Microsoft Entra Internet Access トラフィック転送プロファイルは、グローバル セキュア アクセス (GSA) クライアントを介してインターネット トラフィックをルーティングします。 このトラフィック転送プロファイルを有効にすると、ワーカーは制御された安全な方法でインターネットに接続できます。 Internet Access を使用すると、組織はユーザーがアクセスするすべてのインターネット サイトを検出して監視できます。 管理者は、Web コンテンツ フィルタリング ポリシー、ファイル スキャン ポリシーなどのさまざまなポリシーを使用して、これらのインターネット サイトへのアクセスを制御できます。
このチュートリアルでは、以下の内容を学習します。
- インターネット アクセス トラフィック転送プロファイルを有効にします。
- プロファイルにユーザーとグループを割り当てます。
- WINDOWS コンピューターに GSA クライアントをインストールします。
- トラフィック転送プロファイルが構成されていることを確認します。
主な概念
トラフィック転送プロファイルは、セキュリティ サービス エッジ (SSE) を介してキャプチャしてルーティングするトラフィックMicrosoft GSA クライアントに指示するメカニズムです。 次の 3 つのプロファイルがあります。
| プロファイル | トラフィックの種類 | Purpose |
|---|---|---|
| Microsoft トラフィック | Microsoft 365 サービス | Microsoft 365とテナントの制限のための最適化されたルーティング |
| プライベート アクセス | 社内リソース | 仮想プライベート ネットワークのZero Trust置き換え |
| インターネットへのアクセス | その他すべてのインターネット トラフィック | Web フィルタリング、脅威保護、トランスポート層セキュリティ (TLS) 検査 |
インターネット アクセス プロファイルを有効にすると、GSA クライアントは送信インターネット要求をインターセプトし、宛先に到達する前に Microsoft SSE プロキシにトンネルします。
手順 1: インターネット アクセス トラフィック転送プロファイルを有効にする
- グローバルセキュリティで保護されたアクセス管理者としてMicrosoft Entra admin centerにサインインします。
- [グローバル セキュア アクセス]>[接続]>[トラフィック転送] に移動します。
- チェックボックスをオンにして 、インターネット アクセス プロファイル を有効にします。
注
インターネット アクセス転送プロファイルを有効にする場合は、Microsoftトラフィック転送プロファイルを有効にしてMicrosoftトラフィックのルーティングを最適化する必要もあります。 同じページで Microsoft トラフィック プロファイルの切り替えを選択することで 、Microsoft トラフィック をトンネリングできます。 Microsoftトラフィックはインターネット アクセス トンネル経由でルーティングされないため、必要に応じて Microsoft traffic ボックスをオフのままにすることもできます。
手順 2: ユーザーとグループを割り当てる
Internet Access プロファイルは、有効になる前にユーザーに割り当てる必要があります。 段階的なロールアウトまたは概念実証テストのために、すべてのユーザーに割り当てたり、特定のユーザーやグループにスコープを設定したりできます。
- [ トラフィック転送 ] ページで、[ インターネット アクセス プロファイル ] セクションを見つけます。
- [ ユーザーとグループの割り当て] で、[表示] を選択します。
- [ 割り当て済み] で、 0 人のユーザー、割り当てられた 0 つのグループを選択します。
- [ ユーザー/グループの追加] を選択します。
- 含めるユーザーまたはグループを検索して選択します。
- 割り当てを選びます。
GSA クライアントがインストールされ、トラフィック転送プロファイルに割り当てられているユーザーのために、インターネット トラフィックがクライアント デバイスから Microsoft SSE プロキシに転送されるようになりました。
インターネット アクセス トラフィック プロファイルを有効にしてユーザーに割り当てると、GSA クライアントはインターネットにバインドされた Web トラフィックの傍受を開始します。 GSA クライアントは、トラフィックを宛先に直接送信する代わりに、セキュリティ プロファイルが適用されている GSA サービスにトラフィックを転送します。 トラフィックが許可されている場合にのみ、GSA サービスはトラフィックを目的の宛先に転送します。
手順 3: GSA クライアントをインストールする
次のいずれかのリンクから、Windows 11用の GSA クライアントをダウンロードします。 サンプルの PowerShell スクリプトを使用することもできます。
- 標準の Windows 11 マシンの場合は、
https://aka.ms/GlobalSecureAccess-Windowsを使用します。 - Arm ベースのWindows 11 マシンの場合は、
https://aka.ms/GlobalSecureAccess-WindowsOnArmを使用します。
- 標準の Windows 11 マシンの場合は、
ダウンロードしたファイルを選択し、ウィザードを完了して GSA クライアントをインストールします。
インストールが完了したら、GSA クライアント アイコンが Windows システム トレイに表示されることを確認します。
手順 4: 結果を確認する
Windows システム トレイの GSA アイコンを右クリックし、Advanced Diagnostics を選択します。
[転送プロファイル] を選択します。
インターネット アクセス規則が存在することを確認します。
必要に応じて、[ 正常性チェック ] タブの結果を確認します。
GSA クライアントは、トラフィック転送プロファイルの変更の更新を 5 分ごとに自動的にチェックします。 [転送プロファイル] タブの 転送プロファイルの最終チェック フィールドの横に、最後のチェックの日付と時刻 が 表示されます。目的の結果が表示されない場合は、5分待ってから [更新] を選択します。
注
Internet Access のルール セットを展開すると、ルールの長い一覧が表示され、そのほとんどが bypass ルールです。 これらのバイパス ルールは、主にMicrosoftのトラフィック宛先です。 これにより、Microsoftトラフィックがインターネット アクセス トンネル経由でトンネリングされないようにします。 代わりに、このトラフィックは、Microsoft トラフィック用に特別に最適化されたMicrosoft トラフィック プロファイルを介してトンネリングする必要があります。 インターネット ルールの最後に、TCP 80 と 443 をターゲットとする 0.0.0.0-255.255.255.255 が表示されます。 このキャッチオールルールは、明示的にバイパスされていないインターネットにバインドされたトラフィックの残りの部分をトンネルします。
学習した内容
この演習では、次のタスクを実行しました。
- インターネット アクセス トラフィック転送プロファイルを有効にする: このプロファイルは、インターネットに接続されたトラフィックを Microsoft SSE にトンネリングする GSA クライアントの機能をアクティブ化することを学習しました。
- トラフィック フローの理解: インターネット トラフィックがユーザー デバイスから GSA クライアント、Microsoft SSE プロキシ、最後にインターネットの宛先に流れるようになったことを学習しました。
- デプロイのスコープを設定しました。 特定のユーザーとグループを割り当てることで、段階的なロールアウト戦略を実装できることを学習しました。
トラフィック転送プロファイルが有効になっているので、セキュリティ ポリシー (Web フィルタリング、TLS 検査、脅威インテリジェンス) をインターネット トラフィックに適用するための基盤が得られます。 この手順を実行しないと、トラフィックは GSA サービスをバイパスし、ポリシーを適用することはできません。