Microsoft 365 ネットワーク接続の原則

この記事は、Microsoft 365 Enterprise および Office 365 Enterprise の両方に適用されます。

Microsoft 365 ネットワーク接続のためのネットワークの計画を開始する前に、Microsoft 365 トラフィックを安全に管理し、可能な限り最高のパフォーマンスを得るための接続の原則を理解することが重要です。 この記事は、Microsoft 365 ネットワーク接続を安全に最適化するための最新のガイダンスを理解するのに役立ちます。

従来のエンタープライズ ネットワークは、強力な境界セキュリティを使用して、会社の運営データ センターでホストされているアプリケーションやデータにユーザーがアクセスできるように設計されています。 従来のモデルでは、ユーザーは社内ネットワークの境界内から、または支社の WAN リンクを介して、あるいは VPN 接続経由でリモートでアプリケーションやデータにアクセスします。

Microsoft 365 のような SaaS アプリケーションを導入すると、ネットワークの境界外でサービスとデータの組み合わせができます。 最適化されていない場合、ユーザーと SaaS アプリケーション間のトラフィックが、パケットの検査、ネットワーク ヘアピン、地理的に離れたエンドポイントへの偶発的な接続、その他の要因による遅延の対象になります。 主要な最適化ガイドラインについて理解し、それを実装することで、 Microsoft 365 の最適なパフォーマンスと信頼性を実現できます。

この記事では、次のことについて説明します。

• クラウドへのお客様の接続に適用されるMicrosoft 365 アーキテクチャ
• Microsoft 365 の接続の原則と、ネットワーク トラフィックとエンド ユーザー エクスペリエンスの最適化に関する戦略が更新されました
• Microsoft 365 エンドポイント Web サービス。ネットワーク管理者は、ネットワークの最適化に使用するエンドポイントの構造化されたリストを使用できます
• Microsoft 365 サービスへの接続を最適化するためのガイダンス
• 境界ネットワーク セキュリティとエンドポイント セキュリティの比較
• Microsoft 365 トラフィックの増分最適化 オプション
• Microsoft 365 への基本的な接続をテストするためのツールである Microsoft 365 接続テスト

Microsoft 365 アーキテクチャ

Microsoft 365 は、多様なマイクロサービスとアプリケーションのセットを通じて生産性とコラボレーションのシナリオを提供する分散型のサービスとしてのソフトウェア (SaaS) クラウドです。 例としては、Exchange Online、SharePoint Online、Microsoft Teams、ブラウザー版 Office などがあります。 特定の Microsoft 365 アプリケーションには、顧客ネットワークやクラウドへの接続に適用される独自の機能がある場合がありますが、それらはすべて、いくつかの重要なプリンシパル、目標、およびアーキテクチャ パターンを共有しています。 接続に関するこれらの原則とアーキテクチャパターンは、他の多くの SaaS クラウドで一般的です。 同時に、これらは、Microsoft Azure などの Platform-as-a-Service および Infrastructure-as-a-Service クラウドの一般的なデプロイ モデルとは異なります。

Microsoft 365 の最も重要なアーキテクチャ上の機能の 1 つは (ネットワーク設計者によって見落とされたり、誤解されたりすることがよくあります) は、ユーザーが接続する方法のコンテキストで、真にグローバルな分散サービスであるという点です。 ターゲット Microsoft 365 テナントの場所は、顧客データがクラウド内で格納される場所のローカリティを理解するために重要です。 ただし、Microsoft 365 のユーザー エクスペリエンスには、データを含むディスクへの直接接続は含まれません。 Microsoft 365 のユーザー エクスペリエンス (パフォーマンス、信頼性、およびその他の重要な品質特性を含む) には、世界中の数百の Microsoft ロケーションでスケールアウトされた高度に分散されたサービス フロントエンドを介した接続が含まれます。 ほとんどの場合、顧客ネットワークがユーザー要求を最も近い Microsoft 365 サービス エントリ ポイントにルーティングできるようにすることで、最適なユーザー エクスペリエンスが実現されます。 これは、中央の場所またはリージョンの出力ポイントを経由して Microsoft 365 に接続するよりも望ましい方法です。

ほとんどの顧客の場合、Microsoft 365 のユーザーは複数の場所に分散されています。 最良の結果を得るには、このドキュメントで概説されている原則をスケールアウト (スケールアップではない) の観点から検討する必要があります。 また、Microsoft 365 テナントの地理的な場所ではなく、Microsoft グローバル ネットワーク内の最も近いポイント オブ プレゼンスへの接続の最適化にも重点を置きます。 これは、基本的に、Microsoft 365 テナント データが特定の地理的な場所に保存されている場合でも、そのテナントの Microsoft 365 エクスペリエンスは分散されたままであることを意味します。 テナントが存在するすべてのエンド ユーザーの場所に非常に近い (ネットワーク上で) 近接した場所に存在できます。

Microsoft 365 の接続テスト

Microsoft では、最適な Microsoft 365 接続とパフォーマンスを実現するために、次の原則を推奨しています。 これらの Microsoft 365 接続の原則を使用してトラフィックを管理すれば、Microsoft 365 に接続したときに最高のパフォーマンスを得ることができます。

ネットワーク設計の主な目標は、 Microsoft のあらゆるデータ センターを、世界中に広がる低遅延のクラウド アプリケーション エントリ ポイントと相互に接続した Microsoft のパブリック ネットワーク バックボーン、Microsoft のグローバル ネットワークへのラウンド トリップ時間 (RTT) を削減することにより、遅延を最小限に抑えることです。 Microsoft の高速で信頼性の高いグローバル ネットワーク構築方法 については、Microsoft のグローバル ネットワークの詳細を参照してください。

Microsoft 365 トラフィックを識別して区別する

Microsoft 365 ネットワーク トラフィックを識別することは、そのトラフィックをインターネットにバインドする一般的なネットワーク トラフィックと区別するための最初の手順です。 Microsoft 365 の接続は、ネットワーク ルートの最適化、ファイアウォール規則、ブラウザー プロキシ設定などのアプローチを組み合わせて実装することで最適化できます。 さらに、特定のエンドポイントのネットワーク検査デバイスをバイパスすることも有益です。

Microsoft 365 の最適化方法の詳細については、「 Microsoft 365 サービスへの接続の最適化 」セクションを参照してください。

Microsoft は、すべての Microsoft 365 エンドポイントを Web サービスとして公開し、このデータを最大限に使用する方法に関するガイダンスを提供しています。 Microsoft 365 エンドポイントを取得して操作する方法の詳細については、「 Microsoft 365 URL と IP アドレス範囲」の記事を参照してください。

ネットワーク接続のローカルの出口を提供する

ローカル DNS とインターネット出力は、接続の待機時間を短縮し、ユーザーが Microsoft 365 サービスに最も近いエントリ ポイントに接続できるようにするために非常に重要です。 複雑なネットワーク トポロジでは、ローカル DNS とローカル インターネット出力の両方を一緒に実装することが重要です。

Microsoft 365 などのクラウド サービスが登場する前は、ネットワーク アーキテクチャの設計要素としてのエンド ユーザーのインターネット接続は比較的シンプルでした。 インターネット サービスと Web サイトが世界中に分散している場合、企業の出力ポイントと特定の宛先エンドポイント間の待機時間は、主に地理的な距離の関数です。

従来のネットワーク アーキテクチャでは、すべての送信インターネット接続は企業ネットワークを通過し、中央の場所から出力されます。 Microsoft のクラウド製品が成熟するにつれて、待機時間の影響を受けやすいクラウド サービスをサポートするには、インターネットに接続する分散ネットワーク アーキテクチャが重要になっています。 Microsoft のグローバル ネットワークは、受信クラウド サービス接続を最も近いエントリ ポイントにルーティングするグローバル エントリ ポイントの動的ファブリック、分散サービスのフロント ドア インフラストラクチャを用いて遅延要件を満たすように設計されました。 これは、顧客とクラウドとの間のルートを効果的に短縮することで、Microsoft クラウドの顧客の「ラスト マイル」の長さを短縮することを目的としたものです。

エンタープライズ WAN は、通常は 1 つ以上のプロキシ サーバーを介して、インターネットに出力する前に検査を受けるためにネットワーク トラフィックを中央の会社の本社にバックホールするように設計されています。 次の図は、このようなネットワーク トポロジを示しています。

Microsoft 365 は、世界中のフロントエンド サーバーを含む Microsoft グローバル ネットワーク上で実行されるため、多くの場合、ユーザーの場所の近くにフロントエンド サーバーがあります。 ローカル インターネット出力を提供し、Microsoft 365 エンドポイントのローカル名前解決を提供するように内部 DNS サーバーを構成することにより、Microsoft 365 宛てのネットワーク トラフィックは、ユーザーのできるだけ近くの Microsoft 365 フロントエンド サーバーに接続できます。 次の図は、本社、ブランチ オフィス、およびリモートの場所から接続するユーザーが、最も近い Microsoft 365 エントリ ポイントまでの最短ルートをたどることができるネットワーク トポロジの例を示しています。

この方法で Microsoft 365 エントリ ポイントへのネットワーク パスを短縮すると、Microsoft 365 での接続パフォーマンスとエンド ユーザー エクスペリエンスを向上させることができます。 また、今後のネットワーク アーキテクチャの変更が Microsoft 365 のパフォーマンスと信頼性に与える影響を軽減するのにも役立ちます。

また、応答する DNS サーバーが遠くにあるかビジー状態である場合は、DNS 要求が遅延を生じさせる場合があります。 ブランチの場所にローカル DNS サーバーをプロビジョニングし、DNS レコードを適切にキャッシュするように構成することで、名前解決の待機時間を最小限に抑えることができます。

Microsoft 365 ではリージョン出力が適切に機能しますが、最適な接続モデルは、企業ネットワーク上か自宅、ホテル、コーヒー ショップ、空港などのリモート場所上かに関係なく、常にユーザーの場所でネットワーク エグレスを提供することです。 このローカル直接出力モデルを次の図に示します。

Microsoft 365 を導入しているエンタープライズは、Microsoft 365 へのユーザー接続が最も近い Microsoft グローバル ネットワークのエントリ ポイントへの最短ルートを使用するようにすることで、Microsoft のグローバル ネットワークの分散サービス フロント ドア アーキテクチャを利用できます。 ローカル出口ネットワーク アーキテクチャでは、ユーザーの場所に関係なく、最寄りの出口を介して Microsoft 365 のトラフィックをルーティングすることができます。

ローカル出口アーキテクチャには、従来のモデルに比べて次のような利点があります。

• ルートの長さを最適化することにより、Microsoft 365 の最適なパフォーマンスを提供します。 エンドユーザー接続は、分散サービスのフロント ドア インフラストラクチャによって、最も近い Microsoft 365 のエントリ ポイントに動的にルーティングされます。
• ローカル出口を許可することで、社内ネットワーク インフラストラクチャの負荷を軽減します。
• クライアント エンドポイント セキュリティとクラウド セキュリティ機能を使用して、両端の接続をセキュリティで保護します。

ネットワーク ヘアピンを回避する

一般的な経験則として、ユーザーと最も近い Microsoft 365 エンドポイント間で最も短く、最も直接的なルートは、最高のパフォーマンスを提供します。 ネットワーク ヘアピンは、特定の宛先に向かう WAN または VPN トラフィックが最初に別の中間の場所 (セキュリティ スタック、クラウド アクセス ブローカー、クラウドベースの Web ゲートウェイなど) に向けられ、地理的に離れたエンドポイントへの遅延と潜在的なリダイレクトが発生したときに発生します。 ネットワーク ヘアピンは、ルーティング/ピアリングの非効率性や、最適でない (リモート) DNS 参照によっても発生します。

ローカル出力の場合でも Microsoft 365 接続がネットワーク ヘアピンの影響を受けないようにするには、ユーザーの場所にインターネット出力を提供するために使用されている ISP が、その場所に近接する Microsoft グローバル ネットワークと直接ピアリング関係にあるかどうかをチェックします。 信頼できる Microsoft 365 トラフィックを直接送信するようにエグレス ルーティングを構成することもできます。 これは、インターネットバウンドのトラフィックを処理するサード パーティのクラウドまたはクラウドベースのネットワーク セキュリティ ベンダーを介したプロキシまたはトンネリングとは対照的です。 Microsoft 365 エンドポイントのローカル DNS 名前解決は、直接のルーティングに加えて、最も近い Microsoft 365 エントリ ポイントがユーザー接続に使用されているか確認するのに役立ちます。

Microsoft 365 のトラフィックにクラウドベースのネットワークまたはセキュリティ サービスを使用している場合は、ヘアピンの結果が評価され、Microsoft 365 のパフォーマンスへの影響が理解されていることを確認してください。 これは、トラフィックが転送されるサービス プロバイダーの場所の数と場所を、ブランチ オフィスと Microsoft グローバル ネットワーク ピアリング ポイントの数に関連して、サービス プロバイダーと ISP および Microsoft とのネットワーク ピアリング関係の品質、およびサービス プロバイダー インフラストラクチャでのバックホールのパフォーマンスの影響を調べることによって行うことができます。

Microsoft 365 エントリ ポイントを持つ多数の場所が分散しており、エンドユーザーに近いため、プロバイダーのネットワークが最適な Microsoft 365 ピアリング用に構成されていない場合、Microsoft 365 のトラフィックをサードパーティのネットワークまたはセキュリティ プロバイダーにルーティングすると、Microsoft 365 接続に悪影響が生じる可能性があります。

プロキシのバイパス、トラフィック検査デバイス、重複するセキュリティ テクノロジを評価する

エンタープライズのお客様は、特に Microsoft 365 にバインドされたトラフィックに対するネットワーク セキュリティとリスクの削減方法を確認し、Microsoft 365 のセキュリティ機能を使用して、Microsoft 365 のネットワーク トラフィックに対する割り込みの、パフォーマンスに影響を及ぼす、高価なネットワーク セキュリティ テクノロジへの依存を軽減する必要があります。

ほとんどのエンタープライズ ネットワークでは、プロキシ、TLS 検査、パケット検査、データ損失防止システムなどのテクノロジを使用して、インターネット トラフィックのネットワーク セキュリティを強化しています。 これらのテクノロジは、一般的なインターネット要求に対して重要なリスク軽減を提供しますが、Microsoft 365 エンドポイントに適用されると、パフォーマンス、スケーラビリティ、エンド ユーザー エクスペリエンスの品質を大幅に低下させる可能性があります。

Microsoft 365 エンドポイント Web サービス

Microsoft 365 管理者は、スクリプトまたは REST 呼び出しを使用して、Microsoft 365 エンドポイント Web サービスからエンドポイントの構造化リストを使用し、境界ファイアウォールやその他のネットワーク デバイスの構成を更新できます。 これにより、Microsoft 365 宛てのトラフィックが識別、適切に処理され、一般的でしばしば知られていないインターネット Web サイト宛てのネットワーク トラフィックとは異なる方法で管理されます。 Microsoft 365 エンドポイント Web サービスの使用方法の詳細については、「 Microsoft 365 URL と IP アドレス範囲」の記事を参照してください。

PAC (プロキシの自動構成) スクリプト

Microsoft 365 の管理者は、ユーザーのコンピューターに WPAD または GPO 経由で配信できる PAC (プロキシ自動構成) スクリプトを作成できます。 PAC スクリプトを使用すると、WAN ユーザーまたは VPN ユーザーからの Microsoft 365 要求のプロキシをバイパスし、Microsoft 365 トラフィックが企業ネットワークを経由するのではなく、直接インターネット接続を使用できるようになります。

PAC ファイルを使用してクライアント デバイスでネットワーク接続を最適化する方法の詳細については、「 Microsoft 365 エンドポイントの管理」を参照してください。

Microsoft 365 セキュリティ機能

Microsoft は、データセンターのセキュリティ、運用上のセキュリティ、Microsoft 365 サーバーとそれが示すネットワーク エンドポイントに関するリスクの低減について、透明性を確保しています。 Microsoft 365 の組み込みセキュリティ機能は、Microsoft Purview データ損失防止、ウイルス対策、多要素認証、カスタマー ロックボックス、Defender for Office 365、Microsoft 365 脅威インテリジェンス、Microsoft 365 セキュア スコア、すべてのクラウド メールボックスの組み込みセキュリティ機能、ネットワーク DDOS セキュリティなど、ネットワーク セキュリティ リスクを軽減するために利用できます。

Microsoft データセンターとグローバル ネットワークのセキュリティの詳細については、「Microsoft トラスト センター」をご覧ください。

Microsoft 365 サービスへの接続の最適化

Microsoft 365 サービスは、動的で相互依存し、緊密に統合された製品、アプリケーション、およびサービスのコレクションです。 Microsoft 365 サービスへの接続を構成および最適化する場合、特定のエンドポイント (ドメイン) をいくつかの Microsoft 365 シナリオにリンクしてネットワーク レベルで許可リストを実装することは現実的ではありません。 Microsoft では、選択的な許可リストをサポートしていません。これは、ユーザーの接続とサービス インシデントの原因となるためです。 したがって、ネットワーク管理者は、ネットワーク許可リストと一般的なネットワーク最適化に関する Microsoft 365 ガイドラインを、定期的に 公開 および更新される必要なネットワーク エンドポイント (ドメイン) の完全なセットに常に適用する必要があります。 Microsoft ではお客様からのフィードバックに応えて Microsoft 365 ネットワーク エンドポイントを簡素化していますが、ネットワーク管理者は、現時点で既存のエンドポイント セットの次の主要なパターンに注意する必要があります。

• 可能な場合は、公開されたドメイン エンドポイントにワイルドカードが含まれ、お客様のネットワーク構成の労力が大幅に軽減されます。
  • Microsoft 365 は、ドメイン統合イニシアチブ (cloud.microsoft) を発表し、ネットワーク構成を簡略化し、このドメインのネットワーク最適化を現在および将来の多くの Microsoft 365 サービスに自動的に発生させる方法をお客様に提供します。
  • セキュリティ分離と特定の機能のために cloud.microsoft ルート ドメインを排他的に使用します。 これにより、お客様のネットワークおよびセキュリティ チームは Microsoft 365 ドメインを信頼しながら、これらのエンドポイントへの接続を向上させ、不要なネットワーク セキュリティ処理を回避できます。
  • 特定のエンドポイント定義では、ドメインに対応する一意の IP プレフィックスが指定されます。 この機能は、複雑なネットワーク構造を持つ顧客をサポートし、IP プレフィックスの詳細を利用して正確なネットワーク最適化を適用できるようにします。

すべての 必要な Microsoft 365 ネットワーク エンドポイント (ドメイン) とカテゴリには、次のネットワーク構成が推奨されます。

• ユーザーの接続が通過するネットワーク デバイスおよびサービス (プロキシ、ファイアウォール、DNS、クラウドベースのネットワーク セキュリティ ソリューションなどのネットワーク境界セキュリティ デバイス) で Microsoft 365 ネットワーク エンドポイントを明示的に許可すること
  • TLS 復号化、トラフィック傍受、ディープ パケット検査、ネットワーク パケットとコンテンツのフィルタリングから Microsoft 365 ドメインをバイパスします。 信頼されていない/管理されていないアプリケーションのコンテキストでお客様がこれらのネットワーク テクノロジを使用している多くの成果は、Microsoft 365 セキュリティ機能によってネイティブに達成できることに注意してください。
  • 直接インターネット アクセスは、ワイド エリア ネットワーク (WAN) バックホールへの依存を減らし、ネットワークのヘアピンを回避し、ユーザーにとってローカルで Microsoft ネットワークへのより効率的なインターネット出力を可能にすることで、Microsoft 365 ドメインに優先順位を付ける必要があります。
  • DNS 名前解決がネットワーク エグレスの近くで行われることを確認し、最適な Microsoft 365 フロント ドアを介して接続が提供されるようにします。
  • ネットワーク パスに沿って Microsoft 365 接続に優先順位を付け、Microsoft 365 エクスペリエンスの容量とサービスの品質を確保します。
  • プロキシや VPN サービスなどのトラフィック仲介デバイスをバイパスします。

Microsoft 365 接続ガイダンスは、ドメイン ベースのエンドポイント識別を中心に設計されています。 Microsoft では、Microsoft 365 ネットワーク構成、許可リスト、接続の最適化の主要なソースとして、 https://aka.ms/m365endpoints を通じて入手できる公開されたドメイン エンドポイント データを使用することをお勧めします。

複雑なネットワーク トポロジを使用している一部のお客様は、カスタム ルーティング、スプリット トンネル VPN、プロキシ バイパスなどの特定のネットワーク最適化をサポートするために、利用可能な場合は公開された IP プレフィックス データを使用することもあります。 Microsoft は一部の Microsoft 365 サービスの IP プレフィックスを公開していますが、多くのクラウド サービス エンドポイントは本質的に動的であり、関連付けられている IP アドレスは時間の経過と共に変更される可能性があります。 これらのエンドポイントについては、ドメイン ベースのエンドポイント データのみが発行され、対応する IP アドレス情報は提供されません。

ネットワークに関する追加の考慮事項

Microsoft 365 への接続を最適化するときに、特定のネットワーク構成が Microsoft 365 の可用性、相互運用性、パフォーマンス、およびユーザー エクスペリエンスに悪影響を与える可能性があります。 Microsoft は、サービスを使用して次のネットワーク シナリオをテストしておらず、接続の問題を引き起こすことが知られています。

• 顧客プロキシまたはその他の種類のネットワーク デバイスまたはサービスを使用した、Microsoft 365 ドメインの TLS 終端またはディープ パケット検査。
• 中間ネットワーク インフラストラクチャまたはサービスによって、QUIC、WebSocket などの特定のプロトコルまたはプロトコル バージョンをブロックする。
• クライアント アプリケーションと Microsoft 365 サービスの間で使用されるプロトコル (UDP --> TCP、TLS1.3 > TLS1.2 > TLS1.1 など) のダウングレードまたはフェールオーバーを強制します。
• プロキシ認証などの独自の認証を適用するネットワーク インフラストラクチャを介して接続をルーティングする。

Microsoft 365 ドメインを宛先とするトラフィックにこれらのネットワーク手法を使用しないようにし、Microsoft 365 接続ではこれらをバイパスすることをお勧めします。

Microsoft では、自動システムをセットアップして、Microsoft 365 ネットワーク エンドポイント リストを定期的にダウンロードして適用することをお勧めします。 詳細については、「 Microsoft 365 IP アドレスと URL の変更管理 」を参照してください。

境界ネットワーク セキュリティとエンドポイント セキュリティの比較

従来のネットワーク セキュリティの目標は、侵入および悪意のある脅威に対して企業のネットワーク境界を強化することです。 組織が Microsoft 365 を採用すると、一部のネットワーク サービスとデータが部分的また完全にクラウドに移行されます。 ネットワーク アーキテクチャの基本的な変更に関しては、このプロセスでは、新しい要因を考慮してネットワーク セキュリティを再評価しなくてはなりません。

• クラウドサービスが採用されると、ネットワーク サービスとデータは、オンプレミスのデータ センターとクラウドとの間で分散され、境界セキュリティだけではもはや不十分となります。
• リモート ユーザーは、自宅、ホテル、コーヒーショップなどの制御されていない場所から、オンプレミスのデータセンターとクラウドの両方で企業のリソースに接続します。
• 専用のセキュリティ機能がクラウド サービスに組み込まれることが多くなると、既存のセキュリティ システムを補完したり置き換えたりする可能性があります。

Microsoft では、幅広い Microsoft 365 のセキュリティ機能を用意し、Microsoft 365 のデータおよびネットワーク セキュリティの確保に役立つ、セキュリティ上のベスト プラクティスを採用するための規範的なガイダンスを提供しています。 次のような推奨されるベスト プラクティスがあります。

• 多要素認証 (MFA) を使用する MFA は、ユーザーがパスワードを正しく入力した後、スマートフォンでの通話、テキスト メッセージ、またはアプリの通知を確認するように要求することで、強力なパスワード戦略に保護レイヤーを追加します。

• Microsoft Defender for Cloud Appsの使用変則的な活動を追跡し、それに対処するためのポリシーを構成します。 Microsoft Defender for Cloud Apps を使用してアラートを設定すると、管理者は、大量のデータのダウンロード、サインイン試行の複数回の失敗、不明な IP アドレスや危険な IP アドレスからの接続など、異常または危険なユーザー アクティビティを確認できます。

• データ損失防止 (DLP) の構成 DLP を使用すると、機密データを特定し、ユーザーが誤ってまたは意図的にデータを共有することを回避するためのポリシーを作成できます。 DLP は、Exchange Online、SharePoint Online、OneDrive を含む Microsoft 365 で動作するので、ユーザーはワークフローを中断させずに準拠を維持できます。

• 顧客ロックボックスの使用 Microsoft 365 管理者はカスタマー ロックボックスを使用して、Microsoft のサポート エンジニアがヘルプ セッション中にデータにアクセスする方法を制御することができます。 エンジニアが、トラブルシューティングや問題解決のためにデータにアクセスする必要がある場合は、カスタマー ロック ボックスを使用してアクセス要求を承認または拒否することができます。

• セキュア スコアの使用

リスクをさらに軽減するためにできることを提案するセキュリティ分析ツール。 セキュリティ スコアは、Microsoft 365 の設定とアクティビティを調べ、Microsoft が確立した基準とそれらを比較します。 ベスト セキュリティ プラクティスとの整合性に基づいてスコアを取得します。

セキュリティを強化する総合的なアプローチには、次の点を考慮する必要があります。

• クラウド ベースのセキュリティ機能と Office クライアント セキュリティ機能を適用して、境界のセキュリティからエンドポイントのセキュリティへと重点を移します。
  • データ センターへのセキュリティ境界を縮小する
  • Office または遠隔地にあるユーザーのデバイスに対して、同等の信頼を有効にする
  • データの場所とユーザーの場所のセキュリティ強化に焦点を置く
  • 管理されたユーザーのマシンに、エンドポイントのセキュリティにより高い信頼を得る
• 境界にのみ焦点を当てるのではなく、すべての情報セキュリティを総合的に管理する
  • 信頼できるトラフィックによりセキュリティ デバイスをバイパスし、管理されていないデバイスをゲスト Wi-fi ネットワークに分離して、WAN を再定義し、境界ネットワーク セキュリティを強化する
  • 企業 WAN エッジのネットワーク セキュリティ要件を軽減する
  • ファイアウォールなどの一部のネットワーク境界セキュリティ デバイスは引き続き必要ではあるが、負荷が軽減される
  • Microsoft 365 のトラフィックをローカルに送信する
• 「増分最適化」のセクションで説明されているように、改善には段階的に対処できます。 一部の最適化手法は、ネットワーク アーキテクチャによっては費用対利益比が向上する場合があるため、organization にとって最も意味のある最適化を選択する必要があります。

Microsoft 365 のセキュリティとコンプライアンスの詳細については、「Microsoft 365 セキュリティ」と「Microsoft Purview」の記事を参照してください。

増分の最適化

この記事の前半で SaaS の理想的なネットワーク接続モデルを示しましたが、歴史的に複雑なネットワーク アーキテクチャを持つ多くの大規模な組織では、これらすべての変更を直接行うことは現実的ではありません。 このセクションでは、Microsoft 365 のパフォーマンスと信頼性の向上に役立つ多くの段階的な変更について説明します。

Microsoft 365 トラフィックを最適化するために使用する方法は、ネットワーク トポロジと実装したネットワーク デバイスによって異なります。 多くの場所を持ち、ネットワーク セキュリティ プラクティスが複雑な大企業は、 Microsoft 365 接続の原則 セクションに記載されている原則のほとんどまたはすべてを含む戦略を策定する必要がありますが、小規模な組織では、1 つまたは 2 つしか考慮すべきではないかもしれません。

最適化は、各方法を順次適用して、増分プロセスとして提案することが可能です。 次の表は、主要な最適化方法を、ユーザー数が最も多い場合の遅延と信頼性への影響の順に示しています。

関連コンテンツ

• Microsoft 365 ネットワーク接続の概要
• Microsoft 365 エンドポイントの管理
• Microsoft 365 の URL と IP アドレスの範囲
• Microsoft 365 IP アドレスと URL の Web サービス
• Microsoft 365 ネットワーク接続の評価
• Microsoft 365 のネットワーク計画とパフォーマンス チューニング
• ベースラインとパフォーマンス履歴を使用した Microsoft 365 のパフォーマンス チューニング
• Microsoft 365 のパフォーマンスのトラブルシューティング プラン
• Content Delivery Network
• Microsoft 365 の接続テスト
• Microsoft がそのファースト・信頼性の高いグローバルネットワークを構築する方法
• Microsoft 365 ネットワーク ブログ