macOS 用グローバルセキュアアクセスクライアント (プレビュー)

[アーティクル]
2025/01/09

重要

macOS 用のグローバルセキュリティで保護されたアクセスクライアントは現在プレビュー段階です。この情報は、リリース前に大幅に変更される可能性があるプレリリース製品に関連しています。 Microsoft は、ここに記載されている情報に関して、明示または黙示を問わず、一切の保証を行いません。

グローバルセキュリティで保護されたアクセスの重要なコンポーネントである Global Secure Access クライアントは、組織がエンドユーザーデバイス上のネットワークトラフィックを管理およびセキュリティで保護するのに役立ちます。クライアントの主な役割は、グローバルセキュリティで保護されたアクセスによって保護される必要があるトラフィックをクラウドサービスにルーティングすることです。その他のすべてのトラフィックは、ネットワークに直接送信されます。ポータルで構成された転送プロファイルによって、グローバルセキュアアクセスクライアントがクラウドサービスにルーティングするトラフィックが決まります。

この記事では、macOS 用のグローバルセキュアアクセスクライアントをダウンロードしてインストールする方法について説明します。

前提条件

macOS バージョン 13 以降を実行している Intel、M1、M2、M3、または M4 プロセッサを搭載した Mac デバイス。
ポータルサイトを使用して Microsoft Entra テナントに登録されたデバイス。
グローバルセキュリティで保護されたアクセスにオンボードされた Microsoft Entra テナント。
Microsoft Enterprise シングルサインオン (SSO) プラグインを Apple デバイス用に展開、ポータルサイトにサインインしているユーザーに基づいて SSO エクスペリエンスを実現することをお勧めします。
インターネット接続。

クライアントをダウンロードする

最新バージョンのグローバルセキュアアクセスクライアントは、Microsoft Entra 管理センターからダウンロードできます。

グローバルセキュリティで保護されたアクセス管理者として、Microsoft Entra 管理センターにサインインします。
[グローバルセキュアアクセス]>[接続]>[クラウドダウンロード] に移動します。
[ダウンロード クライアント] を選択します。

グローバルセキュリティで保護されたアクセスクライアントをインストールする

自動インストール

サイレントインストールには、次のコマンドを使用します。 .pkg ファイルのダウンロード場所に従ってファイルパスを置き換える必要があります。

sudo installer -pkg ~/Downloads/GlobalSecureAccessClient.pkg -target / -verboseR

クライアントは、インストール中に承認する必要があるシステム拡張機能と透過的なアプリケーションプロキシを使用します。エンドユーザーにこれらのコンポーネントの許可を求めずにサイレント展開を行う場合は、コンポーネントを自動的に承認するポリシーを展開できます。

モバイルデバイス管理 (MDM) を使用してシステム拡張機能を許可する

次の手順は、Microsoft Intune を対象としており、さまざまな MVM に合わせて調整できます。

Microsoft Intune 管理センターで、[デバイス] [デバイスの管理][構成ポリシー][新しいポリシー作成] を選択します。
macOS プラットフォーム用のプロファイルを、種類 拡張機能のテンプレートに基づいて作成します。 ［作成］を選択します
[基本] タブで、新しいプロファイルの名前を入力し、[次へ]選択します。
[構成設定] タブで、次の表に従って、バンドル識別子 と、2 つの拡張機能の チーム識別子 を入力します。次に、を選択します。

バンドル識別子	チーム識別子
com.microsoft.naas.globalsecure.tunnel-df	UBF8T346G9
com.microsoft.naas.globalsecure-df	UBF8T346G9

必要に応じてユーザーとデバイスを割り当てることで、プロファイルの作成を完了します。

MDM を介して透過的なアプリケーションプロキシを許可する

次の手順は、Microsoft Intune を対象としており、さまざまな MVM に合わせて調整できます。

Microsoft Intune 管理センターで、[デバイス] [デバイスの管理][構成ポリシー][新しいポリシー作成] を選択します。
macOS プラットフォーム用のプロファイルを、カスタムの種類のテンプレートに基づいて作成し、[作成] を選択します。
[基本] タブで、プロファイルの名を入力します。 image.png
[構成設定] タブで、カスタム構成プロファイル名入力します。
展開チャネル "デバイスチャネル" に設定したままにします。
次のデータを含む .xml ファイルをアップロードします。

XML

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadDescription</key>
    <string>Ttransparent proxy settings</string>
    <key>PayloadDisplayName</key>
    <string>Global Secure Access Client - AppProxy</string>
    <key>PayloadIdentifier</key>
    <string>com.microsoft.naas.globalsecure-df.</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadUUID</key>
    <string>68C6A9A4-ECF8-4FB7-BA00-291610F998D6</string>
    <key>PayloadVersion</key>
    <real>1</real>
    <key>TransparentProxy</key>
    <dict>
        <key>AuthName</key>
        <string>NA</string>
        <key>AuthPassword</key>
        <string>NA</string>
        <key>AuthenticationMethod</key>
        <string>Password</string>
        <key>ProviderBundleIdentifier</key>
        <string>com.microsoft.naas.globalsecure.tunnel-df</string>
        <key>RemoteAddress</key>
        <string>100.64.0.0</string>
        <key>ProviderDesignatedRequirement</key>
        <string>identifier &quot;com.microsoft.naas.globalsecure.tunnel-df&quot; and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9</string>
        <key>Order</key>
        <string>1</string>
    </dict>
    <key>UserDefinedName</key>
    <string>Global Secure Access Client - AppProxy</string>
    <key>VPNSubType</key>
    <string>com.microsoft.naas.globalsecure.tunnel-df</string>
    <key>VPNType</key>
    <string>TransparentProxy</string>
</dict>
</plist>

.xml データの一部を示す [構成設定] タブのスクリーンショット。

必要に応じてユーザーとデバイスを割り当てることで、プロファイルの作成を完了します。

手動で行う対話型インストール

グローバルセキュリティで保護されたアクセスクライアントを手動でインストールするには:

GlobalSecureAccessClient.pkgセットアップファイルを実行します。 インストール ウィザードが起動します。画面の指示に従います。
[概要ステップ]で、[続行]を選択します。
[ライセンス] ステップで、[続行] を選択し、[同意を選択して使用許諾契約書に同意します。
インストール ステップで、インストールを選択します。
サマリー の手順で、インストールが完了したら、[閉じる]を選択します。
グローバルセキュリティで保護されたアクセスシステム拡張機能を許可します。
1. [システム拡張機能のブロック] ダイアログで、[システム設定を開く] を選択します。
2. [を許可する] を選択して、グローバルセキュアアクセスクライアントシステム拡張機能許可します。
3. [プライバシー & セキュリティ] ダイアログボックスで、ユーザー名とパスワードを入力して、システム拡張機能の承認を検証します。次に、設定を変更を選択します。
4. [ を許可選択して、グローバルセキュアアクセスクライアントでプロキシ構成を追加できるようにすることで、プロセスを完了します。
インストールが完了すると、Microsoft Entra にサインインするように求められる場合があります。

注意

Apple デバイス用の Microsoft Enterprise SSO プラグインが展開されている場合、既定の動作では、ポータルサイトに入力された資格情報でシングルサインオンを使用します。

グローバルセキュアアクセス - 接続 アイコンがシステムトレイに表示され、グローバルセキュアアクセスへの正常な接続が示されます。

グローバルセキュリティで保護されたアクセスクライアントをアップグレードする

クライアントインストーラーはアップグレードをサポートします。インストールウィザードを使用して、現在以前のクライアントバージョンを実行しているデバイスに新しいバージョンをインストールできます。

サイレントアップグレードの場合は、次のコマンドを使用します。
.pkg ファイルのダウンロード場所に従ってファイルパスを置き換える必要があります。

sudo installer -pkg ~/Downloads/GlobalSecureAccessClient.pkg -target / -verboseR

グローバルセキュリティで保護されたアクセスクライアントをアンインストールする

グローバルセキュアアクセスクライアントを手動でアンインストールするには、次のコマンドを使用します。

sudo /Applications/Global\ Secure\ Access\ Client.app/Contents/Resources/install_scripts/uninstall

MDM を使用している場合は、MDM を使用してクライアントをアンインストールします。

クライアントアクション

使用可能なクライアントメニューアクションを表示するには、グローバルセキュアアクセスシステムトレイアイコンを右クリックします。
グローバルセキュアアクセスクライアントアクションの一覧を示すスクリーンショット。

アクション	説明
を無効にする	ユーザーが再度有効になるまで、クライアントを無効にします。ユーザーがクライアントを無効にすると、業務上の正当な理由を入力し、サインイン資格情報を再入力するように求められます。業務上の正当な理由がログに記録されます。
を有効にする	クライアントを有効にします。
一時停止	ユーザーがクライアントを再開するまで、またはデバイスが再起動されるまで、クライアントを 10 分間一時停止します。ユーザーがクライアントを一時停止すると、業務上の正当な理由を入力し、サインイン資格情報を再入力するように求められます。業務上の正当な理由がログに記録されます。
履歴書	一時停止しているクライアントを再開します。
再起動	クライアントを再起動します。
ログの収集	クライアントログを収集し、それらを zip ファイルにアーカイブして、調査のために Microsoft サポートと共有します。
設定	設定と高度な診断ツールを開きます。
概要	製品のバージョンに関する情報を表示します。

システムトレイアイコンのクライアントの状態

アイコン	メッセージ	説明
	グローバルセキュリティで保護されたアクセスクライアント	クライアントは、グローバルセキュリティで保護されたアクセスへの接続を初期化して確認しています。
	グローバルセキュリティで保護されたアクセスクライアント - 接続済み	クライアントはグローバルセキュリティで保護されたアクセスに接続されています。
	グローバルセキュリティで保護されたアクセスクライアント - 無効	サービスがオフラインであるか、ユーザーがクライアントを無効にしているため、クライアントは無効になっています。
	グローバルセキュアアクセスクライアント - 切断	クライアントがグローバルセキュリティで保護されたアクセスに接続できませんでした。
	グローバルセキュリティで保護されたアクセスクライアント - 一部のチャネルに到達できない	クライアントはグローバルセキュリティで保護されたアクセスに部分的に接続されています (つまり、Microsoft Entra、Microsoft 365、Private Access、Internet Access という少なくとも 1 つのチャネルへの接続に失敗しました)。
	グローバルなセキュリティで保護されたアクセスクライアント - 組織によって無効になっている	組織がクライアントを無効にしました (つまり、すべてのトラフィック転送プロファイルが無効になっています)。
	グローバルセキュリティで保護されたアクセス - プライベートアクセスが無効になっている	ユーザーは、このデバイスでプライベートアクセスを無効にしました。
	グローバルセキュリティで保護されたアクセス - インターネットに接続できませんでした	クライアントがインターネット接続を検出できませんでした。デバイスは、インターネットに接続されていないネットワークまたはキャプティブポータルのサインインを必要とするネットワークに接続されています。

設定とトラブルシューティング

[設定] ウィンドウでは、さまざまな構成を設定し、いくつかの高度なアクションを実行できます。設定ウィンドウには、次の 2 つのタブがあります。

設定

オプション	説明
テレメトリの完全な診断	アプリケーションの改善のために、完全なテレメトリデータを Microsoft に送信します。
詳細ログを有効にする	ログを zip ファイルにエクスポートするときに、詳細ログとネットワークキャプチャを収集できるようにします。

macOS の [設定とトラブルシューティング] ビューのスクリーンショット。[設定] タブが選択されています。

トラブルシューティング

アクション	説明
最新のポリシーを取得する	組織の最新の転送プロファイルをダウンロードして適用します。
キャッシュされたデータをクリアする	認証、転送プロファイル、FQDN、IP に関連するクライアントの内部キャッシュデータを削除します。
ログのエクスポート	クライアントに関連するログと構成ファイルを zip ファイルにエクスポートします。
高度な診断ツール	クライアントの動作を監視およびトラブルシューティングするための高度なツール。

macOS の [設定とトラブルシューティング] ビューのスクリーンショット。[トラブルシューティング] タブが選択されています。

既知の制限事項

グローバルセキュアアクセスクライアントの現在のバージョンに関する既知の制限事項は次のとおりです。

セキュリティで保護されたドメインネームシステム (DNS)

ブラウザーまたは macOS でセキュリティで保護された DNS が有効になっていて、DNS サーバーが Secure DNS をサポートしている場合、クライアントは FQDN によって取得されるように設定されたトラフィックをトンネリングしません。 (IP によって取得されたネットワークトラフィックは影響を受けず、転送プロファイルに従ってトンネリングされます)。セキュリティで保護された DNS の問題を軽減するには、セキュリティで保護された DNS を無効にするか、セキュリティで保護された DNS をサポートしていない DNS サーバーを設定するか、IP に基づいてルールを作成します。

IPv6 はサポートされていません

クライアントは IPv4 トラフィックのみをトンネルします。 IPv6 トラフィックはクライアントによって取得されないため、ネットワークに直接ルーティングされます。すべてのトラフィックがグローバルセキュアアクセスにルーティングされるようにするには、IPv6 を無効にします。

接続フォールバック

クラウドサービスへの接続エラーが発生した場合、クライアントは、転送プロファイル内の一致する規則の強化値に基づいて、インターネットへの直接接続または接続のブロックのいずれかにフォールバックします。

ソース IP アドレスの位置情報

クラウドサービスにトンネリングされるネットワークトラフィックの場合、アプリケーションサーバー (Web サイト) は接続のソース IP をエッジの IP アドレス (ユーザーデバイスの IP アドレスとしてではなく) として検出します。このシナリオは、位置情報に依存するサービスに影響する可能性があります。

ヒント

Office 365 と Entra でデバイスの真のソース IP を検出するには、ソース IP 復元を有効にすることを検討してください。

UTM での仮想化のサポート

ネットワークがブリッジモードで、グローバルセキュアアクセスクライアントがホストコンピューターにインストールされている場合:
- グローバルセキュアアクセスクライアントが仮想マシンにインストールされている場合、仮想マシンのネットワークトラフィックはローカルポリシーの対象となります。ホストマシンのポリシーは、仮想マシンの転送プロファイルには影響しません。
- グローバルセキュアアクセスクライアント が仮想マシンに インストールされていない場合、仮想マシンのネットワークトラフィックはバイパスされます。
グローバルセキュリティで保護されたアクセスクライアントは、仮想マシンのネットワークトラフィックをブロックする可能性があるため、ネットワーク共有モードをサポートしていません。
ネットワークが共有モード場合は、クライアントがホストコンピューターにもインストールされていない限り、macOS を実行している仮想マシンにグローバルセキュリティで保護されたアクセスクライアントをインストールできます。

QUIC はインターネットアクセスでサポートされていません

QUIC はまだインターネットアクセスでサポートされていないため、ポート 80 UDP と 443 UDP へのトラフィックはトンネリングできません。

ヒント

QUIC は現在、プライベートアクセスと Microsoft 365 ワークロードでサポートされています。管理者はブラウザーで QUIC プロトコルを無効にして、クライアントが TCP 経由で HTTPS にフォールバックするようにトリガーできます。これは、インターネットアクセスで完全にサポートされています。詳細については、インターネットアクセスでサポートされていない QUIC を参照してください。

その他のリソース

ドキュメント

iOS 用グローバルセキュリティで保護されたアクセスクライアント (プレビュー) - Global Secure Access

グローバルセキュアアクセスクライアントは、エンドユーザーデバイスでネットワークトラフィックをセキュリティで保護します。この記事では、iOS クライアントアプリをダウンロードしてインストールする方法について説明します。
Android 用グローバルセキュアアクセスクライアント - Global Secure Access

グローバルセキュアアクセス Android クライアントをインストールします。
グローバルセキュリティで保護されたアクセスに関する既知の制限事項 - Global Secure Access

この記事では、グローバルセキュリティで保護されたアクセスを使用するときに発生する可能性がある既知の問題と制限事項について詳しく説明します。
Windows 用グローバルセキュリティで保護されたアクセスクライアント - Global Secure Access

グローバルセキュアアクセスクライアントは、エンドユーザーデバイスでネットワークトラフィックをセキュリティで保護します。この記事では、Windows クライアントをダウンロードしてインストールの方法について説明します。
Microsoft Entra Private Access と Microsoft Entra Internet Access のグローバルセキュアアクセスクライアントについて説明します - Global Secure Access

Microsoft Entra Private Access と Microsoft Entra Internet Access のグローバルセキュアアクセスクライアントについて説明します。
Global Secure Access とは - Global Secure Access

Microsoft のセキュリティサービスエッジ (SSE) ソリューションであるグローバルセキュアアクセスがどのように従来のオフィスの内外のユーザーとデバイスにネットワークアクセス制御と可視性を提供するのかを学習します。
Global Secure Access のトラフィック転送プロファイル - Global Secure Access

Global Secure Access のトラフィック転送プロファイルにより、ネットワーク経由でトラフィックをルーティングする方法がどのように効率化されるのかを説明します。
リモートネットワークを作成する方法 - Global Secure Access

グローバルセキュリティで保護されたアクセスのために、ブランチオフィスなどのリモートの場所にリモートネットワークを作成する方法について説明します。

トレーニング

モジュール

Microsoft Entra グローバルセキュアアクセスをデプロイして構成する - Training

現代の労働環境は、従来のオフィスの設定からほとんどすべての場所からの仕事へとシフトしました。この仕事場所の変化によって、ID を認識しクラウドによって提供されるネットワーク境界が必要になります。この ID を認識する境界は、セキュリティサービスエッジ (SSE) と呼ばれます。 Microsoft SSE ソリューションには、Microsoft Entra Internet Access と Microsoft Entra Private Access が含まれており、総称してグローバルセキュアアクセスと呼ばれます。このソリューションは、ゼロトラストの原則を基にしており、クラウド時代のセキュリティを確保するために最小限の特権、明示的な検証、侵害の想定を重要視しています。

認定資格

Microsoft 365 Certified: Endpoint Administrator Associate - Certifications

最新の管理、共同管理のアプローチ、Microsoft Intune 統合の基本的な要素を使用して、エンドポイント展開戦略を計画して実行します。

次の方法で共有

macOS 用グローバルセキュアアクセスクライアント (プレビュー)

前提条件

クライアントをダウンロードする