グローバルセキュアアクセス Web コンテンツフィルタリングを構成する方法

概要

Web コンテンツのフィルター処理を使用すると、Web サイトの分類に基づいて、組織の詳細なインターネットアクセス制御を実装できます。

Microsoft Entra Internet Accessの最初の Secure Web Gateway (SWG) 機能には、ドメイン名に基づく Web コンテンツのフィルター処理が含まれます。 Microsoftでは、詳細なフィルターポリシーとMicrosoft Entra IDとMicrosoft Entra 条件付きアクセスが統合されるため、ユーザー対応、コンテキスト対応、管理が容易なポリシーがフィルター処理されます。

Web フィルター機能では、現在、ユーザーとコンテキストに対応した Uniform Resource Locator (URL) ベースの Web カテゴリのフィルター処理、URL フィルター処理、FQDN フィルター処理がサポートされています。

Web コンテンツのフィルター処理では、トラフィックに対応したポリシーの適用を有効にする 2 つのオプションのルール条件もサポートされています。

ソーストラフィックの種類のフィルター処理: 特定のトラフィックの種類 (エージェントまたはユーザー) にルールをスコープします。
HTTP メソッド要求のフィルター処理: GET、POST、PUT、PATCH、DELETE などの特定の HTTP メソッドをブロックまたは許可します。

ヒント

ファイル MIME の種類に基づくネットワークコンテンツフィルタリング、またはファイルとテキストコンテンツのMicrosoft Purview検査については、「ネットワークコンテンツフィルタリングのコンテンツポリシーを作成する」を参照してください。

前提条件

グローバルセキュリティで保護されたアクセス機能を操作する管理者は、実行しているタスクに応じて、次のロールの割り当てを 1 つ以上持っている必要があります。
- グローバルセキュアアクセス管理者ロールでグローバルセキュアアクセス機能を管理する。
- 条件付きアクセスポリシーを作成して操作するための条件付きアクセス管理者。
グローバルセキュアアクセスのクイックスタートガイドを完了します。
エンドユーザーデバイスにグローバルセキュアアクセスクライアントをインストールします。
ネットワークトラフィックをトンネルするには、HTTPS 経由のドメインネームシステム (DNS) (Secure DNS) を無効にする必要があります。トラフィック転送プロファイルで完全修飾ドメイン名 (FQDN) の規則を使用します。詳細については、「 DoH をサポートするように DNS クライアントを構成する」を参照してください。
Chrome とMicrosoft Edgeで組み込みの DNS クライアントを無効にします。
IPv6 トラフィックはクライアントによって取得されないため、ネットワークに直接転送されます。関連するすべてのトラフィックをトンネリングできるようにするには、ネットワークアダプターのプロパティを IPv4 優先に設定します。
ユーザーデータグラムプロトコル (UDP) トラフィック (つまり QUIC) は、インターネットアクセスの現在のプレビューではサポートされていません。ほとんどの Web サイトでは、QUIC を確立できないときの伝送制御プロトコル (TCP) へのフォールバックがサポートされています。ユーザーエクスペリエンスを向上させるために、送信 UDP 443 をブロックする Windows ファイアウォール規則 (New-NetFirewallRule -DisplayName "Block QUIC" -Direction Outbound -Action Block -Protocol UDP -RemotePort 443) を展開できます。
HTTPS トラフィックにソーストラフィックの種類と HTTP メソッド要求規則を適用するには、TLS 検査を有効にします。 TLS 検査を使用しない場合は、サーバー名表示 (SNI) ベースの Web コンテンツフィルター規則のみが適用されます。
ソーストラフィックの種類のフィルター処理には、クライアントベースのグローバルセキュリティで保護されたアクセス接続が必要です。リモートネットワークでは、ソーストラフィックの種類の規則はサポートされていません。
Web コンテンツフィルタリングの概念を確認します。詳細については、 Web コンテンツのフィルター処理に関するページを参照してください。

大まかな手順

Web コンテンツのフィルター処理を構成するには、いくつかの手順があります。条件付きアクセスポリシーを構成する必要がある場所を書き留めます。

インターネットトラフィック転送を有効にします。
Web コンテンツフィルターポリシーを作成します。
セキュリティプロファイルを作成します。
セキュリティプロファイルを条件付きアクセスポリシーにリンクします。
トラフィック転送プロファイルにユーザーまたはグループを割り当てます。

インターネットトラフィックの転送を有効にする

まず、Internet Access のトラフィック転送プロファイルを有効にします。プロファイルとその有効化方法の詳細については、「インターネットアクセストラフィック転送プロファイルを管理する方法」を参照してください。

Web コンテンツのフィルター処理ポリシーを作成する

グローバルセキュリティで保護されたアクセス>セキュリティで保護された>Webコンテンツフィルタリングポリシーに移動します。
[ ポリシーの作成] を選択します。
ポリシーの名前と説明を入力し、[ 次へ] を選択します。
[ ルールの追加] を選択します。
名前を入力し、 Web カテゴリ、有効な URL、または有効な FQDN を選択して、[ 追加] を選択します。
- この機能の有効な URL と FQDN には、アスタリスク記号 *を使用してワイルドカードを含めることもできます。また、コンマ区切りのリストを使用することもできます。
- FQDN を入力するときは、ドメイン名のみを使用します。プロトコル ( https://など)、ポート番号、URL パスは含めないでください。たとえば、contoso.comではなく「https://contoso.com:443/path」と入力します。
- ドメインのすべてのサブドメインと一致するには、ワイルドカード形式の *.domain.comを使用します。ワイルドカード *.domain.com は、 www.domain.com などのサブドメインと一致しますが、ルートドメイン domain.com 自体と一致しません。ドメインとそのすべてのサブドメインの両方をカバーするには、両方のエントリをコンマ区切りリスト (たとえば、 *.contoso.com,contoso.com) として含めます。
- コンマ区切りリストに複数の FQDN を入力する場合は、エントリ間にスペースを含めないでください (たとえば、 contoso.com,fabrikam.com,*.example.com)。
- URL フィルタリングプレビューでは、テナントあたり最大 1,000 個の URL がサポートされることに注意してください。
(省略可能)ソースの種類の条件を構成します。詳細については、「ソーストラフィックの種類のフィルター処理を構成する」を参照してください。
(省略可能) HTTP メソッド要求 条件を構成します。詳細については、「 HTTP メソッド要求フィルターの構成」を参照してください。
[ 次へ ] を選択してポリシーを確認し、[ ポリシーの作成] を選択します。

ソーストラフィックの種類のフィルター処理を構成する

ソーストラフィックの種類のフィルター処理を使用すると、Web コンテンツフィルタールールを特定の種類のネットワークトラフィックにスコープ設定できます。トラフィックの発信元が AI エージェントかユーザーかに基づいて、区別されたポリシーを適用できます。

サポートされているソーストラフィックの種類

ソースの種類	説明
エージェント	Copilot エージェントや自律 AI ツールなど、AI エージェントから送信されるトラフィック。
User	Web ブラウザーやアプリケーションなど、ユーザーから送信されたトラフィック。

ソーストラフィックの種類の条件を構成する

Web コンテンツフィルタリングルールの構成で、[ ソースの種類 ] フィールドを見つけます。
[ソースの種類] フィールドを有効にして、ルールに含めます。
ルールに含めるソーストラフィックの種類を選択します。

注意

ソーストラフィックの種類のフィルター処理は、クライアントベースのグローバルセキュリティで保護されたアクセス接続でのみ使用できます。この機能は、トラフィックを分類するためにタスクとプロセッサメタデータを送信するグローバルセキュアアクセスクライアントに依存します。リモートネットワークでは、ソーストラフィックの種類の規則はサポートされていません。

注意

要求が AI エージェントから発信されていない場合、トラフィックは ユーザーとして分類されます。このトラフィックを照合するには、ルール内の ユーザー を明示的に対象とします。

ユーザートラフィックを許可しながら、AI エージェントがソーシャルネットワーキング Web サイトにアクセスできないようにするには:

Web コンテンツフィルタリングポリシールールを作成します。
SocialNetworking Web カテゴリを選択します。
ソースの種類を有効にし、[エージェント] を選択します。
ポリシーアクションを [ブロック] に設定します。

この構成により、ソーシャルネットワーキングサイトへの AI エージェントトラフィックがブロックされ、ユーザートラフィックが同じサイトにアクセスできるようになります。

HTTP メソッド要求のフィルター処理を構成する

HTTP メソッド要求フィルターを使用すると、トラフィックを照合するための特定の HTTP メソッドをブロックまたは許可できます。読み取り専用アクセスを許可しながら書き込み操作を制限することで、最小特権アクセスを適用できます。

サポートされている HTTP メソッド

Method	説明
GET	リソースを取得します。
投稿	リソースにデータを送信します。
PUT	リソースを置き換えます。
PATCH	リソースを部分的に更新します。
DELETE	リソースを削除します。

HTTP メソッド要求条件を構成する

Web コンテンツフィルタリングルールの構成で、 HTTP メソッド要求 フィールドを見つけます。
HTTP メソッド要求フィールドを有効にして、ルールに含めます。
ルールに含める HTTP メソッドを選択します。

Important

HTTP メソッドの適用には、HTTPS トラフィックに対する TLS 検査が必要です。 TLS 検査がないと、Secure Web Gateway は HTTP メソッドヘッダーを観察できません。SNI ベースの Web コンテンツフィルタリング規則のみが適用されます。暗号化されていない HTTP トラフィックは常に検査できます。

例: AI エージェントの書き込み操作をブロックする

AI エージェントがエンタープライズリソースに対して書き込み操作 (PUT、PATCH、DELETE) を実行できないようにするには、

Web コンテンツフィルタリングポリシールールを作成します。
保護する宛先 URL、FQDN、または Web カテゴリを選択します。
ソースの種類を有効にし、[エージェント] を選択します。
HTTP メソッド要求を有効にし、PUT、PATCH、DELETE を選択します。
ポリシーアクションを [ブロック] に設定します。

この構成により、GET やその他の読み取り専用メソッドを許可しながら、AI エージェントトラフィックが指定された宛先に対して書き込み操作を実行するのをブロックします。

ソーストラフィックの種類と HTTP メソッドの条件を組み合わせる

ソーストラフィックの種類と HTTP メソッドの要求条件は、個別に使用することも、1 つのルールでまとめて使用することもできます。

ソースの種類のみ: HTTP メソッドに関係なく、特定のソースの種類からのすべてのトラフィックにルールを適用します。
HTTP メソッド要求のみ: トラフィックソースに関係なく、特定の HTTP メソッドにルールを適用します。
両方の条件: ソーストラフィックの種類と HTTP メソッドの両方が一致する場合にのみルールを適用します。

ルールで両方の条件を構成する場合、要求は、ルールを適用するために、指定されたソーストラフィックの種類と指定された HTTP メソッドの両方と一致する必要があります。条件は、属性間で AND ロジックを使用して評価されます。

ポリシーの評価と優先順位

ポリシーの評価は、既存の Web コンテンツフィルタリングポリシーフレームワークの順序付け規則と優先順位ルールに従います。

同じ属性 (OR ロジック) 内。選択した値と一致すると、条件がトリガーされます。
属性間: AND ロジック。すべての構成済み条件が一致する必要があります。
競合するアクション: 複数のポリシーが競合するアクションと一致する場合、最も制限の厳しいアクションが優先されます (許可を超えるブロック)。

セキュリティプロファイルを作成する

セキュリティプロファイルは、フィルター処理ポリシーのグループです。セキュリティプロファイルは、Microsoft Entra 条件付きアクセスポリシーを使用して割り当てたり、リンクしたりできます。 1 つのセキュリティプロファイルに複数のフィルター処理ポリシーを含めることができます。また、1 つのセキュリティプロファイルを複数の条件付きアクセスポリシーに関連付けることができます。

この手順では、フィルター処理ポリシーをグループ化するためのセキュリティプロファイルを作成します。その後、セキュリティプロファイルを条件付きアクセスポリシーに割り当てるかリンクして、ユーザーまたはコンテキストに対応させます。

注意

Microsoft Entra 条件付きアクセスポリシーの詳細については、「条件付きアクセスポリシーの構築」を参照してください。

グローバルセキュリティで保護されたアクセス>セキュリティで保護された>セキュリティプロファイルを参照します。
[ プロファイルの作成] を選択します。
ポリシーの名前と説明を入力し、[ 次へ] を選択します。
[ ポリシーのリンク] を選択し、[ 既存のポリシー] を選択します。
既に作成した Web コンテンツフィルターポリシーを選択し、[ 追加] を選択します。
[ 次へ ] を選択して、セキュリティプロファイルと関連ポリシーを確認します。
[ プロファイルの作成] を選択します。
[ 更新] を選択してプロファイルページを更新し、新しいプロファイルを表示します。

条件付きアクセスポリシーを作成およびリンクする

エンドユーザーまたはグループの条件付きアクセスポリシーを作成し、条件付きアクセスセッション制御を使用してセキュリティプロファイルを配信します。条件付きアクセスは、インターネットアクセスポリシーに関してユーザーとコンテキストに対応するための配信メカニズムです。セッション制御の詳細については、「条件付きアクセス: セッション」を参照してください。

少なくともConditional Access AdministratorとしてMicrosoft Entra 管理センターにサインインします。
Entra ID>Conditional Access>Policies に移動します。
[新しいポリシー] を選択します。
ポリシーの名前を設定してください。組織は、ポリシーの名前に対して意味のある標準を作成する必要があります。
[割り当て] で、 [ユーザーまたはワークロード ID] を選択します。
1. [含める] で、[すべてのユーザー] を選択します
グローバル セキュリティで保護されたアクセスを使用して、[ターゲットリソース] と [すべてのインターネットリソース] を選択します。
[ セッション>グローバルセキュリティで保護されたアクセスセキュリティプロファイルを使用 し、セキュリティプロファイルを選択します。
[選択]を選択します。
[ ポリシーの有効化] セクションで、[ オン] が選択されていることを確認します。
作成を選択します。

注意

明示的転送プロキシ (EFP) プレビューは、現在、 グローバルセキュリティで保護されたアクセスグループを持つすべてのインターネットリソースには 含まれていません。ユーザーが明示的転送プロキシ (プレビュー) を使用している場合は、 EFP 条件付きアクセスポリシーを構成する方法に従います。

リモートネットワークトラフィックの Web コンテンツフィルター処理を有効にする

リモートネットワーク接続を使用すると、クライアントを個々のデバイスにインストールすることなく、ブランチオフィスやその他のリモートの場所をグローバルセキュアアクセスに接続できます。リモートネットワーク接続の詳細については、「グローバルなセキュリティで保護されたアクセスのリモートネットワーク接続」を参照してください。

ベースラインセキュリティプロファイルを使用して、テナント全体の Web コンテンツフィルタリングポリシーをすべてのリモートネットワークトラフィックに適用できます。ベースラインプロファイルは、ポリシースタック内の最も低い優先順位でポリシーを適用し、サービス経由でルーティングされるすべてのインターネットアクセストラフィックに適用されるため、リモートネットワークの場所をセキュリティで保護するのに最適です。

Important

ソーストラフィックの種類のフィルター処理は、リモートネットワークトラフィックではサポートされていません。ソーストラフィックの種類の規則では、トラフィック分類のタスクとプロセッサのメタデータを提供するために、グローバルセキュリティで保護されたアクセスクライアントが必要です。ベースラインプロファイルを使用して、ソーストラフィックの種類の条件のない Web カテゴリ、URL、FQDN、および HTTP メソッドルールをリモートネットワークに適用できます。

Microsoft Entra 管理センター
マイクロソフトグラフ API

グローバルセキュアアクセス>セキュア>セキュリティプロファイル>基準プロファイルにアクセスします。
[ ポリシーのリンク] を選択し、[ 既存のポリシー] を選択します。
リモートネットワークトラフィックに適用する Web コンテンツフィルタリングポリシーを選択し、[追加] を選択 します。
ベースラインプロファイルは、条件付きアクセスポリシーを必要とせずに、すべてのリモートネットワークトラフィックに自動的に適用されます。

注意

ベースラインセキュリティプロファイルは、クライアントベースのネットワークトラフィックとリモートネットワークトラフィックの両方を含め、グローバルセキュアアクセス経由でルーティングされるすべてのトラフィックに適用されます。ベースラインプロファイルでは既定でポリシーが適用されるため、リモートネットワークトラフィックに条件付きアクセスポリシーの構成は必要ありません。

また、Microsoft Graphネットワークアクセス API を使用して、ベースラインプロファイルをプログラムで構成することもできます。完全なチュートリアルについては、Microsoft Graph API を使用した Configure Microsoft Entra Internet Accessを参照してください。

Web ブラウザーを開き、で https://aka.ms/geに移動します。
ドロップダウンから HTTP メソッドとして [GET] を選択します。
API バージョンを [ベータ] に設定します。
次のクエリを入力して、ベースラインプロファイル ID を取得します。
```
GET https://graph.microsoft.com/beta/networkaccess/filteringProfiles
```
[ クエリの実行 ] を選択し、ベースラインプロファイル ID (優先度 65,000) を見つけます。

Web コンテンツフィルターポリシーを作成します。

POST https://graph.microsoft.com/beta/networkaccess/filteringPolicies
Content-type: application/json

{
  "name": "Block Social Media for Remote Networks",
  "policyRules": [
    {
      "@odata.type": "#microsoft.graph.networkaccess.webCategoryFilteringRule",
      "name": "Block Social Media",
      "ruleType": "webCategory",
      "destinations": [
        {
          "@odata.type": "#microsoft.graph.networkaccess.webCategory",
          "name": "SocialNetworking"
        }
      ]
    }
  ],
  "action": "block"
}

ポリシーをベースラインプロファイルにリンクします。

POST https://graph.microsoft.com/beta/networkaccess/filteringProfiles/{baseline-profile-id}/policies
Content-type: application/json

{
  "priority": 100,
  "state": "enabled",
  "@odata.type": "#microsoft.graph.networkaccess.filteringPolicyLink",
  "loggingState": "enabled",
  "policy": {
    "id": "<filtering-policy-id>",
    "@odata.type": "#microsoft.graph.networkaccess.filteringPolicy"
  }
}

[ クエリの実行 ] を選択してポリシーをリンクします。

リモートネットワークにセキュリティポリシーを適用する方法の詳細については、「リモートネットワークトラフィックにセキュリティポリシーを適用する」を参照してください。

インターネットアクセスフロー図

この例では、Web コンテンツフィルタリングポリシーを適用するときのMicrosoft Entra Internet Accessトラフィックのフローを示します。

次のフロー図は、インターネットリソースへのアクセスをブロックまたは許可する Web コンテンツフィルタリングポリシーを示しています。

ステップ	説明
1	Global Secure Access クライアントは、Microsoftの Security Service Edge ソリューションへの接続を試みます。クライアントには、ソーストラフィックの種類の分類に関するタスクとプロセッサのメタデータが含まれています。
2	クライアントは、認証と承認のためにMicrosoft Entra IDにリダイレクトされます。
3	ユーザーとデバイスが認証されます。ユーザーが有効なプライマリ更新トークン (PRT) を持っている場合は、認証がシームレスに行われます。
4	ユーザーとデバイスが認証されると、条件付きアクセスはインターネットアクセスの条件付きアクセス規則に一致し、該当するセキュリティプロファイルをトークンに追加します。これによって、適用対象の認可ポリシーが適用されます。
5	Microsoft Entra IDは、トークンを検証のためにMicrosoft Security Service Edgeに提示します。
6	トンネルは、グローバルセキュアアクセスクライアントと Microsoft Security Service Edge の間で確立されます。
7	トラフィックの取得が開始され、インターネットアクセストンネルを経由してトンネルが行われます。
8	Microsoft Security Service Edge は、アクセストークン内のセキュリティポリシーを優先度順に評価します。ソーストラフィックの種類、HTTP メソッド、Web カテゴリ、URL、FQDN 条件を評価します。これが Web コンテンツフィルタリングルールにマッチすると、Web コンテンツフィルタリングポリシーの評価が停止します。
9	Microsoft Security Service Edge では、セキュリティポリシーが適用されます。
10	ポリシーが "ブロック" の場合は、HTTP トラフィックに対するエラーか、HTTPS トラフィックに対する接続リセット例外が発生します。
11	ポリシー = "許可" の場合、結果としてトラフィックは宛先に転送されます。

注意

アクセストークンによるセキュリティプロファイルの適用のため、新しいセキュリティプロファイルの適用には最大 60 から 90 分を要する可能性があります。ユーザーは、新しいセキュリティプロファイル ID が含まれる新しいアクセストークンを、それが有効になる前に要求として受け取る必要があります。既存のセキュリティプロファイルへの変更では、適用の開始はより素早く行われます。

ユーザーおよびグループの割り当て

インターネットアクセスプロファイルのスコープを、特定のユーザーとグループに設定できます。ユーザーとグループの割り当ての詳細については、「トラフィック転送プロファイルを使用してユーザーとグループを割り当てて管理する方法」を参照してください。

エンドユーザーポリシーの適用を確認する

トラフィックが Microsoft の Secure Service Edge に到達すると、Microsoft Entra Internet Accessは 2 つの方法でセキュリティ制御を実行します。暗号化されていない HTTP トラフィックでは、Uniform Resource Locator (URL) が使用されます。トランスポート層セキュリティ (TLS) で暗号化された HTTPS トラフィックでは、Server Name Indication (SNI) が使用されます。

グローバルセキュアアクセスクライアントがインストールされているWindows デバイスを使用します。インターネットトラフィック取得プロファイルが割り当てられているユーザーとしてサインインします。 Web サイトへの移動が想定どおりに許可または制限されていることをテストします。

タスクマネージャートレイのグローバルセキュリティで保護されたアクセスクライアントアイコンを右クリックし、 詳細診断>Forwarding プロファイルを開きます。インターネットアクセスの取得規則が存在することを確認します。また、ユーザーのインターネットトラフィックのホスト名の取得とフローが参照中に取得されているかどうかを確認します。
許可されているサイトとブロックされているサイトに移動し、それらが適切に動作しているかを確認します。 グローバルセキュリティで保護されたアクセス>Monitor>Traffic ログを参照して、トラフィックが適切にブロックまたは許可されていることを確認します。
ソーストラフィックの種類と HTTP メソッド要求ルールを確認するには、さまざまなソースの種類からトラフィックを生成します。たとえば、AI エージェントを使用して保護されたリソースに PATCH 要求を送信し、 規則がトラフィックログで正しく適用されていることを確認します。

すべてのブラウザーに対する現在のブロックエクスペリエンスには、HTTP トラフィックに対するプレーンテキストブラウザーエラーと、HTTPS トラフィックに対する "接続リセット" ブラウザーエラーが含まれます。

暗号化されていない HTTP トラフィックまたは TLS 検査済み HTTP トラフィックのプレーンテキストブラウザーエラーを示すスクリーンショット。

HTTPS トラフィックの

注意

Web コンテンツのフィルター処理に関連するグローバルセキュアアクセスエクスペリエンスの構成の変更は、通常、5 分以内に有効になります。 Web コンテンツのフィルター処理に関連する条件付きアクセスの構成変更は、約 1 時間で有効になります。

注意

条件付きアクセス構成の変更テストを迅速に行うには、Microsoft Entra 管理センターでユーザーセッションを取り消します (ユーザーの概要ページで Revoke セッション を選択します)。これにより、ユーザーは更新されたポリシーを使用して新しいトークンを取得する必要があります。継続的アクセス評価の詳細を確認します。

フィードバック

このページはお役に立ちましたか?

最終更新: 2026-09-16

グローバル セキュア アクセス Web コンテンツ フィルタリングを構成する方法

概要

前提条件

大まかな手順

インターネット トラフィックの転送を有効にする

Web コンテンツのフィルター処理ポリシーを作成する

ソース トラフィックの種類のフィルター処理を構成する

サポートされているソース トラフィックの種類

ソース トラフィックの種類の条件を構成する

例: AI エージェントによるソーシャル ネットワーキング サイトへのアクセスをブロックする

HTTP メソッド要求のフィルター処理を構成する

サポートされている HTTP メソッド

HTTP メソッド要求条件を構成する

例: AI エージェントの書き込み操作をブロックする

ソース トラフィックの種類と HTTP メソッドの条件を組み合わせる

ポリシーの評価と優先順位

セキュリティ プロファイルを作成する

条件付きアクセス ポリシーを作成およびリンクする

リモート ネットワーク トラフィックの Web コンテンツ フィルター処理を有効にする

インターネット アクセスフロー図