--- title: "LDAP同期とプロビジョニングのトラブルシューティング" slug: "ldap-sync-and-provisioning-troubleshooting" updated: 2026-09-07T23:35:40Z published: 2026-09-07T23:35:40Z canonical: "knowledge.catonetworks.com/ldap-sync-and-provisioning-troubleshooting" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # LDAP同期とプロビジョニングのトラブルシューティング ## 概要 LDAP (軽量ディレクトリアクセスプロトコル) 同期とユーザープロビジョニングは、リソースへの安全で効率的なアクセスを維持するための重要な要素です。 しかし、このプロセスを妨げる問題が発生することがあり、アクセスの問題や潜在的なセキュリティ脆弱性につながることがあります。 このプレイブックは、Catoでの一般的なLDAP同期とプロビジョニングの問題に対処し、それらを効果的に解決するためのソリューションを提供します。 ## 症状 LDAP同期とプロビジョニングの失敗は、さまざまな形で現れる可能性があります。 管理者は以下の症状を確認することができます。: - LDAP同期失敗 - ユーザーがCatoにプロビジョニングされない - 予期しないユーザーがCatoにプロビジョニングされる ## 考えられる原因 - Catoへのルーティングの問題 - 無効または欠落しているユーザー属性 - LDAP サーバーエラーまたは利用不可 - TLS接続性エラー - LDAPサーバーへの非対称ルーティング。 - ネストされたグループとその中のユーザー - 利用可能なSDPライセンスの不足 ## 問題のトラブルシューティング 管理者が遭遇する可能性のある症状のトラブルシューティング手順は以下に示されています。 これらの手順は、直面する問題の可能性のある原因を特定することを目的としています。 これらの手順の解決方法は、このプレイブックの後半で示されます。 ### LDAP同期失敗のトラブルシューティング 手動のLDAP同期は、**アクセス > ディレクトリサービス > LDAP**で「今すぐ同期する」をクリックすることでトリガーできます。 そうでない場合、アカウントが毎日の同期を無効にしていない限り、毎日00:00UTCにアカウント全体の自動同期が試みられます。 このセクションでは、LDAP同期が完了しないシナリオに対処します。 #### 接続テストの実行 CMから直接接続性テストの結果を確認してください。 テストはTCP接続性とドメインコントローラとのLDAPバインディングを検証します。 [無効な認証情報](/v1/docs/ldap-sync-and-provisioning-troubleshooting#resolving-ldap-credential-errors)や[サーバーダウン](/v1/docs/ldap-sync-and-provisioning-troubleshooting#troubleshooting-connectivity-issues)などの一般的な問題をこのツールで診断できます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17355761575453.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) #### ディレクトリ サービス イベント分析 同期失敗はCatoでイベントを生成します。 これらのイベントを、次のスクリーンショットに示すように、**サブタイプ**でフィルタして**DC接続障害**および**ディレクトリサービス**に絞ることができます。 **イベントメッセージ**フィールドは同期失敗の理由を示します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17301232393885.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) #### LDAPエラーの分析 LDAPエラーが同期試行時のDCイベントで表示されると、経験している問題の種類を示唆します。 DCに到達できないエラー(コード81、サーバーダウン)は接続性エラーを示唆します。 [接続性問題のトラブルシューティング](/v1/docs/ldap-sync-and-provisioning-troubleshooting#troubleshooting-connectivity-issues)を参照してください。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17306053205021.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) 特定のLDAPエラーを返すエラーは、LDAPサービスへの接続は可能でも、LDAPプロトコル内で同期プロセスが失敗していることを示唆します。 特定のLDAPエラーは、生成されたエラーコードに基づいて調査できます。 [このLDAPエラーのリスト](https://ldap.com/ldap-result-code-reference/)が役立つかもしれません。 以下の例は、無効なログイン資格情報による同期試行の失敗を示しています。 この問題を解決するには[LDAP資格情報エラーの解決](/v1/docs/ldap-sync-and-provisioning-troubleshooting#resolving-ldap-credential-errors)を続行してください ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17301800563869.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) #### 接続の問題のトラブルシューティング Cato CMAとLDAPサーバー間の双方向接続は、同期を成功裏に完了するために必要です。 以下を確認してください。: 1. DCサーバーは、Cato LDAP IPアドレスからのトラフィックを受信でき、Catoへの戻るルートを持って、そのアドレスへのトラフィックを返すことができます。 Cato LDAP IPアドレスを特定するには、[CMA IPアロウリスト](/v1/docs/cma-ip-allowlist)を参照してください（この記事を表示するにはサインインが必要です）。 2. ドメイン コントローラがIPsec接続の背後にある場合、またはサブネットの一部のみをソケットにルーティングする場合は、VPNトンネルのルーティング構成にCato LDAP IPアドレスを含める必要があります。 Cato LDAP IPアドレスを特定するには、[CMA IPアロウリスト](/v1/docs/cma-ip-allowlist)を参照してください（この記事を表示するにはサインインが必要です）。 3. DCサーバーのファイアウォールまたはセキュリティポリシーは、このトラフィックの双方向の流れを許可する必要があります。 ソケットサイトの背後にあるローカルLDAPサーバーの場合、トラフィックは双方向であるだけでなく、対称的でなければなりません。 Catoによって開始されたLDAPクエリは、ソケットトンネルを経由してサーバーに到達します。 返ってくるトラフィックはソケットトンネルを経由して再びルーティングされる必要があります。 これを行わないと非対称接続が発生し、同期が成功しなくなります サイトの**既知のホスト**ページから**最後のホスト活動**の値を確認して内部ドメインコントローラの生存を確認してください。 [サイトの既知のホストの表示](/v1/docs/showing-known-hosts-for-a-site)を参照してください 接続性の問題は、手動同期を実行しながら、DCサーバーに接続されたソケットLANで[PCAPキャプチャ](/v1/docs/how-to-capture-traffic-on-a-socket)を実行することでさらにトラブルシューティングできます。 フィルタ *ip.addr==Cato LDAP IPアドレス*を設定します。 暗号化されていないLDAPトラフィックはTCP/389ポートを使用し、暗号化されたLDAP (LDAPS) はTCP/636ポートを使用します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17304591550109.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) 暗号化されていないLDAPトラフィックのキャプチャは、LDAP応答がクリアテキストで表示されるため、同期問題のトラブルシューティングを容易にします。 暗号化されていないLDAPに切り替えるには、ディレクトリサービスの設定でSSL暗号化オプションのチェックを外します ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17304579692701.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) LDAP同期をSSLで暗号化する必要がある場合、[TLSエラーのトラブルシューティング](/v1/docs/ldap-sync-and-provisioning-troubleshooting#troubleshooting-tls-errors)を続行してください #### TLSエラーのトラブルシューティング LDAPSを行うとき、TLSの会話は、Cato PoPまたはLDAPサーバーによって失敗する可能性があります。 パケットキャプチャでは、Fatal Alertのようなエラーを特定できます。 以下の例では、PoPはClient Hello ACKを受信した後にTCP接続を閉じ、これはPoPに問題があることを示しています。 ![mceclip0 (2).png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17304579697949.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) LDAPSを行う際のTLSエラーをパケットキャプチャで特定します。 これを解決するには、[LDAPSのTLSエラーの解決](/docs/ja/ldap-sync-and-provisioning-troubleshooting#h_01HR5KY1EVSJCSYZWFB3FBD46Z)を続行します ### ユーザープロビジョニングの失敗のトラブルシューティング LDAPユーザーがCatoにプロビジョニングされない理由はいくつかあります。 このセクションでは、この動作を説明する最も一般的なシナリオを説明します。 #### ユーザーディレクトリページの確認 **アクセス > ユーザー**の下にある**ユーザーディレクトリ**ページで影響を受けるユーザーを特定しようとしてください。 次のいずれかを特定します。: - ユーザーがユーザーディレクトリから見つからない。 そうであれば、[欠落しているユーザー属性](/v1/docs/ldap-sync-and-provisioning-troubleshooting#checking-for-missing-user-attributes)、[ユーザー同期設定](/v1/docs/ldap-sync-and-provisioning-troubleshooting#checking-user-sync-settings)、[無効なユーザー](/v1/docs/ldap-sync-and-provisioning-troubleshooting#checking-for-disabled-ldap-users)、[ユーザークエリ制限](/v1/docs/ldap-sync-and-provisioning-troubleshooting#checking-for-user-query-limitation)及び[重複ユーザー](/v1/docs/ldap-sync-and-provisioning-troubleshooting#checking-for-duplicate-users)を確認してください。 - ユーザーがSDPライセンスなしでプロビジョニングされた。 これにより、ユーザーはCatoのSDPクライアントから接続できなくなります。 この問題がある場合、[欠落しているSDPライセンス](/v1/docs/ldap-sync-and-provisioning-troubleshooting#checking-for-user-query-limitation) 、[欠落しているユーザー属性](/v1/docs/ldap-sync-and-provisioning-troubleshooting#checking-for-missing-user-attributes)、および[重複ユーザー](/v1/docs/ldap-sync-and-provisioning-troubleshooting#checking-for-duplicate-users)を確認してください。 #### 欠落しているユーザー属性の確認 ユーザー属性は、Catoによって無効または欠落していると見なされ、プロビジョニングをスキップされることがあります。 次の属性が正しく設定されていることを確認してください。: - ADユーザーには、名前と姓が設定されている必要があります。 そうでない場合、名前または姓がないユーザーは、Catoアカウントに同期されません。 - メールとUPN属性は、次の形式で定義されている必要があります: *user@domain*。 そうでない場合、ユーザーはプロビジョニングされますが、SDPライセンスの割り当てには失敗します。 #### ユーザー同期設定の確認 ドメインコントローラ上のLDAPユーザーの変更は、CMAで多くのユーザーの変更をトリガーする可能性がありますが、これはLDAP設定で制御されています。 [既存ユーザーの詳細を更新する](/v1/docs/changing-the-email-address-or-user-principal-name-of-users)で説明されているように、オプションとして**これ以上のユーザーを削除または無効にしない**場合があります および**ユーザーのメールアドレスを更新、最大** は、各同期で削除、無効化、または更新されるユーザー数を制限します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/20323654735005.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) 制限を超えると、次のLDAP同期が失敗し、新しいLDAPユーザーがプロビジョニングされなくなります。 上記の問題が発生すると、**ディレクトリ サービス**イベントが生成されます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17328246910365.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) この問題を解決するには、ユーザーの変更が多いために同期が完了しない場合、これらのオプションをオフにします。 #### 無効なLDAPユーザーの確認 同期を実行する際に、プロビジョニングされるユーザーが無効か、Active Directoryでの期限が切れている場合、ユーザーはCMAにプロビジョニングされません。 CMAに失敗したイベントはありません。 ドメインコントローラでユーザーが有効になっていることを確認してください。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17305283075485.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) #### ユーザークエリ制限の確認 Microsoft Active Directory LDAPには、単一のクエリで返される可能性があるオブジェクトは最大で**1500属性**未満である制限があります。 そのため、CMAがLDAPクエリを実行する際、1500を超えるメンバーを持つグループは、CMAに空のメンバーリストを返し、CMA内のユーザーが非アクティブ化/削除されます。 ソケットLANからの[PCAPキャプチャ](/v1/docs/how-to-capture-traffic-on-a-socket)を実行して、この制限に直面しているかどうかを確認できます。 メンバー属性が空になり、追加のメンバー属性が表示され、**範囲=0-X**を表示します。 これはADサーバーがページネーションを強制しようとしていることを示しています。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17356425461789.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) この問題を解決するには、[ユーザークエリ制限の解決](/v1/docs/ldap-sync-and-provisioning-troubleshooting#resolving-user-query-limitation)を参照してください #### 重複ユーザーの確認 ユーザーの同期を実行する際、プロビジョニングするべきユーザーのメールアドレスが既にCMAに存在している場合、新しいユーザープロビジョニングの動作は、重複ユーザーがCMAにインポートされた方法に依存します。: - 重複ユーザーがLDAPである場合、新しいLDAPユーザーは正常にプロビジョニングされますが、**ユーザーディレクトリ**ページにSDPライセンスは割り当てられません上記の条件の下でSDPライセンスイベントが生成されます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17328234312733.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) この問題を解消するには、新しくプロビジョニングされたユーザーのメールアドレスやユーザー名を変更するか、重複しているLDAPユーザーを削除します。 これらのフィールドはディレクトリサービス内で全ユーザーに対して一意でなければなりません。 - 重複ユーザーがSCIMの場合、新しいLDAPユーザーはSCIMプロビジョニングされたユーザーを上書きしないためプロビジョニングされません。[SCIMからLDAPプロビジョニングへの変更](/v1/docs/changing-between-scim-and-ldap-user-provisioning)を参照してください。 この問題を解決するには、各ユーザーのメールアドレスが一意であること、およびLDAPとSCIMでプロビジョニングされたユーザーとグループが重ならないようにしてください。 - 重複ユーザーが手動の場合、新しいLDAPユーザーは手動でプロビジョニングされたユーザーを上書きしないためプロビジョニングされません。 この問題を解決するには、各ユーザーのメールアドレスが一意であることを確認するか、LDAP同期を行う前に手動でプロビジョニングされたユーザーをCMAから削除します。 #### 欠落しているSDPライセンスの確認 同期を実行したときに、アカウントまたは該当するユーザーおよびユーザーグループにSDPライセンスが利用できない場合、ユーザーは正常にプロビジョニングされますが、**ユーザーディレクトリ**ページでSDPライセンスは割り当てられません。 [SDPライセンスの割り当て](/v1/docs/assigning-ztna-licenses-to-users)で説明されているように、ユーザーまたはそのユーザーグループにSDPライセンスが割り当てられていることを確認してください。 問題がアカウント内のSDPライセンスに関連している場合、この条件でSDPライセンスイベントが生成されます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/18528825366557.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) この問題を解決するには、[SDPライセンスエラーの解決](/v1/docs/ldap-sync-and-provisioning-troubleshooting#resolving-sdp-license-errors)を参照してください ### 予期せぬユーザープロビジョニングのトラブルシューティング インポートされたLDAPユーザーは、さまざまな理由により、CMAに設定されているものとは異なる場合があります。 このセクションでは、この動作を説明する最も一般的なシナリオを説明します。 #### 空のユーザーグループフィールド [Active Directory グループのインポート](/v1/docs/implementing-ldap-user-provisioning)に説明されているように、LDAP設定でユーザーグループが選択されていない場合、Active Directory全体がインポートされます。 これにより、ユーザー基盤全体がCMAにインポートされ、Catoユーザーライセンスが尽きることになります。 この問題を解決するには、インポートしたいLDAPグループのみを定義し、[SDPライセンスエラーの解決](/v1/docs/ldap-sync-and-provisioning-troubleshooting#resolving-sdp-license-errors)を参照してください #### ネストされたグループの確認 LDAP 同期を実行した後、一部のプロビジョニング済みのユーザーが**アクセス** > **ディレクトリサービス** > **LDAP** > **ユーザグループ**にインポート用に未定義であることに気付いた場合、次を確認してください。: - Cato LDAP 同期は、各定義済みユーザグループのメンバーをスキャンします。 これらのグループにはユーザーやその他の**ネストされている**グループが含まれる場合があります。 この例では、CMA に定義されているのは**VPNグループ**のみです。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17306387217437.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) - 特定のユーザーが所属しているすべてのグループを CMA の**グループメンバー**ページで確認できます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17306372710301.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) - 上記の例では、**サブグループ**は**VPNグループ**のネストされたグループであるため、**サブグループ**のメンバーは定義済みのユーザグループ内に存在する場合に CMA にインポートされます。 ## 発見された問題の解決 ### LDAP 認証情報のエラー解決 LDAP 設定の**ログインDN**および**ベースDN**フィールドが、アクティブディレクトリで設定された管理者ユーザーの属性に基づいて正しいことを確認してください。 ログインDNを確認するために、DCのコマンドプロンプトで次のコマンドを実行してください。: ```plaintext dsquery user -name ``` 出力結果は、管理者ユーザーに設定された完全な**distinguishedName**を表示し、それがCMA の**ログインDN**フィールドと一致する必要があります ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17306127046173.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) 必要に応じて、ドメインコントローラ上の管理者ユーザーのパスワードをリセットし、CMAに入力されたパスワードと一致していることを確認してください。 ### LDAPS TLS エラーの解決 LDAP サーバーから TLS エラーが送信された場合、Windows の[イベントビューアー](https://learn.microsoft.com/en-us/answers/questions/410696/enforcing-tls-1-2-eventviewer-full-of-event-36871) で詳細情報を確認できます。 PoPから送信された場合は、関連するドメインコントローラをディレクトリサービス内で削除および [再追加](/v1/docs/syncing-users-with-ldap)を試みてください。 これによりLDAPサーバーとのTLS接続が再確立されます。 ### ユーザークエリの制限を解決 [LDAP とのユーザー同期](/v1/docs/syncing-users-with-ldap)で述べたように、この制限により望ましくないユーザーの非アクティブ化/削除を防ぐために、CMA の"グループメンバーシップの更新を防止する"オプションを設定することによって、単一の同期でユーザグループメンバーシップが変わる最大ユーザー数をカスタマイズできます。 ドメインコントローラからの空のクエリ応答を解決するには、以下の手順に従ってください。: - MicrosoftのLDAPポリシー属性MaxValRangeを調整して、返される値の数を制御します。 この手順はこの[MS記事](https://learn.microsoft.com/en-GB/troubleshoot/windows-server/active-directory/view-set-ldap-policy-using-ntdsutil)に説明されています。 - あるいは、クエリ制限を完全に削除することがこの[MS記事](https://learn.microsoft.com/en-us/archive/blogs/qzaidi/override-the-hardcoded-ldap-query-limits-introduced-in-windows-server-2008-and-windows-server-2008-r2)で説明されています。 - もしアクティブディレクトリで変更が許されない場合、唯一の代替手段は1500未満の属性を持つLDAPグループを使用してユーザーをCatoにプロビジョニングすることです。 ### SDP ライセンスエラーの解決 アカウントのライセンス状況は**管理系 > ライセンス > ユーザー**で確認できます ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/17304907399965.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A56Z&se=2026-11-10T17%3A30%3A56Z&sr=c&sp=r&sig=5jki9%2FhydhZS%2FL8CcSR2b%2FWh08D%2FY3Odwy5rFzq8Ea8%3D) 十分なライセンスが利用できない場合は、**アクセス > ライセンス割り当て**の下でユーザーとユーザグループの範囲を減少させます。 それ以外の場合は、追加のSDPライセンスの購入をCSMやアカウント所有者に確認してください。 ## Cato サポートへのケースの提出 上記のトラブルシューティング手順の結果を含む[サポートチケット](/v1/docs/submitting-a-support-ticket)を提出してください。 チケットに以下の情報を含めてください： - 経験した問題の詳細とユーザーへの全体的な影響。 - 関連するディレクトリサービスイベントと手動のLDAP同期の結果。 - LDAP サーバーとの完全な会話を示す PCAP キャプチャファイル。