数のユーザープロビジョニング設定不可

・複数のGoogleWorkSpaceとの連携も不可（1つのGoogleWorkSpaceのみ連携可能）

CATO×GoogleWorkSpaceのユーザープロビジョニング連携手順

1.Google Cloud ConsoleにてAPI設定

[https://console.cloud.google.com/]にアクセスし、管理者権限でログインします。

[My First Project]をクリックし、新たにプロジェクトを作成します。

画面左上のナビゲーションメニュー（ハンバーガーメニュー）をクリックし、[APIとサービス]>[ライブラリ]の順にクリックします。

検索メニューで「admin sdk」で検索し、[Admin SDK API]を有効化します。

画面左上のナビゲーションメニュー（ハンバーガーメニュー）をクリックし、[IAMと管理]>[サービスアカウント]の順にクリックします。

[+サービスアカウントを作成]をクリックし、アカウントを作成します。

作成されたサービスアカウントをクリックします。

[詳細タブ]で「一意のID」をコピーしておきます。（後で利用するため）

[鍵タブ]をクリックし新しい鍵を「JSON」形式で作成して保存します。

※この段階で、エラーになった場合はポリシーでキーの作成が無効になっている可能性があります。

[組織のポリシー]から「Disable service account key creation」を無効(非アクティブ）にすることで作成することができます。

2.GoogleWorkspace管理画面での設定

[https://admin.google.com/]にアクセス

[セキュリティ]＞[アクセスとデータ管理]>[APIの制御]の順にクリック

[ドメイン全体の委任を管理]をクリック

APIクライアント画面で「新しく追加」をクリック

下記の通り、データをコピーして承認をクリックします。

クライアントID：Google Cloud ConsoleのサービスアカウントでコピーしたクライアントID

OAuthスコープ

1. https://www.googleapis.com/auth/admin.directory.user.readonly
2. https://www.googleapis.com/auth/admin.directory.group.readonly
3. https://www.googleapis.com/auth/admin.reports.audit.readonly

3.CATO管理画面での設定

[リソース]>[インテグレーション]>[設定済みの統合]の順にクリックします。

「新規」をボタンをクリックし、下記の通り設定

①統合：「Google Workspace」を選択

②「UserProvisioning」にチェック

③サービスアカウント

④名前：一意な名前を入力

⑥Admin Email：GoogleWorkspaceの管理者アドレスを入力

⑦Google Cloud Consoleのサービスアカウントでダウンロードした「JSON形式の鍵ファイル」

⑧コネクタのエラーを追跡：チェックを入れる

ステータスが[接続済み]となっていれば成功です。

[アクセス]>[ユーザー]>[User Directory]に移動すると、GoogleWorkspaceのユーザーが同期されていることが分かります。

GoogleWorkspace側でユーザーを追加すると、自動的にCATO側にもユーザーが作成されます。

一部のユーザーは、移行後にGoogleWorkspace側でユーザーを削除したことで[ステータス]が自動的に[無効]となっています。

また、Groupについても連携されています。

4.GoogleWorkspaceのシングルサインオン設定

シングルサインオンの有効化

CATOの管理画面から[Access]>[Single-Sign-On]からCATOとしてシングルサインオンを有効にします。

認証方式追加画面にて[Google]を選択して名前を設定した後、[有効]のトグルをONにして適用をクリックします。

この設定をデフォルトのシングルサインオン設定とする場合は、[Default]トグルもONにしてください

4.CATOクライアントからのログイン

Googleのログイン画面が表示され、メールアドレスパスワードを入力することで無事にCATOにログインすることができました。

まとめ

今回は、CATOとGoogleWorkspaceのアカウントとのシングルサインオン/ユーザープロビジョニングについて記載しましたが、ようやくGoogleと直接ユーザープロビジョニングができるようになりました。

この設定を行うと、他のIDaaSとのSCIM設定やプロビジョニングができなくなってしまう点はありますが、Googleを利用しているユーザーにとって、CATOとの自動連係により、ユーザー管理業務の工数を削減することができるようになります。

設定は初回こそ少し必要ですが、基本的にGUI操作だけで完結できるため比較的設定しやすい内容かと思います。

弊社では、CATOの勉強会や希望に応じてハンズオンなども実施しておりますので、担当営業までご相談いただければ幸いです。