問題
Catoポータルアプリケーションに対するAzure条件付きアクセスを実装してシングルサインオン（SSO）を制限する際、条件付きアクセスポリシーが構成された要件を満たしていないため、Catoクライアントにエラーメッセージ「現在このアクセスはできません」が表示されます。
環境
Azure SSOがCMAにおける認証メソッドとして設定されています。
Azure条件付きアクセスは、送信元IPアドレス（ロケーション）またはCatoポータルアプリケーションに制限を適用します。
埋め込み型または外部ブラウザの両方。
トラブルシューティング
SSO関連のAzure条件付きアクセスの問題をトラブルシューティングするために、次の手順をお試しください：
SSO認証:初期認証のためのSSOプロセスフローを理解してください。
初期のCatoクライアント接続時、SSO認証はクライアントとIdPの間でトンネルの外で直接行われます。 Azureは認証リクエスト内でクライアントのISP IPアドレスを確認します。
常時強制がユーザーに対して有効化されている場合、またはIdPトークンの有効期限が切れた後にSSO再認証が行われる場合、SSO認証はCatoクラウントとIdPの間でトンネル内でPoPを介して行われます。 AzureはCato PoP IPアドレスを認証リクエストで確認します。
Azureのサインインログにアクセスし、条件付きアクセスで失敗のイベントを分析します。 ログには、各認証試行についてクライアントのソースIPアドレスが含まれます。 条件付きアクセスタブで「詳細を表示」オプションを使用して、失敗の詳細をさらに確認します。
条件付きアクセスポリシーの構成を確認し、CatoポータルアプリケーションとCato PoP IP範囲が除外アイテムとして含まれていることを確認します。 ポリシーが正しく構成されており、SSO認証が成功するために正しい送信元IPアドレスとアプリケーションを許可していることを確認する必要があります。
それが原因である場合、Microsoft Azureの権限制限により条件付きアクセスポリシーがCatoポータルアプリケーションを正しく検出していないことがあります。 その場合、以下に示されるように、成功した認証に続いて失敗が表示されます。
解決策
条件付きアクセスポリシーに位置情報（ユーザーの送信元IPアドレス）が含まれる場合、ユーザーの常時強制構成に基づいてIPアドレスまたはIP範囲を定義してください：
常時強制が無効（オンデマンド）のユーザーは、認証時にクライアントのISP IPアドレスを使用し、再認証（トンネルがアクティブ中にIdPトークンが有効期限切れ）の際にはPoPのIPアドレスを使用します。
常時オンが有効なユーザーは、Catoインストール後の初期認証時にのみクライアントのISP IPアドレスを使用し、その後の認証リクエストと再認証リクエスト(トンネルがアップしている間にIdPトークンが有効期限切れの場合)のためにPoPのIPアドレスを使用します。
Always-Onユーザー向けには、初期認証（Catoインストール後）をCatoトンネルを使用するように強制することも可能です。InitialAlwaysOnレジストリキーを有効にすることで、詳細はWindowsクライアントのインストールとAlways-Onで説明されています。
条件付きアクセスポリシーにCatoポータルアプリケーションを除外するブロックすべてのポリシーが含まれている場合、CMAのシングルサインオンページに移動し、マイクロソフト認証情報をクリックして、Azureと再度同意するための管理者資格情報を求められます。
