この問題は、SAML レスポンス (A) にグループ名が含まれていないことが原因である可能性があります。ポリシーが適用されているにもかかわらず、管理対象外デバイスからの Microsoft 365 へのアクセスが期待どおりにブロックされない場合、多くの場合、SAML アサーションがユーザーを制限対象グループのメンバーとして正しく識別していないことを示しています。この場合、このグループのログインアクティビティをブロックするポリシーを適用するには、SAML レスポンスに「marketing-users」というグループ名が含まれている必要があります。グループ名が含まれていない場合、ポリシーは適用されず、ユーザーは意図したとおりにブロックされません。

Netskope Cloud Securityでは、パスワードで保護されたファイルのアップロードをブロックするには、リアルタイム保護ポリシーで使用されるDLP（データ損失防止）プロファイルにファイルプロファイルを追加する必要があります。NetskopeのDLPプロファイルは、クラウド環境全体にわたって機密データをリアルタイムで検出し、保護するように設計されています。このアプローチにより、パスワードで保護されているなど、ファイルプロファイルに設定された条件に一致するファイルはすべてDLPルールをトリガーし、アップロードをリアルタイムでブロックします。
この情報は、Netskopeのドキュメントやリソースに記載されている、NetskopeでDLPプロファイルを設定するためのベストプラクティスと一致しています。

Netskopeクライアントを常に最新のアップグレードで最新の状態に保つには、2つのアクションが必要です。まず、クライアント設定で、管理者は「クライアントを最新リリースに自動的にアップグレードする」オプションを設定する必要があります。この設定により、クライアントは利用可能な最新バージョンに自動的に更新されます。次に、Netskopeクライアントの初期インストール時に、自動更新オンフラグを設定する必要があります。このフラグにより自動更新機能が有効になり、クライアントはリリースされたアップデートを受信して適用できるようになります。

分離されており、ブラウザを使用してインターネットにアクセスする可能性のあるすべてのサーバーに対してコンテンツ フィルタリングを必要とするサーバー サブネットの場合、この要件を満たす 2 つの Netskope 展開方法は次のとおりです。
B. サーバーにプロキシ設定を適用したオンプレミスデータプレーン（DPoP）を導入する：DPoPを導入することで、隔離されたサーバーはプロキシ設定を介してNetskopeクラウドに接続し、コンテンツフィルタリングを行うことができます。この設定により、サーバーは直接インターネットにアクセスすることなく、コンテンツフィルタリングのためにインターネットへのアクセスを制御できるようになります1。
C . セグメントにIPsecまたはGREトンネルを導入し、サーバーからのトラフィックをNetskopeに誘導する：IPsecまたはGREトンネルを導入することで、サーバーからのトラフィックを安全にNetskopeに誘導し、コンテンツフィルタリングを行うことができます。この方法は、トンネルがトラフィックをNetskopeのクラウドサービス1に到達させるための安全なパスを提供するため、サーバーがインターネットに直接アクセスできない環境に適しています。
これらの展開方法は、ネットワークが厳密に分離された環境で動作するように設計されており、インターネットにアクセスするサーバーに必要なコンテンツ フィルタリング機能を提供します。