グローバル セキュリティで保護されたアクセスに関する既知の制限事項

Windowsのグローバル セキュリティで保護されたアクセス クライアントの既知の制限事項は次のとおりです。

セキュリティで保護されたドメイン ネーム システム (DNS)

グローバル セキュリティで保護されたアクセス クライアントは、現在、HTTPS 経由の DNS (DoH)、DNS over TLS (DoT)、DNS セキュリティ拡張機能 (DNSSEC) など、さまざまなバージョンのセキュリティで保護された DNS をサポートしていません。 ネットワーク トラフィックを取得できるようにクライアントを構成するには、セキュリティで保護された DNS を無効にする必要があります。 ブラウザーで DNS を無効にするには、「ブラウザー で無効になっているセキュリティで保護された DNS」を参照してください。

TCP 経由の DNS

DNS では、名前解決にポート 53 UDP が使用されます。 一部のブラウザーには、ポート 53 TCP もサポートする独自の DNS クライアントがあります。 グローバルセキュアアクセスクライアントは現在、DNSポート53のTCPをサポートしていません。 軽減策として、次のレジストリ値を設定して、ブラウザーの DNS クライアントを無効にします。

• Microsoft Edge
  [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge] "BuiltInDnsClientEnabled"=dword:00000000
• クロム
  [HKEY_CURRENT_USER\Software\Policies\Google\Chrome] "BuiltInDnsClientEnabled"=dword:00000000
  また、ブラウジング chrome://flags を追加し、 Async DNS resolverを無効にしてください。

グループ ポリシーの名前解決ポリシー テーブルルールがサポートされていません

Windowsのグローバル セキュリティで保護されたアクセス クライアントは、グループ ポリシーの名前解決ポリシー テーブル (NRPT) 規則をサポートしていません。 プライベート DNS をサポートするために、クライアントはデバイスでローカル NRPT 規則を構成します。 これらのルールにより、関連する DNS クエリがプライベート DNS にリダイレクトされます。 NRPT 規則がグループ ポリシーで構成されている場合、クライアントによって構成されたローカル NRPT 規則がオーバーライドされ、プライベート DNS は機能しません。

さらに、以前のバージョンのWindowsで構成および削除された NRPT 規則により、registry.pol ファイルに NRPT 規則の空のリストが作成されました。 このグループ ポリシー オブジェクト (GPO) がデバイスに適用されている場合、空のリストはローカル NRPT 規則をオーバーライドし、プライベート DNS は機能しません。

軽減策として:

1. レジストリ キー HKLM\Software\Policies\Microsoft\Windows NT\DNSClient\DnsPolicyConfigがエンド ユーザー デバイスに存在する場合は、NRPT 規則を適用するように GPO を構成します。
2. NRPT 規則で構成されている GPO を検索するには:
   1. エンド ユーザー デバイスで gpresult /h GPReport.html を実行し、NRPT 構成を探します。
   2. NRPT 規則を含む registry.pol 内のすべての sysvol ファイルのパスを検出する次のスクリプトを実行します。

# =========================================================================
# THIS CODE-SAMPLE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND, EITHER 
# EXPRESSED OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE IMPLIED WARRANTIES 
# OF MERCHANTABILITY AND/OR FITNESS FOR A PARTICULAR PURPOSE.
#
# This sample is not supported under any Microsoft standard support program 
# or service. The code sample is provided AS IS without warranty of any kind. 
# Microsoft further disclaims all implied warranties including, without 
# limitation, any implied warranties of merchantability or of fitness for a 
# particular purpose. The entire risk arising out of the use or performance
# of the sample and documentation remains with you. In no event shall 
# Microsoft, its authors, or anyone else involved in the creation, 
# production, or delivery of the script be liable for any damages whatsoever 
# (including, without limitation, damages for loss of business profits, 
# business interruption, loss of business information, or other pecuniary 
# loss) arising out of  the use of or inability to use the sample or 
# documentation, even if Microsoft has been advised of the possibility of 
# such damages.
#========================================================================= 

# Define the sysvol share path.
# Change the sysvol path per your organization, for example: 
# $sysvolPath = "\\dc1.contoso.com\sysvol\contoso.com\Policies"
$sysvolPath = "\\<DC FQDN>\sysvol\<domain FQDN>\Policies"  ## Edit

# Define the search string.
$searchString = "dnspolicyconfig"

# Define the name of the file to search.
$fileName = "registry.pol"

# Get all the registry.pol files under the sysvol share.
$files = Get-ChildItem -Path $sysvolPath -Recurse -Filter $fileName -File

# Array to store paths of files that contain the search string.
$matchingFiles = @()

# Loop through each file and check if it contains the search string.
foreach ($file in $files) {
    try {
        # Read the content of the file.
        $content = Get-Content -Path $file.FullName -Encoding Unicode
        
        # Check if the content contains the search string.
        if ($content -like "*$searchString*") {
            $matchingFiles += $file.FullName
        }
    } catch {
        Write-Host "Failed to read file $($file.FullName): $_"
    }
}

# Output the matching file paths.
if ($matchingFiles.Count -eq 0) {
    Write-Host "No files containing '$searchString' were found."
} else {
    Write-Host "Files containing '$searchString':"
    $matchingFiles | ForEach-Object { Write-Host $_ }
}

3. 前のセクションで見つかった各 GPO を編集します。
   1. NRPT セクションが空の場合は、新しい Fictive ルールを作成し、ポリシーを更新し、Fictive ルールを削除して、ポリシーをもう一度更新します。 次の手順では、DnsPolicyConfigを registry.pol ファイル (レガシ バージョンの Windows で作成) から削除します。
   2. NRPT セクションが空ではなく、ルールが含まれている場合は、これらのルールが引き続き必要であることを確認します。 ルール が不要な場合は 、削除します。 規則 が必要で 、グローバル セキュリティで保護されたアクセス クライアントを使用するデバイスに GPO を適用する場合、プライベート DNS オプションは機能しません。

接続フォールバック

クラウド サービスへの接続エラーが発生した場合、クライアントは、転送プロファイル内の一致するルールの セキュリティ強化 値に基づいて、インターネットへの直接接続または接続のブロックにフォールバックします。

Geolocation

クラウド サービスにトンネリングされるネットワーク トラフィックの場合、アプリケーション サーバー (Web サイト) は接続のソース IP をエッジの IP アドレス (ユーザー デバイスの IP アドレスとしてではなく) として検出します。 このシナリオは、位置情報に依存するサービスに影響する可能性があります。

仮想化のサポート

仮想マシンをホストするデバイスにグローバル セキュリティで保護されたアクセス クライアントをインストールすることはできません。 ただし、クライアントがホスト マシンにインストールされていない限り、グローバル セキュリティで保護されたアクセス クライアントを仮想マシンにインストールできます。 同じ理由から、Linux 用 Windows サブシステム (WSL) はホスト コンピューターにインストールされているクライアントからトラフィックを取得しません。

Hyper-Vサポート:

1. 外部仮想スイッチ: グローバル セキュリティで保護されたアクセス Windows クライアントは、現在、Hyper-V外部仮想スイッチを持つホスト マシンをサポートしていません。 ただし、クライアントを仮想マシンにインストールして、トラフィックをグローバル セキュリティで保護されたアクセスにトンネリングできます。
2. 内部仮想スイッチ: グローバルセキュアアクセスWindowsクライアントは、ホストマシンとゲストマシンにインストールできます。 クライアントは、インストールされているマシンのネットワーク トラフィックのみをトンネルします。 つまり、ホスト コンピューターにインストールされているクライアントは、ゲスト マシンのネットワーク トラフィックをトンネリングしません。

グローバル セキュリティで保護されたアクセス Windows クライアントは、Azure 仮想マシンとAzure Virtual Desktop (AVD) をサポートします。

プロキシ

プロキシがアプリケーション レベル (ブラウザーなど) または OS レベルで構成されている場合は、クライアントがトンネリングする必要があるすべての FQDN と IP を除外するようにプロキシ自動構成 (PAC) ファイルを構成します。

特定の FQDN/IP に対する HTTP 要求がプロキシにトンネリングされないようにするには、FQDN/IP を例外として PAC ファイルに追加します。 (これらの FQDN/IP は、トンネリング用のグローバル セキュア アクセスの転送プロファイルにあります)。 例えば：

function FindProxyForURL(url, host) {   
        if (isPlainHostName(host) ||   
            dnsDomainIs(host, ".microsoft.com") || // tunneled 
            dnsDomainIs(host, ".msn.com")) // tunneled 
           return "DIRECT";                    // If true, sets "DIRECT" connection 
        else                                   // If not true... 
           return "PROXY 10.1.0.10:8080";  // forward the connection to the proxy
}

パケットインジェクション

クライアントは、ソケットを使用して送信されたトラフィックのみをトンネリングします。 ドライバーを使用してネットワーク スタックに挿入されたトラフィックはトンネリングされません (たとえば、ネットワーク マッパー (Nmap) によって生成されたトラフィックの一部)。 挿入されたパケットは、ネットワークに直接送信されます。

マルチセッション

グローバル セキュリティで保護されたアクセス クライアントは、同じコンピューターでの同時セッションをサポートしていません。 この制限は、リモート デスクトップ プロトコル (RDP) サーバーと、マルチセッション用に構成された Azure Virtual Desktop (AVD) などの仮想デスクトップ インフラストラクチャ (VDI) ソリューションに適用されます。

QUIC はインターネット アクセスでサポートされていません

QUIC はまだインターネット アクセスでサポートされていないため、ポート 80 UDP と 443 UDP へのトラフィックはトンネリングできません。

管理者は、クライアントが TCP 経由で HTTPS にフォールバックするようにトリガーする QUIC プロトコルを無効にすることができます。これは、インターネット アクセスで完全にサポートされています。 詳細については、インターネット アクセスでサポートされていない QUIC を参照してください。

WSL 2 接続

Windowsのグローバル セキュア アクセス クライアントがホスト コンピューターで有効になっている場合、Linux 用 Windows サブシステム (WSL) 2 環境からの送信接続がブロックされる可能性があります。 この問題を解決するには、dnsTunnelingを.wslconfigに設定するファイルを作成してください。 これにより、WSL からのすべてのトラフィックがグローバル セキュア アクセスをバイパスし、ネットワークに直接送信されます。 詳細については、「WSLの詳細設定の構成を する」を参照してください。

macOS 用グローバル セキュア アクセス クライアントの既知の制限事項は次のとおりです。

セキュリティで保護されたドメイン ネーム システム (DNS)

ブラウザーまたは macOS でセキュリティで保護された DNS が有効になっていて、DNS サーバーが Secure DNS をサポートしている場合、クライアントは FQDN によって取得されるように設定されたトラフィックをトンネリングしません。 (IP によって取得されたネットワーク トラフィックは影響を受けず、転送プロファイルに従ってトンネリングされます)。セキュリティで保護された DNS の問題を軽減するには、セキュリティで保護された DNS を無効にするか、セキュリティで保護された DNS をサポートしていない DNS サーバーを設定するか、IP に基づいてルールを作成します。

接続フォールバック

クラウド サービスへの接続エラーが発生した場合、クライアントは、転送プロファイル内の一致するルールの セキュリティ強化 値に基づいて、インターネットへの直接接続または接続のブロックにフォールバックします。

ソース IP アドレスの位置情報

クラウド サービスにトンネリングされるネットワーク トラフィックの場合、アプリケーション サーバー (Web サイト) は接続のソース IP をエッジの IP アドレス (ユーザー デバイスの IP アドレスとしてではなく) として検出します。 このシナリオは、位置情報に依存するサービスに影響する可能性があります。

UTM での仮想化のサポート

• ネットワークがブリッジ モードで、グローバル セキュア アクセス クライアントがホスト コンピューターにインストールされている場合:
  • グローバル セキュア アクセス クライアントが仮想マシンにインストールされている場合、仮想マシンのネットワーク トラフィックはローカル ポリシーの対象となります。 ホスト マシンのポリシーは、仮想マシンの転送プロファイルには影響しません。
  • グローバル セキュア アクセス クライアントが仮想マシンにインストール されていない 場合、仮想マシンのネットワーク トラフィックはバイパスされます。
• グローバル セキュア アクセス クライアントは、仮想マシンのネットワーク トラフィックをブロックする可能性があるため、ネットワーク 共有 モードをサポートしていません。
• ネットワークが共有 モード 場合は、クライアントがホスト コンピューターにもインストールされていない限り、macOS を実行している仮想マシンにグローバル セキュリティで保護されたアクセス クライアントをインストールできます。

QUIC はインターネット アクセスでサポートされていません

QUIC はまだインターネット アクセスでサポートされていないため、ポート 80 UDP と 443 UDP へのトラフィックはトンネリングできません。

Android 用グローバル セキュア アクセス クライアントの既知の制限事項は次のとおりです。

• Android (Go エディション) を実行しているモバイル デバイスは現在サポートされていません。
• Android 共有デバイスは現在サポートされていません。
• デバイスでプライベート ドメイン ネーム システム (DNS) を無効にする必要があります。 通常、この設定はシステム > ネットワークとインターネットにあります。
• Microsoft Defender for Endpointと共にMicrosoft以外のエンドポイント保護製品を使用すると、パフォーマンスの問題や予期しないシステム エラーが発生する可能性があります。
• Microsoft Tunnel とのグローバルなセキュリティで保護されたアクセスの共存は現在サポートされていません。 詳細については、「 Intune のMicrosoft トンネルの前提条件を参照してください。
• グローバル セキュリティで保護されたアクセス クライアントは、現在、HTTPS 経由の DNS (DoH)、DNS over TLS (DoT)、DNS セキュリティ拡張機能 (DNSSEC) など、さまざまなバージョンのセキュリティで保護された DNS をサポートしていません。 ネットワーク トラフィックを取得できるようにクライアントを構成するには、セキュリティで保護された DNS を無効にする必要があります。

iOS 用グローバル セキュア アクセス クライアントの既知の制限事項は次のとおりです。

• トンネリング クイック ユーザー データグラム プロトコル (UDP) インターネット接続 (QUIC) トラフィック (Exchange Onlineを除く) はサポートされていません。
• Microsoft Tunnel とのグローバルなセキュリティで保護されたアクセスの共存は現在サポートされていません。 詳細については、「 Intune のMicrosoft トンネルの前提条件を参照してください。
• 高品質のビデオをストリーミングすると、一時停止が発生することがあります
• グローバル セキュリティで保護されたアクセス クライアントは、現在、HTTPS 経由の DNS (DoH)、DNS over TLS (DoT)、DNS セキュリティ拡張機能 (DNSSEC) など、さまざまなバージョンのセキュリティで保護された DNS をサポートしていません。 ネットワーク トラフィックを取得できるようにクライアントを構成するには、セキュリティで保護された DNS を無効にする必要があります。