ServicenowでSSO連携したので、条件付きアクセスを設定してみました。
SSOの設定は以下を参考にさせていただきました
Azure AD と ServiceNow を SAML 連携し、シングル サインオンとユーザー プロビジョニングができるまでの環境を一から構成する
#条件付きアクセスの設定
まずユーザーを割り当てます。
クラウドアプリにServicenowを追加します。
対象デバイスプラットフォームは以下に設定しました。
場所はすべてに設定し、自宅のグローバルIPアドレスのみ対象外とします
クライアントアプリ
アクセス許可はintuneに準拠にしています
これで自社のIPアドレス（社内のIP）以外はintuneに準拠（登録）していないと
アクセスできなくなったはずですので早速iphoneで検証してみます。
#検証
###検証1 iphone：Microsoftedgeからのアクセス
URLにservicenowのURLを記入します
（edgeにはtestuserでサインインしています）
無事SSO出来ました（O365の認証も通らなかった。）
###検証にservicenowアプリからのアクセス
ユーザ名にユーザIDをいれ、［外部ログインを使用］をクリック
Office365にリダイレクトされるので、ユーザIDを入力
パスワードを入力しサインインを押下
条件付きアクセスでデバイスが準拠していないと判断され、拒否されてしまいました。
Azureでサインインログを見て状況を確認します。
以下はServicenowのサインログですがEdge でアクセスしたときはデバイス情報がAzureADにわたっています。
Servicenowアプリでアクセスしたときは、デバイス情報が渡っていません
んー試しにMFAでやってみます。
servicenowアプリからユーザー名を入力し、O365の認証後、
以下メッセージが表示されました
MFAだとログインできました。
サードアプリはMSアプリのようにintuneに準拠させるのは簡単にいかないっぽいです。
確認したところ、intuneに準拠しているかを判断させるには AzureADにデバイス証明書を提示する必要があり、デバイス証明書はiphoneの場合キーチェーンに格納されているので、そこへアクセスする権限がないといけないようです。
サードアプリはそこへアクセスする権限がなくて、Azureアクセス時にデバイス情報がNULLとなり、条件付きアクセスでintuneに準拠していると判断されていないようです。
MFA以外の対応方法もあると思うので、今度他の手段がないか調べてみようと思います。