グローバルセキュリティで保護されたアクセスに関する既知の制限事項

[アーティクル]
12/27/2024

グローバルセキュリティで保護されたアクセスは、Microsoft Entra Internet Access と Microsoft Entra Private Access の両方で使用される統一用語です。

この記事では、グローバルセキュリティで保護されたアクセスを使用するときに発生する可能性がある既知の問題と制限事項について詳しく説明します。

グローバルセキュリティで保護されたアクセスクライアントの制限事項

グローバルセキュリティで保護されたアクセスクライアントは、複数のプラットフォームで使用できます。各プラットフォームの既知の制限事項の詳細については、各タブを選択してください。

Windows クライアントの
macOS クライアントの
Android クライアントの
iOS クライアントの

Windows 用グローバルセキュアアクセスクライアントの既知の制限事項は次のとおりです。

セキュリティで保護されたドメインネームシステム (DNS)

グローバルセキュリティで保護されたアクセスクライアントは、現在、HTTPS 経由の DNS (DoH)、DNS over TLS (DoT)、DNS セキュリティ拡張機能 (DNSSEC) など、さまざまなバージョンのセキュリティで保護された DNS をサポートしていません。ネットワークトラフィックを取得できるようにクライアントを構成するには、セキュリティで保護された DNS を無効にする必要があります。ブラウザーで DNS を無効にするには、「ブラウザーで無効になっているセキュリティで保護された DNS」を参照してください。

TCP 経由の DNS

DNS では、名前解決にポート 53 UDP が使用されます。一部のブラウザーには、ポート 53 TCP もサポートする独自の DNS クライアントがあります。現在、グローバルセキュリティで保護されたアクセスクライアントは DNS ポート 53 TCP をサポートしていません。軽減策として、次のレジストリ値を設定して、ブラウザーの DNS クライアントを無効にします。

Microsoft Edge
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge] "BuiltInDnsClientEnabled"=dword:00000000
クロム
[HKEY_CURRENT_USER\Software\Policies\Google\Chrome] "BuiltInDnsClientEnabled"=dword:00000000
また、閲覧 chrome://flags を追加し、Async DNS resolverを無効にします。

グループポリシーの名前解決ポリシーテーブルルールがサポートされていません

Windows 用グローバルセキュリティで保護されたアクセスクライアントは、グループポリシーの名前解決ポリシーテーブル (NRPT) 規則をサポートしていません。プライベート DNS をサポートするために、クライアントはデバイスでローカル NRPT 規則を構成します。これらのルールにより、関連する DNS クエリがプライベート DNS にリダイレクトされます。 NRPT 規則がグループポリシーで構成されている場合、クライアントによって構成されたローカル NRPT 規則がオーバーライドされ、プライベート DNS は機能しません。

さらに、以前のバージョンの Windows で構成および削除された NRPT 規則によって、registry.pol ファイルに NRPT 規則の空のリストが作成されました。このグループポリシーオブジェクト (GPO) がデバイスに適用されている場合、空のリストはローカル NRPT 規則をオーバーライドし、プライベート DNS は機能しません。

軽減策として:

レジストリキー HKLM\Software\Policies\Microsoft\Windows NT\DNSClient\DnsPolicyConfig エンドユーザーデバイスに存在する場合は、NRPT 規則を適用するように GPO を構成します。
NRPT 規則で構成されている GPO を検索するには:
1. エンドユーザーデバイスで gpresult /h GPReport.html を実行し、NRPT 構成を探します。
2. NRPT 規則を含む sysvol 内のすべての registry.pol ファイルのパスを検出する次のスクリプトを実行します。

手記

ネットワークの構成に合わせて、sysvolPath 変数を必ず変更してください。

# =========================================================================
# THIS CODE-SAMPLE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND, EITHER 
# EXPRESSED OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE IMPLIED WARRANTIES 
# OF MERCHANTABILITY AND/OR FITNESS FOR A PARTICULAR PURPOSE.
#
# This sample is not supported under any Microsoft standard support program 
# or service. The code sample is provided AS IS without warranty of any kind. 
# Microsoft further disclaims all implied warranties including, without 
# limitation, any implied warranties of merchantability or of fitness for a 
# particular purpose. The entire risk arising out of the use or performance
# of the sample and documentation remains with you. In no event shall 
# Microsoft, its authors, or anyone else involved in the creation, 
# production, or delivery of the script be liable for any damages whatsoever 
# (including, without limitation, damages for loss of business profits, 
# business interruption, loss of business information, or other pecuniary 
# loss) arising out of  the use of or inability to use the sample or 
# documentation, even if Microsoft has been advised of the possibility of 
# such damages.
#========================================================================= 

# Define the sysvol share path.
# Change the sysvol path per your organization, for example: 
# $sysvolPath = "\\dc1.contoso.com\sysvol\contoso.com\Policies"
$sysvolPath = "\\<DC FQDN>\sysvol\<domain FQDN>\Policies"  ## Edit

# Define the search string.
$searchString = "dnspolicyconfig"

# Define the name of the file to search.
$fileName = "registry.pol"

# Get all the registry.pol files under the sysvol share.
$files = Get-ChildItem -Path $sysvolPath -Recurse -Filter $fileName -File

# Array to store paths of files that contain the search string.
$matchingFiles = @()

# Loop through each file and check if it contains the search string.
foreach ($file in $files) {
    try {
        # Read the content of the file.
        $content = Get-Content -Path $file.FullName -Encoding Unicode
        
        # Check if the content contains the search string.
        if ($content -like "*$searchString*") {
            $matchingFiles += $file.FullName
        }
    } catch {
        Write-Host "Failed to read file $($file.FullName): $_"
    }
}

# Output the matching file paths.
if ($matchingFiles.Count -eq 0) {
    Write-Host "No files containing '$searchString' were found."
} else {
    Write-Host "Files containing '$searchString':"
    $matchingFiles | ForEach-Object { Write-Host $_ }
}

前のセクションで見つかった各 GPO を編集します。
1. NRPT セクションが空の場合は、新しい Fictive ルールを作成し、ポリシーを更新し、Fictive ルールを削除して、ポリシーをもう一度更新します。次の手順では、registry.pol ファイル (レガシバージョンの Windows で作成されたもの) から DnsPolicyConfig を削除します。
2. NRPT セクションが空ではなく、ルールが含まれている場合は、これらのルールが引き続き必要であることを確認します。ルール必要ない場合は、削除します。規則必要、グローバルセキュリティで保護されたアクセスクライアントを使用するデバイスに GPO を適用する場合、プライベート DNS オプションは機能しません。

接続フォールバック

クラウドサービスへの接続エラーが発生した場合、クライアントは、転送プロファイル内の一致する規則の強化値に基づいて、インターネットへの直接接続または接続のブロックのいずれかにフォールバックします。

地理位置情報

クラウドサービスにトンネリングされるネットワークトラフィックの場合、アプリケーションサーバー (Web サイト) は接続のソース IP をエッジの IP アドレス (ユーザーデバイスの IP アドレスとしてではなく) として検出します。このシナリオは、位置情報に依存するサービスに影響する可能性があります。

先端

Microsoft 365 と Microsoft Entra がデバイスの真のソース IP を検出するには、ソース IP 復元を有効にすることを検討してください。

仮想化のサポート

仮想マシンをホストするデバイスにグローバルセキュリティで保護されたアクセスクライアントをインストールすることはできません。ただし、クライアントがホストマシンにインストールされていない限り、グローバルセキュリティで保護されたアクセスクライアントを仮想マシンにインストールできます。同じ理由から、Windows Subsystem for Linux (WSL) は、ホストコンピューターにインストールされているクライアントからトラフィックを取得しません。

Hyper-V サポート:

外部仮想スイッチ: グローバルセキュアアクセス Windows クライアントは、現在、Hyper-V 外部仮想スイッチを持つホストマシンをサポートしていません。ただし、クライアントを仮想マシンにインストールして、トラフィックをグローバルセキュリティで保護されたアクセスにトンネリングできます。
内部仮想スイッチ: グローバルなセキュアアクセス Windows クライアントはホストおよびゲストマシンにインストールすることができます。クライアントは、インストールされているマシンのネットワークトラフィックのみをトンネルします。つまり、ホストコンピューターにインストールされているクライアントは、ゲストマシンのネットワークトラフィックをトンネリングしません。

グローバルセキュリティで保護されたアクセス Windows クライアントは、Azure Virtual Machines と Azure Virtual Desktop (AVD) をサポートしています。

手記

グローバルセキュリティで保護されたアクセス Windows クライアントは、AVD マルチセッションをサポートしていません。

プロキシ

プロキシがアプリケーションレベル (ブラウザーなど) または OS レベルで構成されている場合は、クライアントがトンネリングする必要があるすべての FQDN と IP を除外するようにプロキシ自動構成 (PAC) ファイルを構成します。

特定の FQDN/IP に対する HTTP 要求がプロキシにトンネリングされないようにするには、FQDN/IP を例外として PAC ファイルに追加します。 (これらの FQDN/IP は、トンネリング用のグローバルセキュアアクセスの転送プロファイルにあります)。例えば：

function FindProxyForURL(url, host) {   
        if (isPlainHostName(host) ||   
            dnsDomainIs(host, ".microsoft.com") || // tunneled 
            dnsDomainIs(host, ".msn.com")) // tunneled 
           return "DIRECT";                    // If true, sets "DIRECT" connection 
        else                                   // If not true... 
           return "PROXY 10.1.0.10:8080";  // forward the connection to the proxy
}

インターネットに直接接続できない場合は、プロキシ経由でグローバルセキュアアクセスサービスに接続するようにクライアントを構成します。たとえば、http://proxy:8080など、grpc_proxy システム変数をプロキシの値と一致するように設定します。

構成の変更を適用するには、グローバルセキュリティで保護されたアクセスクライアントの Windows サービスを再起動します。

パケットインジェクション

クライアントは、ソケットを使用して送信されたトラフィックのみをトンネリングします。ドライバーを使用してネットワークスタックに挿入されたトラフィックはトンネリングされません (たとえば、ネットワークマッパー (Nmap) によって生成されたトラフィックの一部)。挿入されたパケットは、ネットワークに直接送信されます。

マルチセッション

グローバルセキュリティで保護されたアクセスクライアントは、同じコンピューターでの同時セッションをサポートしていません。この制限は、マルチセッション用に構成された Azure Virtual Desktop (AVD) などのリモートデスクトッププロトコル (RDP) サーバーと仮想デスクトップインフラストラクチャ (VDI) ソリューションに適用されます。

Arm64

グローバルセキュリティで保護されたアクセスクライアントは、Arm64 アーキテクチャをサポートしていません。

QUIC はインターネットアクセスでサポートされていません

QUIC はまだインターネットアクセスでサポートされていないため、ポート 80 UDP と 443 UDP へのトラフィックはトンネリングできません。

先端

QUIC は現在、プライベートアクセスと Microsoft 365 ワークロードでサポートされています。

管理者は、クライアントが TCP 経由で HTTPS にフォールバックするようにトリガーする QUIC プロトコルを無効にすることができます。これは、インターネットアクセスで完全にサポートされています。詳細については、インターネットアクセスでサポートされていない QUIC を参照してください。

WSL 2 接続

ホストコンピューターで Windows 用グローバルセキュアアクセスクライアントが有効になっている場合、Windows Subsystem for Linux (WSL) 2 環境からの送信接続がブロックされる可能性があります。この問題を軽減するには、dnsTunneling を falseに設定するファイル作成します。これにより、WSL からのすべてのトラフィックがグローバルセキュアアクセスをバイパスし、ネットワークに直接送信されます。詳細については、「WSLの詳細設定の構成をする」を参照してください。

リモートネットワークの制限事項

リモートネットワークの既知の制限事項は次のとおりです。

テナントあたりのリモートネットワークの最大数は 10 です。リモートネットワークあたりのデバイスリンクの最大数は 4 です。
Microsoft トラフィックは、グローバルセキュリティで保護されたアクセスクライアントなしでリモートネットワーク接続を介してアクセスされます。ただし、条件付きアクセスポリシーは適用されません。つまり、グローバルセキュアアクセス Microsoft トラフィックの条件付きアクセスポリシーは、ユーザーがグローバルセキュアアクセスクライアントを持っている場合にのみ適用されます。
Microsoft Entra Private Access には、グローバルセキュリティで保護されたアクセスクライアントを使用する必要があります。リモートネットワーク接続では、Microsoft Entra Internet Access のみがサポートされます。
現時点では、リモートネットワークは Microsoft トラフィック転送プロファイルにのみ割り当てることができます。

アクセス制御の制限事項

アクセス制御の既知の制限事項は次のとおりです。

Microsoft トラフィックのユニバーサル条件付きアクセスでは、継続的アクセス評価 (CAE) は現在サポートされていません。
プライベートアクセストラフィックへの条件付きアクセスポリシーの適用は現在サポートされていません。この動作をモデル化するには、クイックアクセスアプリとグローバルセキュアアクセスアプリのアプリケーションレベルで条件付きアクセスポリシーを適用します。詳細については、「プライベートアクセスアプリへの条件付きアクセスの適用」を参照してください。
Microsoft トラフィックは、グローバルセキュアアクセスクライアントなしでリモートネットワーク接続を介してアクセスできます。ただし、条件付きアクセスポリシーは適用されません。つまり、グローバルセキュアアクセス Microsoft トラフィックの条件付きアクセスポリシーは、ユーザーがグローバルセキュアアクセスクライアントを持っている場合にのみ適用されます。
継続的アクセス評価を使用した準拠ネットワークチェックデータプレーンの適用 (プレビュー) は、SharePoint Online と Exchange Online でサポートされています。
グローバルセキュアアクセス条件付きアクセスシグナリングを有効にすると、認証プレーン (Microsoft Entra ID) とデータプレーンシグナリング (プレビュー) の両方のシグナリングが可能になります。現時点では、これらの設定を個別に有効にすることはできません。
現在、プライベートアクセスアプリケーションでは、準拠しているネットワークチェックはサポートされていません。
ソース IP 復元が有効になっている場合は、ソース IP のみが表示されます。グローバルセキュリティで保護されたアクセスサービスの IP アドレスが表示されません。グローバルセキュアアクセスサービスの IP アドレスを表示する場合は、ソース IP 復元を無効にします。
現在、元のソース IP アドレスは継続的アクセス評価 (CAE) によって保護されている Microsoft 以外のリソースでは認識されないため、IP の場所ベースの条件付きアクセスポリシーを評価 Microsoft リソースのみです。
CAE の厳密な場所の強制を使用している場合、ユーザーは信頼できる IP 範囲内にあるにもかかわらずブロックされます。この条件を解決するには、次のいずれかの推奨事項を実行します。
- Microsoft 以外のリソースを対象とする IP の場所ベースの条件付きアクセスポリシーがある場合は、厳密な場所の適用を有効にしないでください。
- ソース IP 復元でトラフィックがサポートされていることを確認します。そうでない場合は、関連するトラフィックをグローバルセキュリティで保護されたアクセス経由で送信しないでください。
現時点では、プライベートアクセストラフィックを取得するには、グローバルセキュリティで保護されたアクセスクライアントを介した接続が必要です。
データプレーン保護機能はプレビュー段階です (認証プレーンの保護は一般提供されています)。
ユニバーサルテナント制限を有効にし、許可リストのテナントの Microsoft Entra 管理センターにアクセスすると、"アクセスが拒否されました" というエラーが表示されることがあります。このエラーを修正するには、Microsoft Entra 管理センターに次の機能フラグを追加します。
- ?feature.msaljs=true&exp.msaljsexp=true
- たとえば、Contoso で働いているとします。パートナーテナントである Fabrikam が許可リストにあります。 Fabrikam テナントの Microsoft Entra 管理センターのエラーメッセージが表示される場合があります。
  - URL https://entra.microsoft.com/の "アクセスが拒否されました" というエラーメッセージを受け取った場合は、次のように機能フラグを追加します https://entra.microsoft.com/?feature.msaljs%253Dtrue%2526exp.msaljsexp%253Dtrue#home
ユニバーサル CAE を認識するのは、バージョン 1.8.239.0 以降の Windows 用グローバルセキュアアクセスクライアントのみです。他のプラットフォームでは、グローバルセキュリティで保護されたアクセスクライアントは通常のアクセストークンを使用します。
Microsoft Entra ID は、グローバルセキュリティで保護されたアクセスの有効期間が短いトークンを発行します。ユニバーサル CAE アクセストークンの有効期間は 60 ~ 90 分で、ほぼリアルタイムの失効がサポートされます。
Microsoft Entra ID シグナルがグローバルセキュアアクセスクライアントに到達し、ユーザーに再認証を求めるのに約 2 ~ 5 分かかります。
ユーザーは、再認証を完了するために CAE イベントを受信した後、2 分間の猶予期間を持ちます。 2 分後、ユーザーが Global Secure Access クライアントに正常にサインインするまで、グローバルセキュリティで保護されたアクセスを経由する既存のネットワークフローが中断されます。

トラフィック転送プロファイルの制限事項

トラフィック転送プロファイルの既知の制限事項は次のとおりです。

個々のサービスは、継続的に Microsoft トラフィックプロファイルに追加されます。現在、Microsoft Entra ID、Microsoft Graph、Exchange Online、および SharePoint Online は、Microsoft トラフィックプロファイルの一部としてサポートされています
現時点では、プライベートアクセストラフィックはグローバルセキュアアクセスクライアントでのみ取得できます。プライベートアクセストラフィックをリモートネットワークから取得することはできません。
IP アドレスによるプライベートアクセス宛先へのトラフィックのトンネリングは、エンドユーザーデバイスのローカルサブネット以外の IP 範囲でのみサポートされます。
トラフィック転送プロファイルの完全修飾ドメイン名 (FQDN) の規則に基づいてネットワークトラフィックをトンネリングするには、HTTPS 経由の DNS (セキュリティで保護された DNS) を無効にする必要があります。

プライベートアクセスの制限事項

プライベートアクセスの既知の制限事項は次のとおりです。

クイックアクセスアプリとグローバルセキュアアクセスアプリの間でアプリセグメントが重複しないようにします。
クイックアクセスとアプリごとのアクセスの間でアプリセグメントが重複しないようにします。
IP アドレスによるプライベートアクセス宛先へのトラフィックのトンネリングは、エンドユーザーデバイスのローカルサブネット以外の IP 範囲でのみサポートされます。
現時点では、プライベートアクセストラフィックはグローバルセキュアアクセスクライアントでのみ取得できます。リモートネットワークをプライベートアクセストラフィック転送プロファイルに割り当てることはできません。

インターネットアクセスの制限事項

インターネットアクセスの既知の制限事項は次のとおりです。

現在、管理者は、最大 8,000 個の FQDN に基づいて、最大 100 個の Web コンテンツフィルタリングポリシーと最大 1,000 個のルールを作成できます。管理者は、最大 256 個のセキュリティプロファイルを作成することもできます。
このプラットフォームでは、HTTP/S トラフィックの標準ポート (ポート 80 および 443) が想定されています。
グローバルセキュリティで保護されたアクセスクライアントは、IPv6 をサポートしていません。クライアントは IPv4 トラフィックのみをトンネルします。 IPv6 トラフィックはクライアントによって取得されないため、ネットワークに直接転送されます。すべてのトラフィックがグローバルセキュアアクセスにルーティングされるようにするには、ネットワークアダプターのプロパティを IPv4 優先設定します。
UDP は、このプラットフォームではまだサポートされていません。
ユーザーフレンドリなエンドユーザー通知が開発中です。
インターネットアクセスのリモートネットワーク接続は開発中です。
トランスポート層セキュリティ (TLS) 検査は開発中です。
HTTP トラフィックと HTTPS トラフィックの URL パスベースのフィルター処理と URL 分類は開発中です。

次の方法で共有

グローバルセキュリティで保護されたアクセスに関する既知の制限事項

グローバルセキュリティで保護されたアクセスクライアントの制限事項

セキュリティで保護されたドメインネームシステム (DNS)

TCP 経由の DNS

グループポリシーの名前解決ポリシーテーブルルールがサポートされていません

接続フォールバック

地理位置情報

仮想化のサポート

プロキシ

パケットインジェクション

マルチセッション

Arm64

QUIC はインターネットアクセスでサポートされていません

WSL 2 接続

セキュリティで保護されたドメインネームシステム (DNS)

接続フォールバック

ソース IP アドレスの位置情報

UTM での仮想化のサポート

QUIC はインターネットアクセスでサポートされていません

リモートネットワークの制限事項

アクセス制御の制限事項

トラフィック転送プロファイルの制限事項

プライベートアクセスの制限事項

インターネットアクセスの制限事項

フィードバック

その他のリソース

次の方法で共有

グローバル セキュリティで保護されたアクセスに関する既知の制限事項

グローバル セキュリティで保護されたアクセス クライアントの制限事項

セキュリティで保護されたドメイン ネーム システム (DNS)

TCP 経由の DNS

グループ ポリシーの名前解決ポリシー テーブルルールがサポートされていません

接続フォールバック

地理位置情報

仮想化のサポート

プロキシ

パケットインジェクション

マルチセッション

Arm64

QUIC はインターネット アクセスでサポートされていません

WSL 2 接続

リモート ネットワークの制限事項

アクセス制御の制限事項

トラフィック転送プロファイルの制限事項

プライベート アクセスの制限事項

インターネット アクセスの制限事項

フィードバック

その他のリソース

グローバルセキュリティで保護されたアクセスに関する既知の制限事項

グローバルセキュリティで保護されたアクセスクライアントの制限事項

セキュリティで保護されたドメインネームシステム (DNS)

グループポリシーの名前解決ポリシーテーブルルールがサポートされていません

QUIC はインターネットアクセスでサポートされていません

リモートネットワークの制限事項

プライベートアクセスの制限事項

インターネットアクセスの制限事項