Microsoft Entra Private Access と Microsoft Entra アプリケーション プロキシのプライベート ネットワーク コネクタを構成する方法

コネクタは、プライベート ネットワーク内のサーバー上にある軽量エージェントで、Global Secure Access サービスへの送信接続を容易にします。 コネクタは、バックエンドのリソースおよびアプリケーションへのアクセス権を持つ Windows Server にインストールする必要があります。 コネクタはコネクタ グループに編成でき、各グループが特定のアプリケーションへのトラフィックを処理します。 コネクタの詳細については、「Microsoft Entra プライベート ネットワーク コネクタを理解する」を参照してください。

前提条件

Microsoft Entra ID にプライベート リソースとアプリケーションを追加するには、次のものが必要です。

• この製品にはライセンスが必要です。 ライセンスの詳細については、「グローバル セキュア アクセスとは」のライセンスに関するセクションを参照してください。 必要に応じて、ライセンスを購入するか、試用版ライセンスを取得できます。
• アプリケーション管理者アカウント。

ユーザー ID をオンプレミス ディレクトリから同期するか、Microsoft Entra テナント内に直接作成する必要があります。 ID 同期によって、Microsoft Entra ID は、アプリケーション プロキシによって公開されたアプリケーションへのアクセス権をユーザーに付与する前にユーザーを事前認証し、シングル サインオン (SSO) を実行するために必要なユーザー ID 情報を取得することができます。

Windows サーバー

Microsoft Entra プライベート ネットワーク コネクタには、Windows Server 2012 R2 以降を実行しているサーバーが必要です。 プライベート ネットワーク コネクタをサーバーにインストールしてください。 このコネクタ サーバーは、Microsoft Entra Private Access サービスまたはアプリケーション プロキシ サービス、および公開予定のプライベート リソースまたはアプリケーションに接続する必要があります。

• 環境を高可用性にするため、複数の Windows サーバーを使用することをお勧めします。
• コネクタに必要な最小 .NET バージョンは v4.7.1 以上です。
• 詳細については、プライベート ネットワーク コネクタに関するページを参照してください
• 詳細については、「インストールされている .NET Framework バージョンを確認する」を参照してください。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"EnableDefaultHTTP2"=dword:00000000

Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0

トランスポート層セキュリティ (TLS) の要件

プライベート ネットワーク コネクタをインストールするには、Windows コネクタ サーバーで TLS 1.2 が有効になっている必要があります。

TLS 1.2 を有効にするには、次の手順に従います。

1. レジストリ キーを設定します。

   Windows Registry Editor Version 5.00
   
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
   "DisabledByDefault"=dword:00000000
   "Enabled"=dword:00000001
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
   "DisabledByDefault"=dword:00000000
   "Enabled"=dword:00000001
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001
   

2. サーバーを再起動します。

コネクタ サーバーの推奨事項

• コネクタとアプリケーションの間のパフォーマンスを最適化します。 アプリケーション サーバーと物理的に近くにコネクタ サーバーを配置します。 詳細については、「Microsoft Entra アプリケーション プロキシを使用してトラフィック フローを最適化する」を参照してください。
• コネクタ サーバーと Web アプリケーション サーバーが同じ Active Directory ドメインに属するか、信頼するドメインの範囲にあることを確認します。 統合 Windows 認証 (IWA) および Kerberos 制約付き委任 (KCD) でのシングル サインオン (SSO) を使用するには、サーバーを同じドメインまたは信頼する側のドメインに配置する必要があります。 コネクタ サーバーと Web アプリケーション サーバーが別の Active Directory ドメイン内にある場合は、シングル サインオンに対してリソースベースの委任を使用してください。

オンプレミスの環境を準備する

Microsoft Entra アプリケーション プロキシの環境を準備するには、まず Azure データ センターへの通信を有効にします。 パスにファイアウォールがある場合、それが開かれていることを確認します。 ファイアウォールが開かれていることで、コネクタによるアプリケーション プロキシへの HTTPS (TCP) 要求が可能になります。

ポートを開く

以下の各ポートをアウトバウンド トラフィックに対して開きます。

ファイアウォールが送信元ユーザーに応じてトラフィックを処理している場合は、ネットワーク サービスとして実行されている Windows サービスからのトラフィック用にポート 80 と 443 も開きます。

URL へのアクセスを許可する

次の URL へのアクセスを許可します。

ファイアウォールまたはプロキシでドメインのサフィックスに基づいてアクセス規則を構成できる場合は、上記の *.msappproxy.net、*.servicebus.windows.net、およびその他の URL への接続を許可できます。 そうでない場合は、Azure IP ranges and Service Tags - Public Cloud (Azure IP 範囲とサービス タグ - パブリック クラウド) へのアクセスを許可する必要があります。 これらの IP 範囲は毎週更新されます。

コネクタのインストールと登録

Private Access を使用するために、Microsoft Entra Private Access に使用する各 Windows サーバーにコネクタをインストールします。 コネクタは、オンプレミスのアプリケーション サーバーから Global Secure Access へのアウトバウンド接続を管理するエージェントです。 コネクタをインストールするサーバーには、Microsoft Entra Connect などの他の認証エージェントがインストールされていてもかまいません。

Microsoft Entra 管理センターでコネクタを構成するには:

1. アプリケーション プロキシを使用するディレクトリのアプリケーション管理者として、Microsoft Entra 管理センターにサインインします。

   • たとえば、テナントのドメインが contoso.com の場合、管理者は admin@contoso.com またはそのドメイン上の他の管理者エイリアスであることが必要です。

2. 右上隅で自分のユーザー名を選択します。 アプリケーション プロキシを使用するディレクトリにサインインしていることを確認します。 ディレクトリを変更する必要がある場合は、 [ディレクトリの切り替え] を選択し、アプリケーション プロキシを使用するディレクトリを選択します。

3. [グローバル セキュア アクセス]>[接続]>[コネクタ] を参照します。

4. [コネクタ サービスのダウンロード] を選択します。

   

5. サービス利用規約を読みます。 準備ができたら、[規約に同意してダウンロード] を選択します。

6. ウィンドウの下部で、 [実行] を選択してコネクタをインストールします。 インストール ウィザードが開きます。

7. ウィザードの指示に従ってサービスをインストールします。 Microsoft Entra テナントのアプリケーション プロキシにコネクタを登録するよう求められたら、アプリケーション管理者の資格情報を提供してください。

   • Internet Explorer (IE) の場合: [IE セキュリティ強化の構成] が [オン] に設定されていると、登録画面が表示されないことがあります。 アクセスするには、エラー メッセージに示された指示に従ってください。 [Internet Explorer セキュリティ強化の構成] が [オフ] に設定されていることを確認します。

注意事項

前にコネクタをインストールしていた場合は、再インストールして最新バージョンにしてください。 アップグレードするときは、既存のコネクタをアンインストールし、関連するフォルダーをすべて削除してください。 過去にリリースされたバージョンと変更履歴については、次を参照してください: アプリケーション プロキシのバージョン リリース履歴。

オンプレミス アプリケーション用に複数の Windows サーバーを選択する場合は、サーバーごとにコネクタをインストールして登録する必要があります。 コネクタはコネクタ グループに整理できます。 詳しくは、コネクタ グループに関するページをご覧ください。

コネクタ、キャパシティ プランニング、コネクタを最新の状態に維持する方法については、「Microsoft Entra プライベート ネットワーク コネクタを理解する」を参照してください。

インストールと登録を確認する

Global Secure Access ポータルまたは Windows サーバーを使用して、新しいコネクタが正しくインストールされていることを確認できます。

アプリケーション プロキシの問題のトラブルシューティングについては、「アプリケーション プロキシ アプリケーションの問題をデバッグする」を参照してください。

Microsoft Entra 管理センターを通じてインストールを確認する

コネクタが正しくインストールおよび登録されていることを確認するには:

1. アプリケーション プロキシを使用するディレクトリのアプリケーション管理者として、Microsoft Entra 管理センターにサインインします。

2. [グローバル セキュア アクセス]>[接続]>[コネクタ] を参照します

   • コネクタとコネクタ グループはすべてこのページに表示されます。

3. 詳細を確認するコネクタを表示します。

   • まだ展開されていない場合は、コネクタを展開して詳細を表示します。
   • アクティブな緑色のラベルは、コネクタがサービスに接続できることを示します。 ただし、ラベルが緑色であっても、ネットワークの問題のためにコネクタがメッセージを受信できない可能性があります。

   

コネクタのインストールについて詳しくは、コネクタのトラブルシューティングに関するページを参照してください。

Windows サーバーを介してインストールを確認する

コネクタが正しくインストールおよび登録されていることを確認するには:

1. Windows キーを選択し、「services.msc」と入力して Windows サービス マネージャーを開きます。

2. 次のサービスの状態が [実行中] であることを確認します。

   • "Microsoft Entra プライベート ネットワーク コネクタ" により、接続が有効になります。
   • Microsoft Entra プライベート ネットワーク コネクタ アップデーターは自動更新サービスです。
   • アップデーターはコネクタの新しいバージョンをチェックし、必要に応じてコネクタを更新します。

   

3. サービスの状態が [実行中] でない場合は、各サービスを右クリックして選択し、 [開始] を選択します。

コネクタ グループを作成する

コネクタ グループを必要な数だけ作成するには:

1. [グローバル セキュア アクセス]>[接続]>[コネクタ] を参照します。
2. [新しいコネクタ グループ] を選択します。
3. 新しいコネクタ グループに名前を付け、ドロップダウン メニューを使用して、このグループに含めるコネクタを選択します。
4. [保存] を選択します。

コネクタ グループの詳細については、「Microsoft Entra プライベート ネットワーク コネクタ グループについて」を参照してください。

次のステップ

Microsoft Entra Private Access の使用を開始するための次の手順は、クイック アクセスまたは Global Secure Access アプリケーションを構成することです。

• プライベート リソースへのクイック アクセスを構成する
• Microsoft Entra Private Access へのアプリごとのアクセス権を構成する