Microsoft Windows 用グローバルセキュアアクセスクライアント

[アーティクル]
11/12/2024

グローバルセキュアアクセスの重要なコンポーネントであるグローバルセキュアアクセスクライアントは、組織がエンドユーザーデバイス上のネットワークトラフィックを管理およびセキュリティで保護するのに役立ちます。クライアントの主な役割は、グローバルセキュアアクセスによって保護される必要があるトラフィックをクラウドサービスにルーティングすることです。その他のすべてのトラフィックは、ネットワークに直接送信されます。ポータルで構成された転送プロファイルは、グローバルセキュアアクセスクライアントがクラウドサービスにルーティングするトラフィックを決定します。

この記事には、Windows 用のグローバルセキュアアクセスクライアントをダウンロードしてインストールする方法について説明します。

前提条件

グローバルセキュアアクセスにオンボードされた Microsoft Entra テナント。
オンボードされたテナントに参加しているマネージドデバイス。デバイスは、Microsoft Entra 参加済みまたは Microsoft Entra ハイブリッド参加済みである必要があります。
- Microsoft Entra 登録済みデバイスはサポートされていません。
グローバルセキュアアクセスクライアントには、Windows 10 または Windows 11 の 64 ビットバージョンが必要です。
- Azure Virtual Desktop シングルセッションがサポートされています。
- Azure Virtual Desktop のマルチセッションはサポートされていません。
- Windows 365 がサポートされています。
クライアントをインストールまたはアップグレードするには、ローカル管理者の資格情報が必要です。
グローバルセキュアアクセスクライアントにはライセンスが必要です。詳細については、「グローバルセキュアアクセスとは」のライセンスに関するセクションを参照してください。必要に応じて、ライセンスを購入するか、試用版ライセンスを取得できます。

クライアントをダウンロードする

最新バージョンのグローバルセキュアアクセスクライアントは、Microsoft Entra 管理センターからダウンロードできます。

Global Secure Access 管理者として Microsoft Entra 管理センターにサインインします。
[グローバルセキュアアクセス]>[接続]>[クラウドダウンロード] に移動します。
[クライアントをダウンロードする] を選択します。

グローバルセキュアアクセスクライアントをインストールする

自動インストール

組織では、/quiet スイッチを使ってグローバルセキュアアクセスクライアントをサイレントでインストールしたり、Microsoft Intune などのモバイルデバイス管理 (MDM) ソリューションを使ってクライアントをデバイスに展開したりできます。

手動のインストール

グローバルセキュアアクセスクライアントを手動でインストールするには

セットアップファイル GlobalSecureAccessClient.exe を実行します。ソフトウェアライセンス条項に同意します。
クライアントがインストールされ、Microsoft Entra 資格情報を使用してサイレントにサインインします。サイレントサインインに失敗した場合、インストーラーは手動でサインインするように求められます。
サインイン。接続アイコンが緑色に変わります。
接続アイコンにカーソルを合わせると、クライアントの状態通知が開き、接続済みと表示されます。

クライアントアクション

使用可能なクライアントメニューアクションを表示するには、グローバルセキュアアクセスシステムトレイアイコンを右クリックします。グローバルセキュアアクセスクライアントのコンテキストメニューを示すスクリーンショット。

ヒント

グローバルセキュアアクセスクライアントのメニューアクションは、クライアントレジストリキー構成によって異なります。

アクション	説明
サインアウト	既定では非表示。 Windows へのサインインに使用した以外の Microsoft Entra ユーザーを使用してグローバルセキュアアクセスクライアントにサインインする必要がある場合は、サインアウトアクションを使用します。このアクションを使用するには、適切なクライアントレジストリキーを更新します。
無効にする	クライアントを無効にするには、無効アクションを選択します。クライアントを有効にするか、マシンを再起動するまで、クライアントは無効のままとなります。
有効にする	グローバルセキュアアクセスクライアントを有効にします。
プライベートアクセスを無効にする	既定では非表示。デバイスを企業ネットワークに直接接続して、グローバルセキュアアクセスをバイパスして、グローバルセキュアアクセスではなく、ネットワーク経由で直接プライベートアプリケーションにアクセスする場合は、プライベートアクセスを無効にするアクションを使用します。このアクションを使用するには、適切なクライアントレジストリキーを更新します。
ログの収集	クライアントログ (クライアントマシンに関する情報、サービスの関連イベントログ、レジストリ値) を収集し、調査のために Microsoft サポートと共有する zip ファイルにアーカイブするには、このアクションを選択します。ログの既定の場所は `C:\Program Files\Global Secure Access Client\Logs` です。コマンドプロンプトで次のコマンドを入力して、Windows 上でクライアントログを収集することもできます: `C:\Program Files\Global Secure Access Client\LogsCollector\LogsCollector.exe" <username> <user>`。
詳細な診断	このアクションを選択して詳細な診断ユーティリティを起動させ、さまざまなトラブルシューティングツールにアクセスします。

クライアントステータスインジケーター

状態の通知

グローバルセキュアアクセスアイコンをダブルクリックしてクライアントの状態通知を開き、クライアント用に構成された各チャネルの状態を表示します。
クライアントの状態が接続されたことを示すスクリーンショット。

システムトレイアイコンのクライアントステータス

アイコン	メッセージ	説明
	Global Secure Access	クライアントは、グローバルセキュアアクセスへの接続を初期化して確認しています。
	グローバルセキュアアクセス - 接続済み	クライアントがグローバルセキュアアクセスに接続済み。
	グローバルセキュアアクセス - 無効	サービスがオフラインであるか、ユーザーがクライアントを無効にしているため、クライアントは無効になっています。
	グローバルセキュアアクセス - 切断済み	クライアントがグローバルセキュアアクセスへの接続に失敗しました。
	グローバルセキュアアクセス - 一部のチャネルに到達できない	クライアントはグローバルセキュアアクセスに部分的に接続されています (つまり、少なくとも次のいずれかのチャネルへの接続に失敗しました: Microsoft Entra、Microsoft 365、プライベートアクセス、インターネットアクセス)。
	グローバルセキュアアクセス - 組織によって無効にされている	組織がクライアントを無効にしました (つまり、すべてのトラフィック転送プロファイルが無効になっています)。
	グローバルセキュアアクセス : プライベートアクセスが無効になっている	ユーザーは、このデバイスでプライベートアクセスを無効にしました。
	グローバルセキュアアクセス : インターネットに接続できませんでした	クライアントがインターネット接続を検出できませんでした。デバイスは、インターネットに接続されていないネットワークまたはキャプティブポータルのサインインを必要とするネットワークに接続されています。

既知の制限事項

グローバルセキュアアクセスクライアントの現在のバージョンに関する既知の制限事項は次のとおりです。

セキュリティで保護されたドメインネームシステム (DNS)

グローバルセキュアアクセスクライアントは、現在、HTTPS 経由の DNS (DoH)、DNS over TLS (DoT)、DNS セキュリティ拡張機能 (DNSSEC) など、さまざまなバージョンのセキュリティで保護された DNS をサポートしていません。ネットワークトラフィックを取得できるようにクライアントを構成するには、セキュリティで保護された DNS を無効にする必要があります。ブラウザーでセキュリティで保護された DNS を無効にするには、「ブラウザーでセキュリティで保護された DNS が無効になっている」をご覧ください。

TCP 経由の DNS

DNS では、名前解決にポート 53 UDP が使用されます。一部のブラウザーには、ポート 53 TCP もサポートする独自の DNS クライアントがあります。現在、グローバルセキュアアクセスクライアントは DNS ポート 53 TCP をサポートしていません。軽減策として、次のレジストリ値を設定して、ブラウザーの DNS クライアントを無効にします。

Microsoft Edge
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge] "BuiltInDnsClientEnabled"=dword:00000000
Chrome
[HKEY_CURRENT_USER\Software\Policies\Google\Chrome] "BuiltInDnsClientEnabled"=dword:00000000
また、chrome://flags の閲覧と Async DNS resolver の無効化も追加しました。

IPv6 はサポートされていません。

クライアントは IPv4 トラフィックのみをトンネルします。 IPv6 トラフィックはクライアントによって取得されないため、ネットワークに直接転送されます。関連するすべてのトラフィックをトンネリングできるようにするには、ネットワークアダプターのプロパティを IPv4 優先に設定します。

接続フォールバック

クラウドサービスへの接続エラーが発生した場合、クライアントは、転送プロファイル内の一致するルールのセキュリティ強化値に基づいて、インターネットへの直接接続または接続のブロックにフォールバックします。

地理的位置情報

クラウドサービスにトンネリングされるネットワークトラフィックの場合、アプリケーションサーバー (Web サイト) は接続のソース IP を Edge の IP アドレス (ユーザーデバイスの IP アドレスとしてではなく) として検出します。このシナリオは、位置情報に依存するサービスに影響する可能性があります。

ヒント

Office 365 と Entra でデバイスの真のソース IP を検出するには、ソース IP の復元を有効にすることを検討してください。

仮想化サポート

Hyper-V のサポート:

外部仮想スイッチ: Windows 用グローバルセキュアアクセスクライアントでは、現在、Hyper-V 外部仮想スイッチを備えたホストマシンをサポートしていません。ただし、クライアントを仮想マシンにインストールすれば、トラフィックをグローバルセキュアアクセスにトンネリングできます。
内部仮想スイッチ: グローバルセキュアアクセスの Windows 用クライアントは、ホストおよびゲストマシンにインストールすることができます。クライアントでは、自身がインストールされているマシンのネットワークトラフィックのみをトンネリングします。つまり、ゲストマシンのネットワークは、ホストマシンにインストールされているクライアントによってトンネリングされません。

グローバルセキュアアクセスの Windows 用クライアントでは、Azure Virtual Machines がサポートされています。

グローバルセキュアアクセスの Windows 用クライアントでは、Azure Virtual Desktop (AVD) がサポートされています。

Note

AVD マルチセッションはサポートされていません。

プロキシ

プロキシがアプリケーションレベル (ブラウザーなど) または OS レベルで構成されている場合、クライアントがトンネリングする必要があるすべての FQDN と IP を除外するようにプロキシ自動構成 (PAC) ファイルを構成します。

特定の FQDN/IP に対する HTTP 要求がプロキシにトンネリングされないようにするには、FQDN/IP を例外として PAC ファイルに追加します。 (これらの FQDN/IP は、トンネリング用のグローバルセキュアアクセスの転送プロファイルにあります)。次に例を示します。

function FindProxyForURL(url, host) {   
        if (isPlainHostName(host) ||   
            dnsDomainIs(host, ".microsoft.com") || // tunneled 
            dnsDomainIs(host, ".msn.com")) // tunneled 
           return "DIRECT";                    // If true, sets "DIRECT" connection 
        else                                   // If not true... 
           return "PROXY 10.1.0.10:8080";  // forward the connection to the proxy
}

インターネットに直接接続できない場合は、プロキシ経由でグローバルセキュアアクセスサービスに接続するようにクライアントを構成します。たとえば、grpc_proxy システム変数をプロキシの値 (http://proxy:8080 など) と一致するように設定します。

構成の変更を適用するには、グローバルセキュアアクセスクライアントの Windows サービスを再起動します。

パケット挿入

クライアントは、ソケットを使用して送信されたトラフィックのみをトンネリングします。ドライバーを使用してネットワークスタックに挿入されたトラフィック (たとえば、ネットワーク Mapper (Nmap) によって生成されたトラフィックの一部) はトンネリングされません。挿入されたパケットは、ネットワークに直接送信されます。

マルチセッション

グローバルセキュアアクセスクライアントは、同じマシン上での同時セッションに対応していません。この制限は、複数セッション用に構成されている Azure Virtual Desktop (AVD) などの RDP サーバーと VDI ソリューションに適用されます。

Arm64

ARM64 アーキテクチャのグローバルセキュアアクセスクライアントは、まだサポートされていません。

QUIC はインターネットアクセスでサポートされていません

QUIC はまだインターネットアクセスに対応していないため、ポート 80 UDP と 443 UDP へのトラフィックはトンネリングできません。

ヒント

QUIC は現在、プライベートアクセスと Microsoft 365 ワークロードでサポートされています。

管理者は、クライアントが TCP 経由で HTTPS にフォールバックするようにトリガーする QUIC プロトコルを無効にすることができます。これは、インターネットアクセスで完全にサポートされています。詳細については、「QUIC はインターネットアクセスでサポートされていません」をご覧ください。

トラブルシューティング

グローバルセキュアアクセスクライアントのトラブルシューティングを行うには、タスクバーのクライアントアイコンを右クリックし、トラブルシューティングオプション (ログの収集または詳細な診断) のいずれかを選択します。

ヒント

管理者は、クライアントレジストリキーを変更することで、グローバルセキュアアクセスクライアントのメニューオプションを変更できます。

グローバルセキュアアクセスクライアントのトラブルシューティングの詳細については、次の記事をご覧ください。

クライアントレジストリキー

グローバルセキュアアクセスクライアントは、特定のレジストリキーを使用して、さまざまな機能を有効または無効にします。管理者は、Microsoft Intune やグループポリシーなどのモバイルデバイス管理 (MDM) ソリューションを使用して、レジストリ値を制御できます。

注意事項

Microsoft サポートによって指示されない限り、他のレジストリ値を変更しないでください。

特権のないユーザーを制限する

管理者は、次のレジストリキーを設定することで、Windows デバイス上の特権のないユーザーがクライアントを無効または有効にできないようにすることができます。
Computer\HKEY_LOCAL_MACHINE\Software\Microsoft\Global Secure Access Client
RestrictNonPrivilegedUsers REG_DWORD

データ	説明
0x0	Windows デバイス上の特権のないユーザーは、クライアントを無効および有効にすることができます。
0x1	Windows デバイス上の特権のないユーザーは、クライアントを無効および有効にすることができません。無効および有効オプションの場合は、UAC プロンプトによってローカル管理者の資格情報が要求されます。管理者は、無効化ボタンを非表示にすることもできます (「システムトレイメニューボタンの非表示または再表示」を参照)。

データ

説明

0x0

Windows デバイス上の特権のないユーザーは、クライアントを無効および有効にすることができます。

0x1

Windows デバイス上の特権のないユーザーは、クライアントを無効および有効にすることができません。無効および有効オプションの場合は、UAC プロンプトによってローカル管理者の資格情報が要求されます。管理者は、無効化ボタンを非表示にすることもできます (「システムトレイメニューボタンの非表示または再表示」を参照)。

クライアントでプライベートアクセスを無効または有効にする

このレジストリ値は、クライアントに対してプライベートアクセスを有効にするか無効にするかを制御します。ユーザーが企業ネットワークに接続されている場合、グローバルセキュアアクセスをバイパスし、プライベートアプリケーションに直接アクセスすることを選択できます。

ユーザーは、システムトレイメニューからプライベートアクセスを無効または有効にすることができます。

ヒント

このオプションは、メニューが非表示でなく (「システムトレイメニューボタンの表示または再表示」をご覧ください)、このテナントに対してプライベートアクセスが有効になっている場合にのみ使用できます。

管理者は、レジストリキーを設定することで、ユーザーのプライベートアクセスを無効または有効にすることができます。
Computer\HKEY_CURRENT_USER\Software\Microsoft\Global Secure Access Client

値	Type	データ	説明
IsPrivateAccessDisabledByUser	REG_DWORD	0x0	このデバイスでは、プライベートアクセスが有効になっています。プライベートアプリケーションへのネットワークトラフィックは、グローバルセキュアアクセスを経由します。
IsPrivateAccessDisabledByUser	REG_DWORD	0x1	このデバイスでは、プライベートアクセスは無効になっています。プライベートアプリケーションへのネットワークトラフィックは、ネットワークに直接送信されます。

IsPrivateAccessDisabledByUser レジストリキーが強調表示されたレジストリエディターを示すスクリーンショット。

レジストリ値が存在しない場合、既定値は 0x0 であり、プライベートアクセスが有効になります。

管理者は、クライアントシステムトレイアイコンメニューの特定のボタンを表示または非表示にすることができます。次のレジストリキー値を作成します。
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Global Secure Access Client

値	Type	データ	既定の動作	説明
HideSignOutButton	REG_DWORD	0x0 - 表示 0x1 : 非表示	非表示	この設定を構成して、サインアウトアクションを表示または非表示にします。このオプションは、ユーザーが Windows へのサインインに使用したのとは異なる Microsoft Entra ユーザーを使用してクライアントにサインインする必要がある特定のシナリオに適しています。注: クライアントへのサインインは、デバイスが参加しているのと同じ Microsoft Entra テナント内のユーザーを使用して行う必要があります。サインアウトアクションを使用して、既存のユーザーを再認証することもできます。
HideDisablePrivateAccessButton	REG_DWORD	0x0 - 表示 0x1 : 非表示	非表示	この設定を構成して、プライベートアクセスを無効にするアクションを表示または非表示にします。このオプションは、デバイスが企業ネットワークに直接接続されていて、ユーザーがグローバルセキュアアクセスではなく、ネットワーク経由で直接プライベートアプリケーションにアクセスすることを好むシナリオに適しています。
HideDisableButton	REG_DWORD	0x0 - 表示 0x1 : 非表示	表示	無効アクションを表示または非表示にするには、この設定を構成します。表示されている場合、ユーザーはグローバルセキュアアクセスクライアントを無効にすることができます。クライアントは、ユーザーによって再度有効にされるまで、無効のままです。無効アクションが非表示の場合、特権のないユーザーはクライアントを無効にできません。

HideSignOutButton レジストリキーと HideDisablePrivateAccessButton レジストリキーが強調表示されているレジストリエディターを示すスクリーンショット。

詳細については、高度なユーザー向けのWindowsで IPv6 を構成するためのガイダンスをご覧ください。

次の方法で共有

Microsoft Windows 用グローバルセキュアアクセスクライアント

前提条件

クライアントをダウンロードする