Windows 用グローバルセキュアアクセスクライアント

[アーティクル]
11/05/2024

グローバルセキュアアクセスの重要なコンポーネントであるグローバルセキュアアクセスクライアントは、組織がエンドユーザーデバイス上のネットワークトラフィックを管理およびセキュリティで保護するのに役立ちます。クライアントの主な役割は、グローバルセキュアアクセスによって保護される必要があるトラフィックをクラウドサービスにルーティングすることです。その他のすべてのトラフィックは、ネットワークに直接送信されます。ポータルで構成された転送プロファイルは、グローバルセキュアアクセスクライアントがクラウドサービスにルーティングするトラフィックを決定します。

この記事には、Windows 用のグローバルセキュアアクセスクライアントをダウンロードしてインストールする方法について説明します。

前提条件

グローバルセキュアアクセスにオンボードされた Entra テナント。
オンボードされたテナントに参加しているマネージドデバイス。デバイスは、Microsoft Entra 参加済みまたは Microsoft Entra ハイブリッド参加済みである必要があります。
- Microsoft Entra 登録済みデバイスはサポートされていません。
グローバルセキュアアクセスクライアントは、64 ビットバージョンの Windows 11 または Windows 10 が必要です。
- Azure Virtual Desktop シングルセッションがサポートされています。
- Azure Virtual Desktop のマルチセッションはサポートされていません。
- Windows 365 がサポートされています。
クライアントをインストールまたはアップグレードするには、ローカル管理者の資格情報が必要です。
グローバルセキュアアクセスクライアントにはライセンスが必要です。詳細については、「Global Secure Access とは」のライセンスに関するセクションを参照してください。必要に応じて、ライセンスを購入するか、試用版ライセンスを取得できます。

クライアントをダウンロードする

最新バージョンのグローバルセキュアアクセスクライアントは、Microsoft Entra 管理センターからダウンロードできます。

Microsoft Entra 管理センターに、グローバルセキュアアクセス管理者としてサインインします。
[グローバルセキュアアクセス]>[接続]>[クラウドダウンロード] に移動します。
[クライアントをダウンロードする] を選択します。

グローバルセキュアアクセスクライアントをインストールする

自動インストール

組織では、/quiet スイッチを使ってグローバルセキュアアクセスクライアントをサイレントでインストールしたり、Microsoft Intune などのモバイルデバイス管理 (MDM) ソリューションを使ってクライアントをデバイスに展開したりできます。

手動のインストール

グローバルセキュアアクセスクライアントを手動でインストールするには

セットアップファイル GlobalSecureAccessClient.exe を実行します。ソフトウェアライセンス条項に同意します。
クライアントがインストールされ、Microsoft Entra 資格情報を使用してサイレントにサインインします。サイレントサインインに失敗した場合、インストーラーは手動でサインインするように求められます。
サインイン。接続アイコンが緑色に変わります。
接続アイコンにカーソルを合わせると、クライアントの状態通知が開き、接続済みと表示されます。

クライアントアクション

使用可能なクライアントメニューアクションを表示するには、グローバルセキュアアクセスシステムトレイアイコンを右クリックします。グローバルセキュアアクセスクライアントのコンテキストメニューを示すスクリーンショット。

ヒント

グローバルセキュアアクセスクライアントのメニューアクションは、クライアントレジストリキー構成によって異なります。

アクション	説明
サインアウト	既定では非表示。サインアウトアクションは、Windows へのサインインに使用された以外の Entra ユーザーを使用してグローバルセキュアアクセスクライアントにサインインする必要がある場合に使用します。このアクションを使用するには、適切なクライアントレジストリキーを更新します。
[一時停止]	一時停止アクションを選択して、クライアントを一時的に一時停止します。クライアントを再開するか、マシンを再起動するまで、クライアントは一時停止したままです。
再開	一時停止しているクライアントを再開します。
プライベートアクセスを無効にする	既定では非表示。デバイスを企業ネットワークに直接接続して、グローバルセキュアアクセスをバイパスして、グローバルセキュアアクセスではなく、ネットワーク経由で直接プライベートアプリケーションにアクセスする場合は、プライベートアクセスを無効にするアクションを使用します。このアクションを使用するには、適切なクライアントレジストリキーを更新します。
ログの収集	クライアントログ (クライアントマシンに関する情報、サービスの関連イベントログ、レジストリ値) を収集し、調査のために Microsoft サポートと共有する zip ファイルにアーカイブするには、このアクションを選択します。ログの既定の場所は `C:\Program Files\Global Secure Access Client\Logs` です。
詳細な診断	このアクションを選択して詳細な診断ユーティリティを起動させ、さまざまなトラブルシューティングツールにアクセスします。

クライアントステータスインジケーター

状態の通知

グローバルセキュアアクセスアイコンをダブルクリックしてクライアントの状態通知を開き、クライアント用に構成された各チャネルの状態を表示します。
クライアントの状態が接続されたことを示すスクリーンショット。

システムトレイアイコンのクライアントステータス

アイコン	メッセージ	説明
	グローバルセキュアアクセスクライアント	クライアントは、グローバルセキュアアクセスへの接続を初期化して確認しています。
	グローバルセキュアアクセスクライアント : 接続済み	クライアントがグローバルセキュアアクセスに接続済み。
	グローバルセキュアアクセスクライアント : 無効	サービスがオフラインであるか、ユーザーがクライアントを無効にしているため、クライアントは無効になっています。
	グローバルセキュアアクセスクライアント : 切断済み	クライアントがグローバルセキュアアクセスへの接続に失敗しました。
	グローバルセキュアアクセスクライアント : 一部のチャネルに到達できない	クライアントはグローバルセキュアアクセスに部分的に接続されています (つまり、少なくとも 1 つのチャネルへの接続に失敗しました: Entra、Microsoft 365、プライベートアクセス、インターネットアクセス)。
	グローバルセキュアアクセスクライアント : 組織によって無効になっている	組織がクライアントを無効にしました (つまり、すべてのトラフィック転送プロファイルが無効になっています)。
	グローバルセキュアアクセス : プライベートアクセスが無効になっている	ユーザーは、このデバイスでプライベートアクセスを無効にしました。
	グローバルセキュアアクセス : インターネットに接続できませんでした	クライアントがインターネット接続を検出できませんでした。デバイスは、インターネットに接続されていないネットワークまたはキャプティブポータルのサインインを必要とするネットワークに接続されています。

既知の制限事項

グローバルセキュアアクセスクライアントの現在のバージョンに関する既知の制限事項は次のとおりです。

セキュリティで保護されたドメインネームシステム (DNS)

グローバルセキュアアクセスクライアントは、現在、HTTPS 経由の DNS (DoH)、DNS over TLS (DoT)、DNS セキュリティ拡張機能 (DNSSEC) など、さまざまなバージョンのセキュリティで保護された DNS をサポートしていません。ネットワークトラフィックを取得できるようにクライアントを構成するには、セキュリティで保護された DNS を無効にする必要があります。ブラウザーでセキュリティで保護された DNS を無効にするには、「ブラウザーでセキュリティで保護された DNS が無効になっている」をご覧ください。

TCP 経由の DNS

DNS では、名前解決にポート 53 UDP が使用されます。一部のブラウザーには、ポート 53 TCP もサポートする独自の DNS クライアントがあります。現在、グローバルセキュアアクセスクライアントは DNS ポート 53 TCP をサポートしていません。軽減策として、次のレジストリ値を設定して、ブラウザーの DNS クライアントを無効にします。

Microsoft Edge
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge] "BuiltInDnsClientEnabled"=dword:00000000
Chrome
[HKEY_CURRENT_USER\Software\Policies\Google\Chrome] "BuiltInDnsClientEnabled"=dword:00000000
また、chrome://flags の閲覧と Async DNS resolver の無効化も追加しました。

IPv6 はサポートされていません。

クライアントは IPv4 トラフィックのみをトンネルします。 IPv6 トラフィックはクライアントによって取得されないため、ネットワークに直接転送されます。関連するすべてのトラフィックをトンネリングできるようにするには、ネットワークアダプターのプロパティを IPv4 優先に設定します。

接続フォールバック

クラウドサービスへの接続エラーが発生した場合、クライアントは、転送プロファイル内の一致するルールのセキュリティ強化値に基づいて、インターネットへの直接接続または接続のブロックにフォールバックします。

位置情報

クラウドサービスにトンネリングされるネットワークトラフィックの場合、アプリケーションサーバー (Web サイト) は接続のソース IP を Edge の IP アドレス (ユーザーデバイスの IP アドレスとしてではなく) として検出します。このシナリオは、位置情報に依存するサービスに影響する可能性があります。

ヒント

Office 365 と Entra でデバイスの真のソース IP を検出するには、ソース IP の復元を有効にすることを検討してください。

仮想化サポート

仮想マシンをホストするデバイスにグローバルセキュアアクセスクライアントをインストールすることはできません。ただし、クライアントがホストマシンにインストールされていない限り、グローバルセキュアアクセスクライアントを仮想マシンにインストールできます。同じ理由から、Linux 用 Windows サブシステム (WSL) は、ホストマシンにインストールされているクライアントからトラフィックを取得しません。

プロキシ

プロキシがアプリケーションレベル (ブラウザーなど) または OS レベルで構成されている場合、クライアントがトンネリングする必要があるすべての FQDN と IP を除外するようにプロキシ自動構成 (PAC) ファイルを構成します。

特定の FQDN/IP に対する HTTP 要求がプロキシにトンネリングされないようにするには、FQDN/IP を例外として PAC ファイルに追加します。 (これらの FQDN/IP は、トンネリング用のグローバルセキュアアクセスの転送プロファイルにあります)。次に例を示します。

function FindProxyForURL(url, host) {   
        if (isPlainHostName(host) ||   
            dnsDomainIs(host, ".microsoft.com") || // tunneled 
            dnsDomainIs(host, ".msn.com")) // tunneled 
           return "DIRECT";                    // If true, sets "DIRECT" connection 
        else                                   // If not true... 
           return "PROXY 10.1.0.10:8080";  // forward the connection to the proxy
}

インターネットに直接接続できない場合は、プロキシ経由でグローバルセキュアアクセスサービスに接続するようにクライアントを構成します。たとえば、grpc_proxy システム変数をプロキシの値 (http://proxy:8080 など) と一致するように設定します。

構成の変更を適用するには、グローバルセキュアアクセスクライアントの Windows サービスを再起動します。

パケット挿入

クライアントは、ソケットを使用して送信されたトラフィックのみをトンネリングします。ドライバーを使用してネットワークスタックに挿入されたトラフィック (たとえば、ネットワーク Mapper (Nmap) によって生成されたトラフィックの一部) はトンネリングされません。挿入されたパケットは、ネットワークに直接送信されます。

マルチセッション

グローバルセキュアアクセスクライアントは、同じマシン上での同時セッションに対応していません。この制限は、複数セッション用に構成されている Azure Virtual Desktop (AVD) などの RDP サーバーと VDI ソリューションに適用されます。

Arm64

ARM64 アーキテクチャのグローバルセキュアアクセスクライアントは、まだサポートされていません。

QUIC はインターネットアクセスでサポートされていません

QUIC はまだインターネットアクセスに対応していないため、ポート 80 UDP と 443 UDP へのトラフィックはトンネリングできません。

ヒント

QUIC は現在、プライベートアクセスと Microsoft 365 ワークロードでサポートされています。

管理者は、クライアントが TCP 経由で HTTPS にフォールバックするようにトリガーする QUIC プロトコルを無効にすることができます。これは、インターネットアクセスで完全にサポートされています。詳細については、「QUIC はインターネットアクセスでサポートされていません」をご覧ください。

トラブルシューティング

グローバルセキュアアクセスクライアントのトラブルシューティングを行うには、タスクバーのクライアントアイコンを右クリックし、トラブルシューティングオプション (ログの収集または詳細な診断) のいずれかを選択します。

ヒント

管理者は、クライアントレジストリキーを変更することで、グローバルセキュアアクセスクライアントのメニューオプションを変更できます。

グローバルセキュアアクセスクライアントのトラブルシューティングの詳細については、次の記事をご覧ください。

クライアントレジストリキー

グローバルセキュアアクセスクライアントは、特定のレジストリキーを使用して、さまざまな機能を有効または無効にします。管理者は、Microsoft Intune やグループポリシーなどのモバイルデバイス管理 (MDM) ソリューションを使用して、レジストリ値を制御できます。

注意事項

Microsoft サポートによって指示されない限り、他のレジストリ値を変更しないでください。

クライアントでプライベートアクセスを無効または有効にする

このレジストリ値は、クライアントに対してプライベートアクセスを有効にするか無効にするかを制御します。ユーザーが企業ネットワークに接続されている場合、グローバルセキュアアクセスをバイパスし、プライベートアプリケーションに直接アクセスすることを選択できます。

ユーザーは、システムトレイメニューからプライベートアクセスを無効または有効にすることができます。

ヒント

このオプションは、メニューが非表示でなく (「システムトレイメニューボタンの表示または再表示」をご覧ください)、このテナントに対してプライベートアクセスが有効になっている場合にのみ使用できます。

管理者は、レジストリキーを設定することで、ユーザーのプライベートアクセスを無効または有効にすることができます。
Computer\HKEY_CURRENT_USER\Software\Microsoft\Global Secure Access Client

値	Type	データ	説明
IsPrivateAccessDisabledByUser	REG_DWORD	0x0	このデバイスでは、プライベートアクセスが有効になっています。プライベートアプリケーションへのネットワークトラフィックは、グローバルセキュアアクセスを経由します。
IsPrivateAccessDisabledByUser	REG_DWORD	0x1	このデバイスでは、プライベートアクセスは無効になっています。プライベートアプリケーションへのネットワークトラフィックは、ネットワークに直接送信されます。

IsPrivateAccessDisabledByUser レジストリキーが強調表示されたレジストリエディターを示すスクリーンショット。

レジストリ値が存在しない場合、既定値は 0x0 であり、プライベートアクセスが有効になります。

管理者は、クライアントシステムトレイアイコンメニューの特定のボタンを表示または非表示にすることができます。次のレジストリキー値を作成します。
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Global Secure Access Client

値	Type	データ	既定の動作	説明
HideSignOutButton	REG_DWORD	0x0 - 表示 0x1 : 非表示	非表示	この設定を構成して、サインアウトアクションを表示または非表示にします。このオプションは、ユーザーが Windows へのサインインに使用したものとは異なる Entra ユーザーを使用してクライアントにサインインする必要がある特定のシナリオに適しています。注: デバイスが参加しているのと同じ Entra テナント内のユーザーでクライアントにサインインする必要があります。サインアウトアクションを使用して、既存のユーザーを再認証することもできます。
HideDisablePrivateAccessButton	REG_DWORD	0x0 - 表示 0x1 : 非表示	非表示	この設定を構成して、プライベートアクセスを無効にするアクションを表示または非表示にします。このオプションは、デバイスが企業ネットワークに直接接続されていて、ユーザーがグローバルセキュアアクセスではなく、ネットワーク経由で直接プライベートアプリケーションにアクセスすることを好むシナリオに適しています。

HideSignOutButton レジストリキーと HideDisablePrivateAccessButton レジストリキーが強調表示されているレジストリエディターを示すスクリーンショット。

詳細については、高度なユーザー向けのWindowsで IPv6 を構成するためのガイダンスをご覧ください。

次の方法で共有

Windows 用グローバルセキュアアクセスクライアント

前提条件

クライアントをダウンロードする