Microsoft Entra Internet Accessでは、完全修飾ドメイン名 (FQDN) または Web カテゴリ (ギャンブル、ソーシャル メディア、マルウェアなど) に基づいて Web サイトへのアクセスを制御する Web コンテンツ フィルターが提供されます。 ポリシーはセキュリティ プロファイルに割り当てられ、ベースライン プロファイルを介してすべてのユーザーに適用することも、条件付きアクセスを介して特定のユーザーに適用することもできます。 この階層化されたアプローチにより、組織は広範な保護を適用しながら、特定のグループに対して細かい例外を有効にできます。
このチュートリアルでは、以下の内容を学習します。
- ギャンブル Web サイトと特定のドメインをブロックする Web コンテンツ フィルタリング ポリシーを作成します。
- フィルター ポリシーをベースライン セキュリティ プロファイルにリンクします。
- ブロックされた Web サイトにアクセスできないことを検証します。
- ブロックされたトラフィックをトラフィック ログに表示します。
主な概念
セキュリティ プロファイルは、1 つ以上のフィルター ポリシーを保持するコンテナーです。 これらは、ユーザー対応のMicrosoft Entra Conditional Access ポリシーを通じて配信されます。 たとえば、特定のユーザー グループに対して m365.cloud.microsoft (Enterprise Copilot) を除くすべての AI Web サイトをブロックするには、次のようにします。
"Security Profile for Sales Department" <---- the security profile
Allow m365.cloud.microsoft at priority 100 <---- higher priority filtering policy (evaluated first)
Block Artificial Intelligence at priority 200 <---- lower priority filtering policy
ポリシーの優先順位: 評価の順序を決定します。
- 100 = 最も優先度が高い: 最初に評価されます。
- 65,000 = 最も低い優先度: 最後に評価されました。
- 従来のファイアウォール ロジック: 数値が小さい = 優先順位が高い。
- ベスト プラクティス: 将来の柔軟性を高めるために、優先度間に約 100 の間隔を追加します。
マルチプロファイル処理: 複数の条件付きアクセス ポリシーがユーザーのトラフィックと一致する場合、 一致するすべてのセキュリティ プロファイルは 、セキュリティ プロファイル自体の優先順位で処理されます。
ベースライン セキュリティ プロファイル: このプロファイルには特別な動作があります。
- これは、サービス経由 でルーティングされるすべてのインターネット アクセス トラフィック に適用されます。
- 条件付きアクセス ポリシーへのリンクは必要ありません。
- これは、最も低い優先度 (65,000) で キャッチオール ポリシー として機能します。
- 条件付きアクセス ポリシーが別のセキュリティ プロファイルと一致した場合でも、常に実行されます。
サンプル シナリオ
User "Angie" matches a Conditional Access policy → Custom Security Profile (priority 100)
↓
All policies in Custom Security Profile are evaluated
↓
Baseline Profile (priority 65,000) ALSO executes ← Always runs as catch-all
ベースライン プロファイルで組織全体の保護を作成しながら、優先度の高いカスタム プロファイルで特定のグループの例外を作成できます。 2 つのプロファイル間に競合する規則がある場合、優先順位の高いセキュリティ プロファイルはベースライン セキュリティ プロファイルよりも引き続き優先されます。
目標
このチュートリアルでは、ギャンブル Web サイトとBing検索エンジンへのアクセスをブロックする Web コンテンツ フィルタリング ポリシーを作成します。 ベースライン セキュリティ プロファイルにポリシーを割り当て、Web サイトが想定どおりにブロックされていることを確認します。
手順 1: Web フィルター ポリシーを作成する
ギャンブル Web サイトとBingをブロックする Web コンテンツ フィルタリング ポリシーを構成します。
- Microsoft Entra 管理センターで、グローバルセキュリティで保護されたアクセス>セキュリティで保護された>Web コンテンツ フィルタリング ポリシー>作成ポリシーに移動します。
- 次の詳細を提供してください。
- 名前: ベースラインブロックされたウェブサイトを入力してください。
- 説明: 説明を追加します。
- アクション: [ブロック] を選択します。
- 次へを選択します。
- [ポリシー ルール] で、[ルールの追加] を選択します。
- [ ルールの追加 ] ダイアログで、次の詳細を指定します。
- 名前: 「ギャンブルのブロック」と入力します。
- 宛先の種類:webCategory を選択します。
- 検索: ギャンブルを検索して選択 します。
- [] を選択し、[] を追加します。
- [ ルールの追加] をもう一度選択します。
- [ ルールの追加 ] ダイアログで、次の詳細を指定します。
- 名前: Block Bingを入力する。
- 宛先の種類: fqdn を選択します。
- 宛先: www.bing.com,bing.com を選択します。
- [] を選択し、[] を追加します。
- 次へを選択します。
- [ポリシーの作成] を選択します。
このチュートリアルでは、FQDN と webCategory Web コンテンツ のフィルター処理のみを構成します。 URL フィルタリングには TLS 検査が必要です。 TLS 検査と URL フィルタリングの両方について、後のチュートリアルで説明します。
手順 2: Web コンテンツ フィルタリング ポリシーをベースライン セキュリティ プロファイルにリンクする
注
ベースライン セキュリティ プロファイルは、GSA 経由でトンネリングされるすべてのインターネット トラフィックに適用されます。 優先度が最も低い (65000) の場合、特定のユーザーまたはグループのセットを対象とするその他のセキュリティ プロファイルがベースライン プロファイルよりも優先されます。
- Microsoft Entra 管理センターで、グローバルセキュリティで保護されたアクセス>セキュリティ>セキュリティ プロファイルに移動します。
- [ ベースライン プロファイル ] タブを選択します。
- リンクポリシーページを選択します。
- [ ポリシーのリンク] を選択し、[ 既存の Web フィルター ポリシー] を選択します。
- [ ポリシーのリンク ] ダイアログボックスの [ ポリシー名] で、[ 基準ブロックされた Web サイト] を選択します。
- 優先度: 100 を選択します。
- 状態: 有効 を選択します。
- [] を選択し、[] を追加します。
- [リンク ポリシー] で、[基準ブロックされた Web サイト] が一覧表示されていることを確認します。
手順 3: Bingとギャンブルの Web サイトがブロックされていることを検証する
グローバル セキュア アクセス (GSA) クライアントを使用してデバイスにサインインします。
ブラウザーを開き、
www.bing.comおよびwww.gambling.comにアクセスしてください。ポリシーがクライアント デバイスに適用されるまでに最大 20 分かかることがあります。
Web ページが読み込まれないことを確認します。
トランスポート層セキュリティ (TLS) 検査を有効にしていないため、このエラー メッセージが表示されました。これにより、カスタマイズ可能なブロック メッセージが提供され、セキュリティ機能が強化されます。 TLS 検査のチュートリアルでは、わかりやすいエラー メッセージが表示されます。
手順 4: トラフィック ログでアクティビティを表示する
- Microsoft Entra admin centerで、Global Secure Access>Monitor>Traffic logs を選択します。 必要に応じて、[ フィルターの追加] を選択します。 ユーザー プリンシパル名 で testuser を含むフィルターを実行し、[アクション] を [ブロック] に設定します。
- トラフィックがブロック済みであることを示すターゲット Web サイトのエントリを確認します。 エントリがログに表示されるまでに最大 20 分の遅延が発生する場合があります。
学習した内容
この演習では、次のタスクを実行しました。
- Web コンテンツ フィルター ポリシーを作成しました。 FQDN ベースのブロック (特定のドメイン) とカテゴリベースのブロック (Web カテゴリとしてのギャンブル) の両方を使用してルールを定義しました。
- ベースライン プロファイルを理解しました。 ベースライン プロファイルが GSA 経由でトンネリングされたすべてのインターネット トラフィックに適用されることを学習しました。これにより、組織全体の保護に最適です。
- セキュリティ プロファイルへのリンクされたポリシー: ポリシーをセキュリティ プロファイルにリンクする必要があることを学習しました。 ユーザーに割り当てて有効にするには、セキュリティ プロファイルを条件付きアクセス ポリシーにリンクする必要があります。 ベースライン セキュリティ プロファイル (このチュートリアルで使用) は条件付きアクセスを必要とせず、すべてのインターネット トラフィックに適用されます。
- "接続のリセット" エラーが発生しました。 TLS 検査を行わないと、GSA は接続を削除することしかできないので、役に立つメッセージではなく、一般的なブラウザー エラーが発生する可能性があることを学習しました。
詳細: "接続のリセット" エラーが表示された理由
TLS 検査が有効になっていない場合、セキュリティ サービス エッジ (SSE) で次の情報が表示されます。
- 宛先 IP アドレス
- TLS ハンドシェイクでのサーバー名の表示。これは、
www.bing.comなどの FQDN を示します。
しかし、それは見ることができません。
-
www.google.com/imagesやwww.google.com/mapsなどの完全な URL パス。 - HTTP 要求/応答コンテンツ。
SSE は暗号化されたストリームにコンテンツを挿入できないため、接続を終了することしかできません。 その結果、"接続のリセット" エラーが発生します。 次のチュートリアルでは、TLS 検査を有効にして、カスタム ブロック ページなど、より豊富な機能のロックを解除します。