SDPライセンスをUser Group単位で割り当てる場合は、SDPライセンス管理専用のUser Groupを作成して運用することを推奨します。

Catoでは、「Access > License Assignment」からUser Groupを指定して、グループに所属するユーザーへSDPライセンスを割り当てることができます。

ユーザーが複数のUser Groupに所属している場合、いずれかのUser GroupからSDPライセンスの割り当て対象となっている限り、そのユーザーにはSDPライセンスが割り当てられます。

そのため、特定のユーザーのみSDPライセンスを割り当て対象から外す場合は、そのユーザーが所属するすべてのUser Groupについて、SDPライセンスの割り当て状況を確認する必要があります。

Firewall制御用User Groupとの兼用について
WAN Firewallなどのポリシー制御に使用するUser Groupを、SDPライセンスの割り当てにも使用することは推奨しません。

例えば、あるUser Groupを以下の両方に使用している場合を考えます。

• WAN FirewallのUser/User Group条件
• SDPライセンスの割り当て

この構成では、特定のユーザーについてSDPライセンスのみを割り当て対象から外したい場合に問題となります。

ユーザーを当該User Groupから削除するとSDPライセンスの割り当て対象から外せますが、同時にWAN FirewallのUser Group条件にも一致しなくなります。

一方、WAN Firewallの制御を維持するためにUser Groupへの所属を維持すると、そのUser Groupを経由したSDPライセンスの割り当ても継続します。

このため、Firewallポリシーとライセンスの管理を独立して行うことが難しくなります。

推奨する管理方法
Catoサポートでは、SDPライセンスの割り当て専用User Groupを作成する方法を推奨しています。

例えば、以下のように用途を分離します。

Firewall制御用User Group

• ユーザー属性やアクセス権限に基づいてメンバーを管理
• WAN Firewallなどのポリシー条件として使用
• SDP License Assignmentには使用しない

SDPライセンス管理用User Group

• SDPライセンスが必要なユーザーのみ所属
• 「Access > License Assignment」でSDPライセンスを割り当て
• Firewallポリシーの管理とは独立してメンバーを変更

このようにUser Groupの用途を分離することで、Firewallのアクセス制御へ影響を与えることなく、SDPライセンスの追加・削除を行うことができます。

注意事項
既存環境をSDPライセンス管理専用User Groupへ移行する場合は、既存のFirewall制御用User Groupなどが「Access > License Assignment」の対象として残っていないことを確認してください。

ユーザーが複数のUser Groupに所属している場合、いずれかのUser GroupからSDPライセンスが割り当てられていると、そのユーザーへのライセンス割り当ては継続します。

そのため、SDPライセンスをUser Group単位で管理する場合は、ライセンス管理専用のUser Groupを用意し、Firewall制御など他の用途のUser Groupとは分離して運用することを推奨します。