URL フィルタリングは、完全または部分的な URL に基づく高度な種類の Web コンテンツ フィルタリングです。 トラフィック ヘッダーに表示される完全修飾ドメイン名 (FQDN) に基づくフィルター処理とは異なり、URL フィルター処理では、ユーザーがアクセスしようとしている特定の宛先を確認するためにトランスポート層セキュリティ (TLS) 検査が必要です。 たとえば、 www.bing.com は TLS 検査なしで表示されますが、 www.bing.com/images は表示されません。 URL フィルタリングは、きめ細かい Web コンテンツ フィルタリングを提供し、カテゴリ別の Web コンテンツ フィルタリングの精度を高めます。
このチュートリアルでは、以下の内容を学習します。
- 特定の URL を許可またはブロックするように Web コンテンツ フィルタリング ポリシーを構成します。
- Web コンテンツ フィルタリング ポリシーをセキュリティ プロファイルにリンクします。
- ブロックされたサイトのカスタム エラー メッセージを構成します。
- Web サイトが想定どおりに許可またはブロックされていることを検証します。
前提条件
チュートリアル「 TLS 検査の構成」を完了します。 TLS 検査は、URL フィルタリングの前提条件です。
主な概念
FQDN と URL フィルタリングの違いを理解することは、効果的なポリシー設計に不可欠です。
| 特徴 | FQDN フィルタリング | URL フィルタリング |
|---|---|---|
| TLS 検査が必要 | いいえ | はい |
| 視認性 | ドメインのみ | 完全なパス |
| マッチの例 | www.youtube.com |
www.youtube.com/shorts |
| 利用シーン | サイト全体をブロックまたは許可する | 特定のサイトをブロックまたは許可する |
| 粒度 | 粗い | 細粒 |
目標
このチュートリアルは、前のチュートリアルに基づいています。 FQDN フィルター処理のチュートリアルでは、Bingへのアクセスをブロックし、ユーザー フレンドリではないエラーを受け取りました。 TLS 検査チュートリアルでは、URL フィルタリングの前提条件である TLS 検査を有効にしました。 このチュートリアルでは、次の操作を行います。
- 特定のBing URL をきめ細かく許可し、他の URL はブロックしたままにして、きめ細かい Web コンテンツ フィルタリング（きめ細かい許可リスト）を示します。
- ドメイン領域の残りの部分を許可したまま、特定の URL (
www.youtube.com/shorts) をブロックするポリシーを作成します (詳細なブロック リスト)。 - ユーザーがブロックされたときに表示されるカスタマイズされたエラー メッセージを構成します。
サンプルチュートリアルビデオ
次のビデオでは、URL フィルタリングを構成する方法を示します。
次のビデオでは、カスタム エラー ページを構成する方法を示します。
次のビデオでは、URL フィルタリングのユーザー エクスペリエンスを示します。
手順 1: Web コンテンツ フィルター ポリシーを作成する
YouTube ショーツをブロックするポリシーを作成する
- Microsoft Entra 管理センターから、Global Secure Access>Secure>Web コンテンツ フィルタリング ポリシー に移動します。
-
[ポリシーの作成] を選択します。
- 名前: [ YouTube ショーツをブロック] を選択します。
- アクション: [ブロック] を選択します。
- 次へを選択します。
-
[規則の追加] を選択します。
- 名前: YouTube ショーツを選択します。
- 宛先の種類: fqdn を選択します。
-
宛先:
www.youtube.com/shorts,youtube.com/shortsを選択します。
- [] を選択し、[] を追加します。
- [ 次へ] を選択し、[ ポリシーの作成] を選択します。
Bing地図 を許可するポリシーを作成する
-
[ポリシーの作成] を選択します。
Name :Bing地図 を許可 を選択。- アクション: [許可] を選択します。
- 次へを選択します。
-
[規則の追加] を選択します。
- Name: Bing地図を選択します。
- 宛先の種類: URL を選択します。
-
宛先:
*.bing.com/maps,bing.com/mapsを選択します。
- [] を選択し、[] を追加します。
- [ 次へ] を選択し、[ ポリシーの作成] を選択します。
手順 2: Web コンテンツ フィルター ポリシーをセキュリティ プロファイルにリンクする
- [セキュリティ プロファイル] ウィンドウを参照します。
- (ベースライン セキュリティ プロファイルではなく) TLS 検査チュートリアルからセキュリティ プロファイルを選択し、[ ポリシーのリンク ] ウィンドウを選択します。
- [ ポリシーのリンク] を選択し、[ 既存の Web フィルター ポリシー] を選択します。
- [ ポリシー名] で [ YouTube ショート をブロック] を選択し、優先度を 200 に設定します。 状態は [有効] にする必要があります。 [] を選択し、[] を追加します。
- [ ポリシーのリンク] を選択し、[ 既存の Web フィルター ポリシー ] をもう一度選択します。
- [Policy name で、Allow Bing地図 を選択し、優先順位を 150 に設定します。 状態は [有効] にする必要があります。 [] を選択し、[] を追加します。
- 次へを選択します。
- [ プロファイルの作成] を選択します。
注
セキュリティ プロファイルがMicrosoft Entra 条件付きアクセス ポリシーに割り当てられていることを確認します。
手順 3: カスタム エラー メッセージを構成する
- グローバル セキュリティで保護されたアクセス>Settings>Session 管理に移動します。
- [ カスタム ブロック ページ ] タブを選択します。
- カスタム本文メッセージを [オン] に設定します。
- カスタム本文メッセージを入力し、[ 保存] を選択します。
カスタム本文メッセージでは、制限付き Markdown を使用できます。 たとえば、次のようなサポート リンクを含めることができます。 Need access? [Contact support](https://support.contoso.com) to request an exception.
手順 4: URL フィルター処理とカスタム エラーを確認する
注
新しく作成されたセキュリティ プロファイルが有効になるまでに最大 1 時間かかることがあります。 条件付きアクセスを使用してユーザーに既に割り当てられている既存のセキュリティ プロファイルに新しい規則をリンクした場合は、数分で有効になります。
テスト デバイスでブラウザーを開き、
www.bing.comに移動します。 ブロックされていること、およびカスタム エラー メッセージが表示されることを確認します。
www.bing.comにアクセスします。 FQDN フィルター処理のチュートリアルから引き続きアクセスがブロックされていることを確認します。www.bing.com/mapsにアクセスします。 アクセスが許可されていることを確認します。www.youtube.comにアクセスします。 アクセスが許可されていることを確認します。www.youtube.com/shortsにアクセスします。 アクセスがブロックされていることを確認します。
ポリシーの評価順序
このチュートリアルの例では、ポリシーの評価は次のように動作します。
User navigates to bing.com:
1. Custom Security Profile (assigned via Conditional Access)
└─ Allow Bing Maps (priority 100) → Does NOT match bing.com → Continue...
2. Baseline Profile (priority 65000)
└─ Block Bing → Matches bing.com → BLOCK ✗
User navigates to bing.com/maps
1. Custom Security Profile (assigned via Conditional Access)
└─ Allow Bing Maps (priority 100) → Matches bing.com/maps → ALLOW ✓
User navigates to youtube.com (homepage):
1. Custom Security Profile (assigned via Conditional Access)
└─ Block YouTube Shorts (priority 100) → Does NOT match youtube.com/shorts → Continue...
2. Baseline Profile (priority 65000)
└─ No YouTube rules → ALLOW ✓
User navigates to youtube.com/shorts:
1. Custom Security Profile (assigned via Conditional Access)
└─ Block YouTube Shorts (priority 100) → Matches youtube.com/shorts → BLOCK ✗
この例では、URL フィルターによって選択的ブロックまたは許可を有効にする方法を示します。
学習した内容
このチュートリアルでは、次のタスクを実行しました。
- きめ細かい URL フィルター処理を実装しました。 YouTube の残りの部分を許可している間、YouTube ショーツをブロックしました。 このアクションは、URL フィルターによって Web の宛先を正確に制御する方法を示しています。
- 例外ルールの作成: ベースライン プロファイルによってBing自体がブロックされたままの間、Bing地図を許可しました。 このアクションは、微妙なアクセス制御のためのポリシーをレイヤー化する方法を示しています。
- 構成されたカスタム ブロック メッセージ: 一般的な "接続のリセット" メッセージではなく、ユーザーに役立つエラー ページが表示されるようになりました。 このアクションにより、ユーザー エクスペリエンスが向上し、ヘルプデスク チケットが削減されます。
- ポリシーの優先順位を理解しました。 優先順位の低い数値が最初に評価されます。これにより、カスタム プロファイルでベースライン ルールに対する例外を作成できます。
URL フィルタリングで TLS 検査が必要な理由
Without TLS inspection: With TLS inspection:
┌───────────────────┐ ┌───────────────────┐
│ TLS handshake │ │ Decrypted traffic │
│ │ │ │
│ SNI: youtube.com │ ← Visible │ GET /shorts/abc │ ← Now visible!
│ │ │ Host: youtube.com │
│ [Encrypted data] │ ← Hidden │ Cookie: ... │
│ │ │ User-Agent: ... │
└───────────────────┘ └───────────────────┘
パス (/shorts) は、暗号化された TLS トンネル内にある HTTP 要求の一部です。 TLS を終了することによってのみ、プロキシは完全な URL に基づいて表示およびフィルター処理できます。