--- title: "Azure条件付きアクセスがCato SSO認証の許可を許可できなかった" slug: "azure-conditional-access-fails-to-allow-cato-sso-authentication" updated: 2026-07-30T01:29:20Z published: 2026-07-30T01:29:20Z canonical: "knowledge.catonetworks.com/azure-conditional-access-fails-to-allow-cato-sso-authentication" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # Azure条件付きアクセスがCato SSO認証の許可を許可できなかった ## 問題 Catoポータルアプリケーションに対するAzure条件付きアクセスを実装してシングルサインオン（SSO）を制限する際、条件付きアクセスポリシーが構成された要件を満たしていないため、Catoクライアントにエラーメッセージ「現在このアクセスはできません」が表示されます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/15888902442909.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A02%3A06Z&se=2026-11-10T18%3A02%3A06Z&sr=c&sp=r&sig=ZhgFhWwsZFkyhURYKkGnpHP%2FU1un8DfLMPFRg%2FN4x5c%3D) ## 環境 - Azure SSOがCMAにおける認証メソッドとして設定されています。 - Azure条件付きアクセスは、送信元IPアドレス（ロケーション）またはCatoポータルアプリケーションに制限を適用します。 - 埋め込み型または外部ブラウザの両方。 ## トラブルシューティング SSO関連のAzure条件付きアクセスの問題をトラブルシューティングするために、次の手順をお試しください： 1. SSO認証:[初期認証のためのSSOプロセスフロー](/v1/docs/sso-authentication-for-users-with-cato)を理解してください。 - 初期のCatoクライアント接続時、SSO認証はクライアントとIdPの間でトンネルの外で直接行われます。 Azureは認証リクエスト内でクライアントのISP IPアドレスを確認します。 - 常時強制がユーザーに対して有効化されている場合、またはIdPトークンの有効期限が切れた後にSSO再認証が行われる場合、SSO認証はCatoクラウントとIdPの間でトンネル内でPoPを介して行われます。 AzureはCato PoP IPアドレスを認証リクエストで確認します。 2. Azureのサインインログにアクセスし、条件付きアクセスで失敗のイベントを分析します。 ログには、各認証試行についてクライアントのソースIPアドレスが含まれます。 条件付きアクセスタブで「詳細を表示」オプションを使用して、失敗の詳細をさらに確認します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/15889184458013.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A02%3A06Z&se=2026-11-10T18%3A02%3A06Z&sr=c&sp=r&sig=ZhgFhWwsZFkyhURYKkGnpHP%2FU1un8DfLMPFRg%2FN4x5c%3D) 3. 条件付きアクセスポリシーの構成を確認し、CatoポータルアプリケーションとCato PoP IP範囲が除外アイテムとして含まれていることを確認します。 ポリシーが正しく構成されており、SSO認証が成功するために正しい送信元IPアドレスとアプリケーションを許可していることを確認する必要があります。 4. それが原因である場合、Microsoft Azureの権限制限により条件付きアクセスポリシーがCatoポータルアプリケーションを正しく検出していないことがあります。 その場合、以下に示されるように、成功した認証に続いて失敗が表示されます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/15889137886237.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A02%3A06Z&se=2026-11-10T18%3A02%3A06Z&sr=c&sp=r&sig=ZhgFhWwsZFkyhURYKkGnpHP%2FU1un8DfLMPFRg%2FN4x5c%3D) ## 解決策 条件付きアクセスポリシーに位置情報（ユーザーの送信元IPアドレス）が含まれる場合、ユーザーの常時強制構成に基づいてIPアドレスまたはIP範囲を定義してください： - 常時強制が無効（オンデマンド）のユーザーは、認証時にクライアントのISP IPアドレスを使用し、再認証（トンネルがアクティブ中にIdPトークンが有効期限切れ）の際にはPoPのIPアドレスを使用します。 - 常時オンが有効なユーザーは、Catoインストール後の初期認証時にのみクライアントのISP IPアドレスを使用し、その後の認証リクエストと再認証リクエスト(トンネルがアップしている間にIdPトークンが有効期限切れの場合)のためにPoPのIPアドレスを使用します。 - Always-Onユーザー向けには、初期認証（Catoインストール後）をCatoトンネルを使用するように強制することも可能です。*InitialAlwaysOn*レジストリキーを有効にすることで、詳細は[WindowsクライアントのインストールとAlways-On](/v1/docs/protecting-users-with-always-on-security)で説明されています。 条件付きアクセスポリシーにCatoポータルアプリケーションを除外するブロックすべてのポリシーが含まれている場合、CMAのシングルサインオンページに移動し、**マイクロソフト認証情報**をクリックして、Azureと再度同意するための管理者資格情報を求められます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/19794816508701.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A02%3A06Z&se=2026-11-10T18%3A02%3A06Z&sr=c&sp=r&sig=ZhgFhWwsZFkyhURYKkGnpHP%2FU1un8DfLMPFRg%2FN4x5c%3D)