Microsoft Graph ネットワーク アクセス API を使用して、クラウド、パブリック、プライベート アプリへのアクセスをセキュリティで保護する (プレビュー)

Microsoft Entra Internet Access と Microsoft Entra Private Access は、Microsoft のセキュリティ サービス エッジ ソリューションを構成し、組織が制御を統合し、統合 ID とネットワーク アクセス ポリシーを構成することを可能にします。 Microsoft Entra Internet Access は、Microsoft 365、SaaS、パブリック インターネット アプリへのアクセスをセキュリティで保護しながら、ユーザー、デバイス、データをインターネットの脅威から保護します。 一方、Microsoft Entra Private Access は、オンプレミスまたはクラウドでホストされているプライベート アプリへのアクセスをセキュリティで保護します。

この記事では、Microsoft Entra Internet Access サービスと Microsoft Entra Private Access サービスを有効にする Microsoft Graph のネットワーク アクセス API について説明します。 Global Secure Access は、これら 2 つのサービスを統合した用語です。 詳細については、「 グローバル セキュア アクセスとは」を参照してください。

ネットワーク アクセス API の構成要素

ネットワーク アクセス API は、トラフィックとそれに関連するルールの転送またはフィルター処理方法を構成するためのフレームワークを提供します。 次の表に、ネットワーク アクセス API を構成するコア エンティティの一覧を示します。

Entities 説明
forwardingProfile Global Secure Access サービスを介してトラフィックをルーティングまたはバイパスする方法を決定します。 転送プロファイルは、Microsoft 365、インターネット、またはプライベート トラフィックのいずれかの 1 つのトラフィックの種類に関連付けられています。 1 つの転送プロファイルには、複数の転送ポリシーを含めることができます。 たとえば、Microsoft 365 転送プロファイルには、Exchange Online、SharePoint Online などのポリシーがあります。
forwardingPolicy Global Secure Access サービスを介して特定のトラフィックの種類をルーティングまたはバイパスするためのルールを定義します。 各ポリシーは、Microsoft 365、インターネット、またはプライベート トラフィックのいずれかの 1 つのトラフィックの種類に対して試行されます。 転送ポリシーには、転送ポリシー ルールのみを含めることができます。
forwardingPolicyLink 転送プロファイルと転送ポリシーの間の関係を表し、接続の現在の状態を維持します。
policyRule ポリシー ルール セットの主要な定義を維持します。
remoteNetwork ユーザーとデバイスが接続してクラウド、パブリック、またはプライベート アプリにアクセスする物理的な場所を表します。 各リモート ネットワークはデバイスで構成され、リモート ネットワーク内のデバイスの接続は、カスタマー プレミス機器 (CPE) を介して維持されます。
filteringProfile フィルタリング ポリシーをグループ化します。これにより、Microsoft Entra の条件付きアクセス ポリシーに関連付けられて、豊富なユーザー コンテキスト条件のセットを活用できます。
filteringPolicy ネットワーク フィルタリング ポリシー、データ損失防止、脅威保護など、管理者によって構成されたさまざまなポリシーをカプセル化します。
tlsInspectionPolicy Global Secure Access のフィルター プロファイルにリンクできるトランスポート層セキュリティ検査構成をカプセル化します。 「 トランスポート層セキュリティ検査とは」を参照してください。
フィルタリングPolicLink フィルター プロファイルとフィルター ポリシーの間の関係を表し、接続の現在の状態を維持します。
tlsInspectionPolicyLink フィルタリング プロファイルと TLS 検査ポリシーの間の関係を表し、接続の現在の状態を維持します。

サービス プロセスへのオンボード

グローバル セキュア アクセス サービスとサポートされているネットワーク アクセス API の使用を開始するには、サービスに明示的にオンボードする必要があります。

操作​​ 説明
テナントのオンボード Microsoft Entra Internet Access および Private Access サービスにオンボードします。
状態の確認 テナントのオンボード状態を確認します。

トラフィック転送プロファイルとポリシー

次の API を使用すると、管理者は転送プロファイルを管理および構成できます。 既定のプロファイルには、Microsoft 365、プライベート、インターネットの 3 つがあります。 次の API を使用して、トラフィック転送プロファイルとポリシーを管理します。

操作の例 説明
リスト転送プロファイル テナント用に構成された転送プロファイルを一覧表示します。 $expand クエリ パラメーターを使用して、関連するポリシーを取得することもできます。
forwardingProfile の更新 転送プロファイルを有効または無効にするか、リモート ネットワークなどの関連付けを構成します。
リストの転送ポリシー テナント用に構成された転送ポリシーを一覧表示します。 $expand クエリ パラメーターを使用して、関連する転送ポリシー ルールを取得することもできます。
リスト転送ポリシー リンク 転送プロファイルに関連付けられているポリシー リンクを一覧表示します。 $expand クエリ パラメーターを使用して、関連する転送ポリシー ルールを取得することもできます。

リモート ネットワーク

リモート ネットワークのシナリオでは、ユーザー デバイスまたはプリンターなどのユーザーレス デバイスが、物理的なオフィスの場所で顧客構内機器 (CPE) (デバイス リンクとも呼ばれます) を介して接続を確立することが含まれます。

次の API を使用して、サービスにオンボードしたリモート ネットワークの詳細を管理します。

操作の例 説明
リモート ネットワークを作成する
リモート ネットワークのデバイス リンクを作成する
Create forwarding profiles for a remote network		 リモート ネットワークと、関連するデバイス リンクと転送プロファイルを作成します。
リモート ネットワークを一覧表示する
リモート ネットワークのデバイス リンクを一覧表示する
リモート ネットワークの転送プロファイルを一覧表示する		 リモート ネットワークとそれに関連するデバイス リンクと転送プロファイルを一覧表示します。

アクセス制御

ネットワーク アクセス API は、organization内の 3 種類のアクセス制御設定 (テナント間アクセス、条件付きアクセス、転送オプション) を管理する手段を提供します。 これらの設定により、テナント内のデバイスとユーザーに安全かつ効率的なネットワーク アクセスが確保されます。

テナント間アクセス設定を構成する

テナント間アクセスの設定には、ネットワーク パケットのタグ付けと、データ流出を防ぐためのテナント制限 (TRv2) ポリシーの適用が含まれます。 crossTenantAccessSettings リソースの種類とそれに関連する API を使用して、クロステナント アクセス設定を管理します。

条件付きアクセスの設定

グローバル セキュア アクセス サービスの条件付きアクセス設定には、送信元 IP の復元と接続の条件付きアクセス シグナリングの有効化または無効化が含まれます。 構成によって、ターゲット リソースがクライアントの元のソース IP アドレスとグローバル セキュア アクセス サービスの IP アドレスのどちらを受信するかが決まります。

conditionalAccessSettings リソースの種類とそれに関連する API を使用して、条件付きアクセス設定を管理します。

compliantNetworkNamedLocation リソースの種類を使用して、ユーザーが特定のテナントの検証済みのネットワーク接続モデルから接続し、管理者によって適用されるセキュリティ ポリシーに準拠していることを確認します。

転送オプション

転送オプションを使用すると、管理者は、エッジでの DNS 参照をスキップし、クライアント解決された宛先 IP を使用して Microsoft 365 トラフィックを Front Door に直接転送する機能を有効または無効にできます。 forwardingOptions リソースの種類とそれに関連する API を使用して、転送オプションを管理します。

クラウド ファイアウォール

Global Secure Access のクラウド ファイアウォールは、すべてのネットワーク トラフィックを監視および制御することで、レイヤー 3 (ネットワーク) 保護を提供します。 クラウド ファイアウォール API を使用して、次の作業を行います。

  • インターネット トラフィックのリモート ネットワーク接続を使用して取得したセキュアなブランチ トラフィック。
  • アウトバウンドトラフィックを管理するための、きめ細かく優先順位付けされたファイアウォールフィルタリングルールを使用してファイアウォールポリシーを定義し、送信元と宛先のトラフィックの一致条件と、トラフィックが一致した場合のアクションを定義できます。
  • 既定の 許可 アクションを使用してクラウド ファイアウォール ポリシーを作成します。 ポリシー内のどのルールにも一致しないすべてのトラフィックに、既定のアクションが適用されます。
  • 送信元 IP、送信元ポート、宛先 IP、宛先ポート、宛先プロトコル (TCP および/または UDP) が一致する条件を持つ 5 タプル ファイアウォール ルールを定義します。 IP 範囲/CIDR は、IP マッチング条件でサポートされます。
  • 許可と禁止の間のアクションを定義します。
  • インターネット トラフィック用のリモート ネットワークのファイアウォール ポリシーを、ポリシーを適用するためのベースライン セキュリティ プロファイルにリンクします。
  • クラウド ファイアウォールの Entra/GSA ポータルからトラフィック ログにアクセスします。

次の表に、クラウド ファイアウォール リソースを管理するためのコア エンティティを示します。

Entities 説明
cloudFirewallPolicy レイヤー 3 (ネットワーク) 保護を提供するクラウド ファイアウォール ポリシーを表します。 クラウド ファイアウォール ポリシーは、フィルター プロファイルにリンクすると有効になります。
cloudFirewallRule クラウド ファイアウォール ポリシー内のネットワーク トラフィック フィルタリングの条件とアクションを定義します。 各ルールは、送信元アドレスと宛先アドレス、ポート、プロトコルの一致条件を指定します。
cloudFirewallPolicyLink クラウド ファイアウォール ポリシーをフィルター プロファイルにリンクします。 クラウド ファイアウォール ポリシー リンクを管理するには、 filteringPolicyLink 操作を使用します 。

ログと監視

環境内のイベントの監視と監査は、セキュリティ、コンプライアンス、運用効率を維持するために非常に重要です。 グローバル セキュア アクセス イベントには、次のリソースを通じてアクセスできます。

詳細については、 グローバル セキュア アクセスのログと監視を参照してください。

ゼロ トラスト

この機能は、組織がテナントをゼロ トラスト アーキテクチャの 3 つの基本原則に合わせるのに役立ちます。

  • 明確に確認する
  • 最小限の特権を使用する
  • 侵害を想定する

ゼロ トラストと、organizationを指針の原則に合わせるその他の方法の詳細については、ゼロ トラスト ガイダンス センターを参照してください。

関連コンテンツ

  • Last updated on