Windows 用グローバル セキュリティで保護されたアクセス クライアントの問題のトラブルシューティング

クライアント チェッカー ツールでは、いくつかのチェックを実行して、グローバル セキュリティで保護されたアクセス クライアントの前提条件が満たされていることを確認します。 次の項目を実行するためにクライアントが実行するタスクの状態が報告されます。

• グローバル セキュリティで保護されたアクセス ネットワークに安全に接続する

• 取得したトラフィックを Microsoft Entra "インターネット アクセス" または "プライベート アクセス" サービスにルーティングする

このツールが実行するすべてのタスクに状態が表示 YES される場合、これは GSA クライアントがグローバル セキュリティで保護されたアクセス サービスに接続して通信できることを示します。 この状態は、アプリケーション トラフィックがグローバル セキュリティで保護されたアクセス ネットワークを介して取得および送信されることを意味するものではありません。 クライアントとサービスの構成に関する追加の問題により、アプリケーション トラフィックが取得されない場合や、グローバル セキュリティで保護されたアクセスがこのトラフィックをブロックする可能性があります。

次のテキストは、クライアント チェッカー ツールからの完全なコンソール出力の例です。

Starting Client Checker tool
Is Device AAD joined: YES
Forwarding profile Registry Exists: YES
Process GlobalSecureAccessManagementService is running: YES
Process GlobalSecureAccessTunnelingService is running: YES
Process GlobalSecureAccessPolicyRetrieverService is running: YES
Process GlobalSecureAccessClient is running: YES
GlobalSecureAccessDriver is running: YES
GlobalSecureAccess Processes are healthy and not crashing in the last 24h: YES
Other-processes are healthy and not crashing in the last 24h: NO
Magic IP received for Fqdn m365.edgediagnostic.globalsecureaccess.microsoft.com: YES
Magic IP received for Fqdn private.edgediagnostic.globalsecureaccess.microsoft.com: YES
Cached token: YES
M365's edge reachable: YES
Private's edge reachable: YES
Channel M365 diagnosticUri in policy: YES
Channel Private diagnosticUri in policy: YES
Is secure DNS disabled in Chrome?: YES
Is secure DNS disabled in Edge?: YES
Manual Proxy is disabled: YES
Is M365 channel reachable: YES
Is Private channel reachable: YES
M365 tunneling success: YES
Private tunneling success: YES
Finished Client Checker tool, press any key to exit

次の一覧では、クライアント チェッカー ツールが実行するアクションについて説明します。

1. グローバル セキュリティで保護されたアクセス クライアントに関連するサービスが開始されているかどうかを確認します。

   停止状態または開始状態のサービスがある場合は、次の出力が表示される場合があります。

   Process GlobalSecureAccessManagementService is running: YES
   Process GlobalSecureAccessTunnelingService is running: YES
   Process GlobalSecureAccessPolicyRetrieverService is running: NO
   Process GlobalSecureAccessClient is running: YES
   

   この場合は、次の手順に従います。

   1. [ スタート] を選択し、 services.msc を検索し、サービス アプリを選択します。

   2. [サービス] ウィンドウの [名前] 列で次のサービスを探し、対応する [状態] 列の値が [実行中] と等しいかどうかをチェックします。

      • グローバル セキュリティで保護されたアクセス管理サービス
      • グローバル セキュリティで保護されたアクセス ポリシー取得サービス
      • グローバル セキュリティで保護されたアクセス トンネリング サービス

2. グローバル セキュリティで保護されたアクセス ドライバーが読み込まれているかどうかを確認します。

   クライアント チェッカー ツールでは、次の出力が生成される場合があります。

   GlobalSecureAccessDriver is running: NO
   

   この場合は、 sc クエリ コマンドを実行して、ドライバーが実際に動作しているかどうかを確認します。

   sc query GlobalSecureAccessDriver
   

   コマンドの出力で sc query ドライバーが実行されていないことが示されている場合は、イベント ログで、グローバル セキュリティで保護されたアクセス クライアントを含むイベント 304 を検索します。 イベントによってドライバーが実行されていないことが確認された場合は、グローバル セキュリティで保護されたアクセス クライアントを再インストールします。

3. グローバル セキュリティで保護されたアクセスのエッジの場所にアクセスできるかどうかを確認します。

   エッジの場所のアクセシビリティをチェックするには、クライアント チェッカーで次の項目がテストされます。

   • Microsoft 365 およびプライベート エッジの場所に対してマジック IP アドレスを受信するかどうか

   • Microsoft 365 とプライベート エッジの場所に到達できるかどうか

   これらの項目のクライアント チェッカーの出力は、次のテキストのようになります。

   Magic IP received for Fqdn m365.edgediagnostic.globalsecureaccess.microsoft.com: YES
   Magic IP received for Fqdn private.edgediagnostic.globalsecureaccess.microsoft.com: YES
   Cached token: YES
   M365's edge reachable: YES
   Private's edge reachable: YES
   

   いずれかのテスト結果が である場合は NO、ファイアウォールまたは Web プロキシが接続をブロックしているかどうかを確認することを検討できます。 ネットワーク トレースは、次の完全修飾ドメイン名 (FQDN) の DNS 解決の問題、ドロップされたパケット、または "接続が拒否されました" エラーを特定するのに役立つ場合があります。

   • m365.edgediagnostic.globalsecureaccess.microsoft.com
   • private.edgediagnostic.globalsecureaccess.microsoft.com

   問題を再現するには、次の Test-NetConnection コマンドレットを実行します。

   Test-NetConnection -ComputerName <edge-fqdn> -Port 443
   

   たとえば、次のコマンドレットを実行できます。

   Test-NetConnection -ComputerName <tenant-id>.m365.client.globalsecureaccess.microsoft.com -Port 443
   Test-NetConnection -ComputerName <tenant-id>.private.client.globalsecureaccess.microsoft.com -Port 443
   

   コマンドレットの出力に のフィールド値Trueが表示されるTcpTestSucceeded場合、クライアントはエッジへの TCP 接続を確立できました。 コマンドレットは TCP 接続を行った後、ネットワーク トレースに表示するトランスポート層セキュリティ (TLS) 接続を確立します。

4. デバイスがMicrosoft Entra IDに参加しているかどうか、およびユーザー認証が成功したかどうかを確認します。

   これらのチェックのいずれかが失敗を示している場合は、次の 1 つ以上のアクションを実行します。

   • デバイスがMicrosoft Entra参加しているか、ハイブリッド参加Microsoft Entraしていることを確認します。 現時点では、Microsoft Entra登録済みデバイスはサポートされていません。

   • マネージド デバイスのデバイスの状態が healthyであることを確認します。 詳細については、「dsregcmd コマンドを使用したデバイスのトラブルシューティング」を参照してください。

   • グローバル セキュリティで保護されたアクセスが構成され、ライセンスが付与されているのと同じテナント内のMicrosoft Entra ユーザーとしてグローバル セキュリティで保護されたアクセス クライアントにサインインしていることを確認します。

   • もう一度サインインする場合は、システム トレイのグローバル セキュリティで保護されたアクセス クライアントのアイコンを右クリックし、ショートカット メニューで [ ユーザーの切り替え ] を選択します。

     

     このコマンドは、ユーザーのサインイン プロセスを再起動する必要があります。

   • クライアントのシステム トレイ アイコンにカーソルを合わせます。 ヒント テキストには、グローバル セキュリティで保護されたアクセス クライアントの状態が表示されます。 ポリシーによって状態が無効と表示される場合は、クライアントが認証を求めるメッセージを表示しないようにしてください。

     注:

     以前にトラフィック転送プロファイルを無効にした場合、 ポリシーによって 無効にされたメッセージが表示されることがあります。 詳細については、 項目 6 (トラフィック プロファイルのセキュリティで保護されたトンネルを確立できるかどうかを確認する) を参照してください。

5. さまざまなトラフィック プロファイルに関連するグローバル セキュリティで保護されたアクセス ポリシーがデバイスに適用されているかどうかを確認します。

   クライアント チェッカー ツールは、 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Global Secure Access Client レジストリ サブキーの存在を検索し、次のレジストリ エントリを確認します。

   レジストリ エントリ	値の説明
   ForwardingProfile	レジストリにキャッシュされるグローバル セキュリティで保護されたアクセス ポリシー
   TenantId	クライアント チェッカー ツールがポリシーをフェッチするテナントの ID

6. トラフィック プロファイルのセキュリティで保護されたトンネルを確立できるかどうかを確認します。

   クライアント チェッカー ツールは、チャネルと Private チャネルにM365到達可能かどうか、およびそれらのチャネルへのトンネリングが成功したかどうかを判断します。 次のテキストのような出力が生成されます。

   Is M365 channel reachable: YES
   Is Private channel reachable: YES
   M365 tunneling success: YES
   Private tunneling success: YES
   

   必要なトラフィック転送プロファイルが有効になっていることを確認するには、次の手順に従います。

   1. Microsoft Entra 管理センターのナビゲーション ウィンドウで、[グローバル セキュリティで保護されたアクセス (プレビュー)] を展開し、[接続] を展開して、[トラフィック転送] を選択します。

   2. [ トラフィック転送 ] ページで、[ トラフィック転送プロファイルの管理 ] 見出しを見つけます。

   3. その見出しで、[ Microsoft 365 プロファイル ] オプションと [ プライベート アクセス プロファイル ] オプションが選択されていることを確認し、それらのプロファイル名の後に [有効] という単語が表示されていることを確認します。

7. トラフィック取得の問題を引き起こす可能性のある構成の問題を確認します。

   クライアント チェッカー ツールは、Google Chrome および Microsoft Edge ブラウザーでセキュリティで保護された DNS が無効になっているかどうかを確認し、手動プロキシが無効になっているかどうかを確認します。 これらのチェックの出力は、次のテキストのようになります。

   Is secure DNS disabled in Chrome?: YES
   Is secure DNS disabled in Edge?: YES
   Manual Proxy is disabled: YES
   

   注:

   グローバル セキュリティで保護されたアクセスの現在のリリースのいくつかの制限により、グローバル セキュリティで保護されたアクセス クライアントがアプリケーションと Web トラフィックを取得できません。 これらの制限には、次のプロトコルがサポートされていないことが含まれます。 (Microsoft が新しい機能をリリースし、これらのプロトコルをサポートするため、制限事項は削除される予定です)。

   • IPv6
   • セキュリティで保護された DNS
   • UDP トラフィック

   重要

   グローバル セキュア アクセスは現在 UDP トラフィックをサポートしていないため、ポート 443 への UDP トラフィックはトンネリングできません。 QUIC プロトコルを無効にして、グローバル セキュア アクセス クライアントが HTTPS (ポート 443 の TCP トラフィック) を使用してフォールバックするようにすることができます。 アクセスしようとしているサーバーが QUIC をサポートしている場合は、この変更を行う必要があります (例: Microsoft Exchange Online)。 QUIC を無効にするには、次のいずれかのアクションを実行できます。

   • Windows ファイアウォールで QUIC を無効にする

     QUIC を無効にする最も一般的な方法は、Windows ファイアウォールでその機能を無効にすることです。 このメソッドは、ブラウザーやリッチ クライアント アプリ (Microsoft Office など) を含むすべてのアプリケーションに影響します。 PowerShell で、次の New-NetFirewallRule コマンドレットを実行して、デバイスからの送信トラフィックすべてに対して QUIC を無効にする新しいファイアウォール規則を追加します。

     $ruleParams = @{
         DisplayName = "Block QUIC"
         Direction = "Outbound"
         Action = "Block"
         RemoteAddress = "0.0.0.0/0"
         Protocol = "UDP"
         RemotePort = 443
     }
     New-NetFirewallRule @ruleParams
     

   • Web ブラウザーで QUIC を無効にする

     WEB ブラウザー レベルで QUIC を無効にできます。 ただし、QUIC を無効にするこの方法は、QUIC がブラウザー以外のアプリケーションで引き続き動作することを意味します。 Microsoft Edge または Google Chrome で QUIC を無効にするには、ブラウザーを開き、 試験的な QUIC プロトコル 設定 (#enable-quic フラグ) を見つけて、設定を [無効] に変更します。 次の表に、ブラウザーのアドレス バーに入力する URI を示し、その設定にアクセスできるようにします。

     ブラウザー	URI
     Microsoft Edge	edge://flags/#enable-quic
     Google Chrome	chrome://flags/#enable-quic

接続診断ツールを使用して、サービスが実行されているか、ホストの取得が発生しているかを確認できます。 接続診断ツールを開くと、[グローバル セキュア アクセス クライアント接続診断] ウィンドウが表示されます。

[概要] タブ

接続診断ツールが最初に開き、[ 概要 ] タブが開きます。このタブには、次の情報が表示されます。

• ポリシーが最後に更新されたとき
• ポリシーのバージョン
• テナント ID (GUID)
• ホスト名の取得が発生したかどうか (色付きの箇条書きを使用してその状態を示す)

[ 概要 ] タブは次の図のようになります。

[サービス] タブ

[ サービス ] タブには、さまざまなサービスの状態が表示されます。 次の図では、緑色の箇条書きはトンネリング サービスと管理サービスが実行されていることを示し、赤い箇条書きはポリシー取得サービスが実行されていないことを示しています。

[チャネル] タブ

[ チャネル ] タブには、使用可能なトラフィック プロファイルが表示され、トラフィック プロファイルに対して確立されたトンネルの状態が示されます。 状態を取得するために、接続診断ツールはキープアライブ正常性プローブを次の FQDN に送信します。

• m365.edgediagnostic.globalsecureaccess.microsoft.com
• private.edgediagnostic.globalsecureaccess.microsoft.com
• <tenant-id>.edgediagnostic.globalsecureaccess.microsoft.com

次の図では、[ チャネル ] タブに M365 トンネルと プライベート トンネルの横に緑色の行頭文字が表示され、正常に動作していることを示しています。

HostNameAcquisition タブ

[HostNameAcquisition] タブには、グローバル セキュリティで保護されたアクセス クライアントによって取得され、準拠ネットワーク経由でルーティングされるトラフィックの URL と IP アドレスが表示されます。 この情報は、次のデータ列を含む表形式で表示されます。

• タイムスタンプ
• FQDN
• 生成された IP アドレス
• 元の IPv4 アドレス
• 処理時間
• パケット ID

HostNameAcquisition タブは次の図のようになります。

アプリケーションまたはリソースの IP アドレスが [HostNameAcquisition ] タブに表示されない場合は、リソースへのアクセス中にネットワーク トレースを収集します。 トレースを調べて、ネットワーク トラフィックが別のルートを通過したかどうかを判断します。

グローバル セキュリティで保護されたアクセス クライアントの既知の制限があるため、次の条件が満たされていることを確認します。

• IPv6 トラフィックが使用されていない
• Web ブラウザーでセキュリティで保護された DNS が無効になっている
• ブラウザーで DNS 解決とキャッシュが無効になっている

デバイスで代替の Web プロキシまたは セキュリティで保護されたアクセス サービス エッジ (SASE) ソリューションを使用していますか? この場合は、Web プロキシまたは SASE ソリューションを構成して、グローバル セキュリティで保護されたアクセス ネットワークを経由するのと同じトラフィックを取得しないようにします。 Web プロキシでこの構成を変更する方法については、「 プロキシの構成例」を参照してください。

[フロー] タブ

[ フロー ] タブには、作成されたすべての接続の一覧が表示されます。 一覧に示されている接続の一部は、グローバル セキュリティで保護されたアクセス ネットワーク経由でルーティングされ、他の接続は直接ルーティングされます。 一覧は表形式で表示され、次の列があります。

• タイムスタンプ
• FQDN
• 送信元ポート
• 送信先 IP アドレス
• 宛先ポート
• プロトコル
• プロセス名
• フローがアクティブですか?
• 送信データ[バイト]
• 受信データ[バイト]
• 認証時間
• 相互関係 ID

[ フロー ] タブを次の図に示します。

このタブは、グローバル セキュリティで保護されたアクセス クライアントが次の項目を処理する方法を示しています。

• ネットワーク トラフィック
• 取得されたConnections
• バイパスされないConnections

グローバル セキュリティで保護されたアクセス クライアントでは、"フロー" は、グローバル セキュリティで保護されたアクセス トラフィック ログの "Connections" と同じです。 取得されたトラフィック (つまり、6.6 を持つトラフィック) には、[フロー] タブの相関 ID を使用できます。x。x シリーズの宛先 IP アドレス) を使用して、Microsoft Entra 管理センター内の対応するエントリを検索します。 管理センターで、[ グローバル セキュリティで保護されたアクセス>モニター>のトラフィック ログ] を選択します。 接続診断ツールの "相関 ID" は、トラフィック ログ アクティビティの詳細の "connectionId" フィールドと同じです。 詳細については、「 グローバル セキュリティで保護されたアクセス (プレビュー) トラフィック ログを使用する方法」を参照してください。

また、接続のために送受信されるデータをチェックすることもできます。 送受信されるデータがほとんどない場合は、問題が発生する可能性があります。 または、トンネル セッションが設定されましたが、データは転送されませんでした。