Jak skonfigurować szybki dostęp do globalnego bezpiecznego dostępu

Za pomocą globalnego bezpiecznego dostępu można zdefiniować określone w pełni kwalifikowane nazwy domen (FQDN) lub adresy IP zasobów prywatnych do uwzględnienia w ruchu dla Dostęp Prywatny Microsoft Entra. Pracownicy organizacji mogą następnie uzyskiwać dostęp do aplikacji i witryn, które określisz. W tym artykule opisano sposób konfigurowania szybkiego dostępu dla Dostęp Prywatny Microsoft Entra.

Wymagania wstępne

Aby skonfigurować szybki dostęp, musisz mieć następujące elementy:

• Role administratora globalnego bezpiecznego dostępu i administratora aplikacji w usłudze Microsoft Entra ID.
• Produkt wymaga licencjonowania. Aby uzyskać szczegółowe informacje, zobacz sekcję licencjonowania Co to jest globalny bezpieczny dostęp. W razie potrzeby możesz kupić licencje lub uzyskać licencje próbne.

Aby zarządzać grupami łączników sieci prywatnej firmy Microsoft Entra, które są wymagane w przypadku szybkiego dostępu, musisz mieć następujące elementy:

• Rola administratora aplikacji w identyfikatorze Entra firmy Microsoft
• Licencje microsoft Entra ID P1 lub P2

Znane ograniczenia

Unikaj nakładających się segmentów aplikacji między dostępem szybkim i dostępem dla aplikacji.

Tunelowanie ruchu do miejsc docelowych dostępu prywatnego według adresu IP jest obsługiwane tylko w przypadku zakresów adresów IP spoza podsieci lokalnej urządzenia użytkownika końcowego.

W tej chwili ruch dostępu prywatnego można uzyskać tylko za pomocą klienta globalnego bezpiecznego dostępu. Nie można przypisać sieci zdalnych do profilu przekazywania ruchu prywatnego.

Kroki ogólne

Konfigurowanie ustawień szybkiego dostępu jest głównym składnikiem korzystającym z Dostęp Prywatny Microsoft Entra. Podczas konfigurowania szybkiego dostępu po raz pierwszy usługa Private Access tworzy nową aplikację dla przedsiębiorstw. Właściwości tej nowej aplikacji są automatycznie konfigurowane do pracy z dostępem prywatnym.

Aby skonfigurować szybki dostęp, musisz mieć grupę łączników z co najmniej jednym aktywnym łącznikiem serwera proxy aplikacji Firmy Microsoft Entra. Grupa łączników obsługuje ruch do tej nowej aplikacji. Po skonfigurowaniu szybkiego dostępu i grupy łączników sieci prywatnej należy udzielić dostępu do aplikacji.

Podsumowując, ogólny proces wygląda następująco:

1. Utwórz grupę łączników z co najmniej jednym aktywnym łącznikiem sieci prywatnej.
2. Konfigurowanie szybkiego dostępu.
3. Przypisz użytkowników i grupy do aplikacji.
4. Konfigurowanie zasad dostępu warunkowego.
5. Włącz profil przekazywania ruchu prywatnego dostępu.

Tworzenie grupy łączników sieci prywatnej

Aby skonfigurować szybki dostęp, musisz mieć grupę łączników z co najmniej jednym aktywnym łącznikiem sieci prywatnej.

Jeśli nie masz jeszcze skonfigurowanej grupy łączników, zobacz Konfigurowanie łączników na potrzeby szybkiego dostępu.

Konfigurowanie szybkiego dostępu

Na stronie Szybki dostęp podaj nazwę aplikacji Szybki dostęp, wybierz grupę łączników i dodaj segmenty aplikacji, które obejmują nazwy FQDN i adresy IP. Możesz wykonać wszystkie trzy kroki w tym samym czasie lub dodać segmenty aplikacji po zakończeniu początkowej konfiguracji.

Nazwa i grupa łączników

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra przy użyciu odpowiednich ról.
2. Przejdź do strony Globalne aplikacje>bezpiecznego dostępu>— szybki dostęp.
3. Wprowadź nazwę. Zalecamy używanie nazwy Szybki dostęp.
4. Wybierz grupę łączników z menu rozwijanego.
5. Wybierz pozycję Zapisz , aby utworzyć aplikację "Szybki dostęp" bez nazw FQDN, adresów IP i prywatnych sufiksów DNS.

Dodawanie segmentu aplikacji Szybki dostęp

Należy zdefiniować nazwy FQDN i adresy IP do uwzględnienia podczas dodawania segmentu aplikacji Szybki dostęp. Te zasoby są dodawane podczas tworzenia lub aktualizowania aplikacji Szybki dostęp.

Można dodawać w pełni kwalifikowane nazwy domen (FQDN), adresy IP i zakresy adresów IP. W każdym segmencie aplikacji można dodać wiele portów i zakresów portów.

1. Zaloguj się do centrum administracyjnego usługi Microsoft Entra.

2. Przejdź do witryny Global Secure Access Applications Quick Access (Szybkie uzyskiwanie dostępu do globalnych aplikacji>bezpiecznego dostępu).>

3. Wybierz pozycję Dodaj segment aplikacji Szybki dostęp.

4. W wyświetlonym panelu Tworzenie segmentu aplikacji wybierz typ docelowy.

5. Wprowadź odpowiednie szczegóły dla wybranego typu docelowego. W zależności od wybranego pola kolejne pola zmieniają się odpowiednio.

   • Adres IP:
     • Adres protokołu internetowego w wersji 4 (IPv4), taki jak 192.168.2.1, który identyfikuje urządzenie w sieci.
     • Podaj porty, które chcesz uwzględnić.
   • W pełni kwalifikowana nazwa domeny (w tym nazwy FQDN z symbolami wieloznacznymi):
     • Nazwa domeny określająca dokładną lokalizację komputera lub hosta w systemie nazw domen (DNS).
     • Podaj porty do uwzględnienia.
     • Rozwiązanie NetBIOS nie jest obsługiwane. Na przykład użyj polecenia contoso.local/app1 zamiast contoso/app1.
   • Zakres adresów IP (CIDR):
     • Routing międzydomenowy klasy (CIDR) reprezentuje zakres adresów IP. Po adresie IP następuje sufiks wskazujący liczbę bitów sieciowych w masce podsieci.
     • Na przykład 192.168.2.0/24 wskazuje, że pierwsze 24 bity adresu IP reprezentują adres sieciowy, podczas gdy pozostałe 8 bitów reprezentuje adres hosta.
     • Podaj adres początkowy, maskę sieci i porty.
   • Zakres adresów IP (IP do IP):
     • Zakres adresów IP od początkowego adresu IP (na przykład 192.168.2.1) do końcowego adresu IP (na przykład 192.168.2.10).
     • Podaj adres IP początkowy, końcowy i porty.

6. Wprowadź porty i protokół, a następnie wybierz pozycję Zastosuj.

   • Rozdziel wiele portów przecinkami.
   • Określ zakresy portów za pomocą łącznika.
   • Spacje między wartościami są usuwane po zastosowaniu zmian.
   • Na przykład 400-500, 80, 443.

   

   Poniższa tabela zawiera najczęściej używane porty i skojarzone z nimi protokoły sieciowe:

   Port	Protokół
   22	Bezpieczna powłoka (SSH)
   80	Protokół HTTP
   443	Protokół Secure protokołu transferu hipertekstowego (HTTPS)
   445	Udostępnianie plików bloku komunikatów serwera (SMB)
   3389	Protokół Remote Desktop Protocol (RDP)

7. Po zakończeniu wybierz Zapisz.

Dodawanie prywatnych sufiksów DNS

Prywatna strefa DNS obsługa Dostęp Prywatny Microsoft Entra umożliwia wykonywanie zapytań względem własnych wewnętrznych serwerów DNS w celu rozpoznawania adresów IP dla wewnętrznych nazw domen. Spójrzmy na przykład. Załóżmy, że masz wewnętrzny zakres adresów IP do 10.8.0.0 10.8.255.255. Ten zakres można skonfigurować w definicji aplikacji Szybki dostęp. Chcesz, aby użytkownicy mieli dostęp do aplikacji internetowej odpowiadającej na adres IP 10.8.0.5 podczas wpisywania https://benefits w przeglądarce internetowej. Nie chcesz jednak konfigurować nazwy FQDN dla aplikacji. Korzystając z Prywatna strefa DNS, należy skonfigurować odpowiedni sufiks DNS, aby klient globalnego bezpiecznego dostępu wiedział, jak prawidłowo kierować żądanie.

Ponadto możesz udostępnić środowisko logowania jednokrotnego dla zasobów protokołu Kerberos, konfigurując uwierzytelnianie Kerberos na kontrolerach domeny przy użyciu Prywatna strefa DNS. Aby dowiedzieć się więcej na temat tworzenia środowiska logowania jednokrotnego, zobacz Use Kerberos for single sign-on (SSO) to your resources with Dostęp Prywatny Microsoft Entra (Korzystanie z protokołu Kerberos na potrzeby logowania jednokrotnego) do zasobów.

Dodaj sufiks DNS do użycia dla prywatnej usługi DNS.

1. Wybierz kartę Prywatna strefa DNS.
2. Zaznacz pole wyboru, aby włączyć prywatną usługę DNS.
3. Wybierz pozycję Dodaj sufiks DNS.
4. Wprowadź sufiks DNS, a następnie wybierz pozycję Dodaj.

Przypisywanie użytkowników i grup

Podczas konfigurowania szybkiego dostępu zostanie utworzona nowa aplikacja dla przedsiębiorstw w Twoim imieniu. Musisz udzielić dostępu do utworzonej aplikacji Szybki dostęp przez przypisanie użytkowników i/lub grup do aplikacji.

Właściwości można wyświetlić w obszarze Szybki dostęp lub przejść do aplikacji dla przedsiębiorstw i wyszukać aplikację Szybki dostęp.

1. Wybierz pozycję Edytuj ustawienia aplikacji w obszarze Szybki dostęp.

   

2. Wybierz pozycję Użytkownicy i grupy z menu bocznego.

3. Dodaj użytkowników i grupy zgodnie z potrzebami.

   • Aby uzyskać więcej informacji, zobacz Przypisywanie użytkowników i grup do aplikacji.

Łączenie zasad dostępu warunkowego

Zasady dostępu warunkowego można zastosować do aplikacji Szybki dostęp. Stosowanie zasad dostępu warunkowego zapewnia więcej opcji zarządzania dostępem do aplikacji, witryn i usług.

Tworzenie zasad dostępu warunkowego zostało szczegółowo omówione w temacie Jak utworzyć zasady dostępu warunkowego dla aplikacji dostępu prywatnego.

Włączanie Dostęp Prywatny Microsoft Entra

Po skonfigurowaniu aplikacji Szybki dostęp dodane zasoby prywatne, użytkownicy przypisani do aplikacji będą mogli włączyć profil dostępu prywatnego z obszaru Przekazywanie ruchu w obszarze Globalnego bezpiecznego dostępu. Profil można włączyć przed skonfigurowaniem szybkiego dostępu, ale bez skonfigurowanej aplikacji i profilu nie ma ruchu do przesyłania dalej. Aby dowiedzieć się, jak włączyć profil przekazywania ruchu prywatnego dostępu, zobacz Jak zarządzać profilem przekazywania ruchu prywatnego dostępu.

Następne kroki

• Dowiedz się więcej o profilach ruchu
• Konfigurowanie dostępu dla aplikacji