Microsoft Entra Private Accessを検証してみた

ZTNA (Zero Trust Network Access) とは、ゼロトラストの考えに基づき、デバイスの状態やユーザーの状況などのコンテキスト情報をもとに継続的に検証し、アクセスするリソースごとに認証・認可を行う仕組みです。
ZTNAを実現するにあたり、各メーカーが実装する機能は多岐にわたります。その中でも重要なのが、アタックサーフェス (攻撃対象領域) をなくし、インターネット上にグローバルIPを付与した通信設備を公開せずに、内部ネットワークへのアクセスを可能にする機能です。
 

しかし、VPN装置はインターネット上からのインバウンド通信を一部許可する必要があり、その際にグローバルIPを持つことになります。このグローバルIPがインターネット上に露出することで、悪意のある攻撃者からVPN装置への攻撃を受けるおそれがあります。適切なアクセス制御やパッチ管理を行えばセキュリティリスクを低減できますが、運用における負担は避けられません。
 

Microsoft Entra Private Accessは、Microsoftが提供するリモートアクセスサービスです。このサービスを利用することで、Entra ID上のユーザー情報をもとに条件付きアクセスを適用し、ZTNA型のリモートアクセスを実現できます。
具体的には、内部ネットワークにプライベートネットワークコネクタを設置し、これがMicrosoft Global Secure Access POP (Points of Presence) とセッションを確立することで、Global Secure Accessクライアントからプライベートアプリへのアクセスが可能になります。

ZTNA型のリモートアクセスを実現できるSASE (Secure Access Service Edge) やSSE (Security Service Edge) 製品は数多く存在します。その中でMicrosoft Entra Private Accessを採用する理由の一つは、Entra IDと統合されたZTNA型のリモートアクセスである点です。
Entra IDはクラウド型のIDaaS (Identity as a Service) であり、Microsoft 365やAzureのID管理にも利用されているため、多くの企業が導入しています。このEntra IDには、「条件付きアクセス」といった機能があり、これらを活用することで、事前に連携したリソース (例: SaaS) へのアクセス時に動的なアクセス制御を実現できます。
今回紹介するMicrosoft Entra Private Accessは、Entra IDの条件付きアクセスと組み合わせることが可能です。そのため、Entra IDをすでに利用している場合、既存のセキュリティポリシーにMicrosoft Entra Private Accessでアクセスするリソースを追加するだけで、ZTNAとセキュリティ保護の両立が可能になります。

本項から検証に必要な準備事項と動作確認結果をご説明します。

今回検証するMicrosoft Entra Private Accessの構成手順は、以下の4つのステップに大別されます。

Microsoft Entra管理センターで、今回利用するMicrosoft Entra Private Accessの転送プロファイルを有効化します。

プライベートアプリにアクセスできるよう、IP到達性のあるネットワーク上にWindows Serverを設置し、専用のプライベートネットワークコネクタをインストールします。
 

Microsoft Entra管理センターで、アクセス先のプライベートアプリを登録します。
 

動作検証に利用するmacOSのPCに、Global Secure Accessクライアントをインストールします。主な前提条件は、以下となっております。

前提条件の1つのIntuneに登録する手順は割愛いたしますが、以下URLの手順に沿ってIntune登録をすることができます。

シングルサインオン アプリ拡張機能欄に、SSOアプリ拡張機能の種類を [Microsoft Entra ID] を選択した後、以下設定値に入力します。

本設定値は以下Microsoft Learnの情報をもとにしております。

今回は、名前解決によるWEBサーバーへのアクセスとリモートデスクトップ接続によるWindows Serverへのアクセスの動作確認を行います。
 

以上の結果から、ZTNA型のリモートアクセスを利用し、WEBサーバーにアクセスできることを確認し、リモートデスクトップ接続ができることを確認しました。このとき、内部DNSサーバーとアクセス元のデバイス間で直接名前解決ができなくても、プライベートネットワークコネクタを使用すれば、内部DNSサーバーによる名前解決が可能であることも確認できました。これにより、一般的なZTNAのユースケースに対応できると考えられます。
Microsoft Entra IDを利用している場合は、条件付きアクセスが適用されているケースが多く、Intuneも導入済みであることが一般的なため、クライアントアプリの展開を含め、比較的スムーズに導入できるZTNA製品といえます。

本記事では、Microsoft Entra Private Accessの動作検証を通じて、その有用性を紹介しました。Entra IDとの親和性が高いため、すでにEntra IDを利用している方にとって、効果的なプライベートアクセス手段の一つとなる可能性が高い製品です。Microsoft Entra IDやIntuneの活用に関してお困りの際は、ぜひ弊社までご相談ください。

今後も、今回の機能をはじめ、Microsoftやほかのセキュリティプロバイダーの技術進化に注目し、ブログで発信していきます。