グローバル セキュア アクセスについてよく寄せられる質問

ユニバーサル テナントの制限を有効にしていて、許可リストに登録されているいずれかの許可テナントの Microsoft Entra 管理センターにアクセスしている場合、"アクセスが拒否されました" というエラーが表示されます。 Microsoft Entra 管理センターに次の機能フラグを追加してください: ?feature.msaljs=true&exp.msaljsexp=true。 たとえば、Contoso に勤務していて、Fabrikam をパートナー テナントとして許可リストに登録しているとします。 Fabrikam テナントの Microsoft Entra 管理センターのエラー メッセージが表示されます。 URL https://entra.microsoft.com/ について "アクセスが拒否されました" というエラー メッセージが表示された場合は、機能フラグ https://entra.microsoft.com/?feature.msaljs%253Dtrue%2526exp.msaljsexp%253Dtrue#home を追加します。

B2B ログインがサポートされるのは、ユーザーが Microsoft Entra で参加しているデバイスから、サービスにアクセスしているときのみです。 Microsoft Entra テナントは、ユーザーのサインイン資格情報と一致する必要があります。 たとえば、ある人が Fabrikam に勤務し、Contoso のプロジェクトの作業をしているとします。 Contoso がその人にデバイスと Contoso ID (v-Bob@contoso.com など) を提供しました。 Contoso デバイスを使用して Contoso のグローバル セキュア アクセスにアクセスするために、その人は Bob@Fabrikam.com または v-Bob@Contoso.com を使用できます。 ただし、その人は Fabrikam テナントに参加している Fabrikam デバイスを使用して、Contoso のグローバル セキュア アクセスにアクセスすることはできません。

Microsoft Entra Internet Access やその他の Security Service Edge (SSE) プラットフォーム 一部としてのセキュリティで保護された Web ゲートウェイ機能は、任意のアプリケーションに接続するすべてのユーザーに対して、クラウド エッジから高度なネットワーク セキュリティ値を提供します。 Microsoft の SSE ソリューションでは、Microsoft Entra ID との緊密な統合を特に活用して、詳細なネットワーク セキュリティ ポリシーに ID とコンテキストの認識をもたらします。 さらに、SSE プラットフォームは、トランスポート層セキュリティ (TLS) 検査を介して、より高度な制御と詳細な可視性を提供し、これらのプラットフォームがパケットに対してセキュリティ ポリシーを検査して適用できるようにします。 Microsoft Defender for Endpoint などのエンドポイント検出および応答 (EDR) プラットフォームは、マネージド デバイスにデバイス対応のセキュリティ値を提供します。 これらのポリシーを使用すると、ユーザー ベースの ID コンストラクトではなく、デバイスまたはデバイス グループをターゲットにできます。 EDR プラットフォームでは、高度なハンティング機能を使用して可視性も提供します。 ネットワークとエンドポイントの両方の保護制御を同時に使用して、多層防御アプローチを実現することをお勧めします。 EDR プラットフォームを Microsoft Entra Internet Access と共に使用する場合、Microsoft Entra インターネット アクセス ポリシーが適用されるクラウド エッジに到達する前に、EDR プラットフォームのオンデバイス ポリシーが常に適用されます。

現時点では、IPv4 は IPv6 よりも優先されます。 問題が発生した場合は、IPv6 を無効にしてください。 詳細については、「IPv4 の優先」をご覧ください。

はい。Microsoft Entra Internet Access と Microsoft Entra Private Access の側面を管理するために使用できる Microsoft Graph API のセットがあります。 これらの API の詳細については、「Microsoft Graph ネットワーク アクセス API を使用してクラウド、パブリック、プライベート アプリへのアクセスをセキュリティで保護する」を参照してください。

CPE とグローバル セキュア アクセスとの間で BGP IP アドレスを逆にするようにしてください。 たとえば、ローカル BGP IP アドレスを 1.1.1.1 と指定し、CPE に対するピア BGP IP アドレスを 0.0.0.0 と指定した場合、グローバル セキュア アクセスの値を入れ替えます。 つまり、グローバル セキュア アクセスのローカル BGP IP アドレスは 0.0.0.0 で、ピア GBP IP アドレスは 1.1.1.1 です。

Microsoft Entra Internet Access と Microsoft Defender for Endpoint はどちらも同様の分類エンジンを利用しますが、いくつかの異なる違いがあります。 Microsoft Entra Internet Access エンジンは、インターネット上のすべてのエンドポイントの有効な分類を提供することを目的としていますが、Microsoft Defender for Endpoint では、エンドポイントを運用する組織の責任を生み出す可能性のあるサイトのカテゴリに焦点を当てた、サイト カテゴリのより小さなリストがサポートされています。 これは、多くのサイトが分類されていないことを意味し、アクセスを許可または拒否する組織は、サイトのネットワーク インジケーターを手動で作成する必要があります。