チュートリアル: アプリごとのアクセスのセグメント化

クイック アクセスを使用すると、従来の VPN ソリューションと同様に、幅広い IP 範囲とワイルドカード FQDN を発行することで、Private Access にすばやくオンボードできます。 ただし、セキュリティを強化するには、クイック アクセスからアプリケーションごとのセグメント化に移行する必要があります。 この方法では、最小特権の原則に従って、条件付きアクセス ポリシーを使用して、アプリケーションごとにユーザー割り当てを設定し、特定のアプリケーションを対象とすることができます。

このチュートリアルでは、Application Discovery を使用して、クイック アクセスを使用してユーザーがアクセスするアプリケーション セグメントを特定する手順について説明します。 次に、アプリ検出テーブルから、または手動でエンタープライズ アプリケーションを作成し、ユーザーとグループを割り当て、詳細な制御のために条件付きアクセス ポリシーを構成します。

このチュートリアルでは、以下の内容を学習します。

• Application Discovery データを確認して、トラフィック パターンを特定します。
• Application Discovery からエンタープライズ アプリケーションを作成します。
• エンタープライズ アプリケーションを手動で作成します。
• エンタープライズ アプリケーションにユーザーとグループを割り当てます。
• 詳細な制御を行う条件付きアクセス ポリシーを構成します。
• グローバル セキュリティで保護されたアクセス クライアントを使用して、アプリごとのアクセスを確認します。

前提条件

• 1 人以上のユーザーが、探索データを生成するために、少なくとも 10 ~ 15 分間、クイック アクセスを通じてプライベート リソースにアクセスしています。

主な概念

ヒント

広範なアクセスから最小限の特権まで

Application Discovery は、管理者がクイック アクセスを使用してユーザーがアクセスするアプリケーションを確認するのに役立ちます。 使用パターンを特定することで、正確なセグメント化を使用してプライベート アプリケーションを作成し、ユーザーが必要なアクセスのみを取得できるようにします。

このチュートリアルでは、プライベート アクセスの導入におけるアーキテクチャの転換点について説明します。

• クイック アクセス は、幅広く移行に対応しています。
• アプリごとのエンタープライズ アプリケーション は、正確でセキュリティに重点を置きます。
• Application Discovery では、だれ (ユーザー、デバイス) が何 (FQDN、IP アドレス、ポート、プロトコル) にアクセスしたかを正確に報告することで、移行を容易にします。

これが重要な理由:

• アプリのスコープを制限することで、横移動リスクを軽減します。
• 特定のアプリに条件付きアクセスを適用できます。
• "ビッグ バン" カットオーバーではなく、段階的にアプリ セグメントを移行できます。

エンタープライズ アプリケーション ネットワーク セグメントがクイック アクセスと重複する場合は、そのリソースに対してエンタープライズ アプリケーションが優先されます。 これにより、明示的な割り当てが適用され、偶発的な露出超過を防ぐことができます。

Kerberos SSO とプライベート アクセス

このチュートリアルの範囲には含まれていませんが、多くの組織には Kerberos アプリケーションがあります。 大まかに言えば、ドメイン コントローラー (88 や 389 などの特定のポート) をエンタープライズ アプリとして公開し、ドメイン コントローラーの検出可能性のためにプライベート DNS 解決を有効にすることで、Kerberos SSO を有効にします。 構成が完了すると、クライアントはドメイン コントローラーにアクセスして Kerberos チケットを取得できます。 詳細については、「 Kerberos SSO の構成」を参照してください。

手順 1: アプリケーション検出データを確認する

Application Discovery では、過去 30 日間にグローバル セキュア アクセス クライアントを介してユーザーがアクセスしたクイック アクセスのすべてのアプリケーション セグメントが表示されます。

1. Microsoft Entra 管理センターから、 グローバル セキュリティで保護されたアクセス>Applications>Application 検出に移動します。

2. 検出されたアプリケーション セグメントの一覧を確認します。

   

3. 詳細を表示するには、 宛先 FQDN または 宛先 IP を選択します。

4. [使用状況] タブを確認して、時間の経過に伴うユーザー、トランザクション、デバイス、またはバイトのグラフを表示します。

5. [ ユーザー ] タブを選択して、アプリケーション セグメントにアクセスしたユーザーを確認します。

ヒント

ユーザーの一覧を使用して、作成したエンタープライズ アプリケーションに割り当てるユーザーとグループに関する決定を通知します。

手順 2: Application Discovery からエンタープライズ アプリケーションを作成する

Application Discovery を使用して、検出されたアプリケーション セグメントに基づいて新しいエンタープライズ アプリケーションを作成します。

1. アプリケーション検出の一覧から、作成するアプリケーションに対応する 1 つ以上のアプリケーション セグメントを選択します (アプリの横にあるチェック ボックスをオンにします)。

   注

   アプリケーション セグメントの例:

   • 単一セグメント アプリケーション: filesrv.contoso.com、TCP、445 などのファイル サーバー。
   • マルチセグメント アプリケーション: dc1.contoso.com および dc2.contoso.com 上の複数のポートとプロトコルにまたがる Active Directory サービス (プライベート アクセス用の Kerberos SSO の構成など)。

2. を新しいアプリケーションに追加を選択します。

   

3. [ Create Global Secure Access application]\(グローバルなセキュリティで保護されたアクセスの作成\) アプリケーション 画面で、次の手順を実行

   • アプリケーションの 名前 を入力します。
   • 適切な コネクタ グループを選択します。
   • アプリケーションにユーザーまたはグループを割り当てます。

4. 保存を選びます。

注

必要に応じて、[ クイック アクセス アプリケーションからユーザーとグループをインポートする] チェック ボックスをオンにすることができます。 このオプションでは、クイック アクセス アプリに割り当てられているすべてのユーザーとグループがインポートされ、新しいエンタープライズ アプリに割り当てられます。 このチェック ボックスをオフのままにすると、ユーザーまたはグループが割り当てられていないアプリケーションが作成されます。 管理者は、追加の手順としてユーザーを割り当てる必要があります。

注

検出されたアプリケーション セグメントは、ユーザーが新しいエンタープライズ アプリケーションにサインインしてリソースにアクセスするまで、Application Discovery テーブルに保持されます。

手順 3: エンタープライズ アプリケーションを手動で作成する

Application Discovery を使用せずに、エンタープライズ アプリケーションを手動で作成することもできます。

手順 3.1: エンタープライズ アプリケーションを作成する

1. [グローバル セキュア アクセス]>[アプリケーション]>[エンタープライズ アプリケーション] に移動します。
2. 新規アプリケーション を選択します。
3. アプリケーションの 名前 ("内部 Web ポータル" など) を入力します。
4. ドロップダウン メニューから コネクタ グループ を選択します。
5. [アプリケーション セグメントの追加] を選択します。
6. 宛先の 種類を選択します。
7. ポートを入力します (複数のポートをコンマで区切り、範囲にハイフンを使用します (例: 80, 443, 8080-8090)。
8. プロトコル (TCP、UDP、またはその両方) を選択します。
9. [ 適用] を選択し、[ 保存] を選択します。

注

エンタープライズ アプリケーションのセグメントがクイック アクセスと重複する場合は、割り当てスコープを含め、エンタープライズ アプリケーションが優先されます。 たとえば、完全なネットワーク範囲を持つ組織全体にクイック アクセスが割り当てられているが、管理者が特定の IP またはポートを対象とするエンタープライズ アプリケーション セグメントを作成し、それを管理者グループにのみ割り当てる場合、そのエンタープライズ アプリケーションに割り当てられないユーザーは、ネットワーク セグメントが重複するクイック アクセスに割り当てられている場合でも、アクセスが失われます。

手順 3.2: ユーザーとグループを割り当てる

ユーザーまたはグループを割り当てることで、エンタープライズ アプリケーションへのアクセス権を付与する必要があります。

1. [グローバル セキュア アクセス]>[アプリケーション]>[エンタープライズ アプリケーション] に移動します。
2. アプリケーションを検索して選択します。
3. サイド メニューから [ユーザーおよびグループ] を選択します。
4. [ ユーザー/グループの追加] を選択します。
5. アクセスが必要なユーザーまたはグループを検索して選択します。
6. 割り当てを選びます。

手順 4: 条件付きアクセス ポリシーを構成する

アプリごとのアクセスの条件付きアクセス ポリシーは、アプリケーション レベルで構成されます。

1. [グローバル セキュア アクセス]>[アプリケーション]>[エンタープライズ アプリケーション] に移動します。
2. アプリケーションを選択します。
3. サイド メニューから [条件付きアクセス] を選びます。
4. [新しいポリシー] を選択します。
5. ポリシーを構成します。
   • 名前: わかりやすい名前を入力します (たとえば、"内部ポータルに MFA を要求する" など)。
   • ユーザー: ユーザーまたはグループまたは All usersを選択します。
   • ターゲット リソース: 作成した Private Access Enterprise アプリケーションを選択します。
   • 条件: 必要に応じて構成します (デバイス プラットフォーム、場所など)。
   • 許可: [多要素認証を要求する] や [デバイスを準拠としてマークする必要がある] などのコントロールを選択します。
   • セッション (省略可能): 対話型の MFA プロンプトが必要で、トークン内の要求によって MFA が満たされないようにする場合は、 サインイン頻度を構成できます。
6. [ポリシーの有効化] を [オン] に設定します。
7. を選択してを作成します。

詳細については、「条件付きアクセス ポリシーをプライベート アクセス アプリに適用する」を参照してください。

手順 5: アプリごとのアクセスを確認する

1. テスト デバイスで、システム トレイの [グローバルなセキュリティで保護されたアクセス ] アイコンを右クリックします。
2. [高度な診断] を選択します。
3. [ トラフィック ] タブを選択し、[ 収集の開始] を選択します。
4. 構成したプライベート アプリケーションへのアクセスを試みます。
5. アプリケーションに正常にアクセスできることを確認します。
6. 条件付きアクセス ポリシーが適用されていることを確認します。
7. 高度な診断でネットワーク トラフィック キャプチャを確認し、トラフィックがグローバル セキュア アクセス (Action = Tunnel) 経由でトンネリングされていることを確認します。

学習した内容

この演習では、次の作業を行いました。

• セグメント化計画にアプリケーション検出を使用 - アプリを発行する前に実際のトラフィック パターンを識別しました。
• アプリごとのエンタープライズ アプリケーションの作成 - 明示的なネットワーク セグメントを持つ内部リソース用のエンタープライズ アプリケーションを作成しました。
• アプリの割り当てと条件付きアクセスによるアクセスの制御 - アプリごとの割り当てと適用された ID ドリブンの条件付きアクセス ポリシーを特定のオンプレミス アプリケーションに適用します。
• 検証済みのトンネリングされたアプリの動作 - セグメント化されたリソースが 、グローバル セキュリティで保護されたアクセス クライアントによって適切に取得およびトンネリングされていることを確認しました。

プライベート アクセスが VPN の置き換えからゼロ トラスト アクセス制御に移行する場所です。 次のチュートリアルでは、ユーザーが信頼できる企業ネットワークにいるときに、対象となるアプリ トラフィックをローカルに維持できるようにすることで、ユーザー エクスペリエンスを最適化します。

次のステップ

インテリジェント ローカル アクセスの構成