SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场entra-global-secure-access

entra-global-secure-access

安全与审计

查看项目

更新于 10-16 02:11

技能介绍

用途

本技能为 Microsoft Entra Global Secure Access（GSA）提供指导。GSA 是微软通过 Entra 控制平面交付的安全服务边缘（SSE）平台，包含两个共享同一客户端、同一策略面和同一身份模型的产品：

  • Entra Internet Access：面向互联网和 Microsoft 365 流量的安全 Web 网关（SWG），对网络流应用条件访问。
  • Entra Private Access：替代传统 VPN 的 ZTNA，通过 Entra 认证的连接器前置本地和 IaaS 应用（Entra App Proxy 的演进）。

适用场景包括：用 ZTNA 替代 VPN、对出站互联网流量应用条件访问、为来自 GSA 客户端的 M365 登录恢复源 IP，以及为远程工作者提供对非 HTTPS 的 TCP/UDP 应用的访问。

不适用于：通用条件访问策略编写（conditional-access-mfa）、混合网络设计（azure-network-security-design）或竞争性 SSE 产品。

主要能力

流量转发配置文件

配置文件 捕获的流量 用例
Microsoft 配置文件 Entra ID + M365 流量 源 IP 恢复、对 M365 网络应用条件访问
Internet Access 配置文件 所有互联网出口 SWG、Web 过滤、对互联网流量应用条件访问
Private Access 配置文件 定义的私有应用（本地、IaaS） ZTNA、VPN 替代

每个配置文件分配给用户/组；用户可同时处于三个配置文件中。

使用方式

  • 从 Microsoft 配置文件开始，即使尚未购买完整 SSE。它随 Entra ID P1/P2 提供（按区域处于预览/正式发布状态）。收益包括：源 IP 恢复使“要求受信任网络”的条件访问策略对使用 GSA 客户端的远程用户真正生效；条件访问中的合规网络检查仅对通过 GSA 的请求满足条件。
  • 在小型组（50–200 用户）上试点 GSA 客户端，验证：访问主要应用（M365、内部 HR、SAP）的延迟不超过基线 + 30 ms；强制门户（酒店/机场 Wi-Fi）仍可用；与现有 VPN 客户端、第三方端点防护和个人防火墙的冲突检查。
  • Private Access 与 VPN 并行推出，而非一次性切换。Quick Access 是“易于迁移”的应用：每个站点一个通配符 FQDN/IP 段，由 Entra 预认证，用于遗留后端服务。按应用访问则为每个服务定义一个 Entra 应用，明确 FQDN/端口/协议和条件访问分配，用于高价值应用（SAP、文件共享、RDP 跳板机）。
  • 按区域/站点以 HA 对部署 Private Access 连接器（与 App Proxy 连接器相同模型）。
  • Internet Access 先以仅监控模式运行 14 天，在开启 Web 类别阻止前建立目标基线。仅对选定类别应用 TLS 检查（不要违反当地法律破坏银行/医疗类流量）。
  • 网络上的条件访问：编写包含“所有合规网络位置”的条件访问策略，结合设备合规 + 用户风险，形成真正的“零信任”姿态。
  • 分支/站点连接：对于办公地点，将会话路由器/SD-WAN 的 IPSec 隧道终止到 GSA，使访客设备和 IoT 无需客户端也能被过滤。
  • 迁移离开 VPN：当 80% 以上用户在目标应用集上稳定使用 GSA Private Access 后，退役 VPN 集中器。保留一个用于紧急访问和第三方管理的设备。

适用场景

  • 用 ZTNA 替代 VPN。
  • 对出站互联网流量应用条件访问。
  • 为来自 GSA 客户端的 M365 登录恢复源 IP。
  • 为远程工作者提供对非 HTTPS 的 TCP/UDP 应用的访问。
  • 分支站点通过 IPSec 接入 GSA。

限制与护栏

  • GSA 客户端与第三方 SSE/VPN 客户端共存性差，网络栈钩子会冲突。每台机器只选一个隧道；大规模推出前先试点。
  • 源 IP 恢复仅对通过 Microsoft 配置文件的流量有效。直接访问 M365（禁用拆分隧道）会绕过 GSA，导致条件访问“受信任网络”失败。
  • 不要在第一天就对 Internet Access 执行全部拒绝。先建立基线；财务团队会访问你从未见过的冷门 SEC URL。
  • TLS 检查需要分发 CA。若信任存储中未安装 Microsoft CA，所有 HTTPS 站点都会中断。通过 Intune/MDM 规划推出。
  • Private Access 连接器仅需出站 443，无需入站 NAT/防火墙孔洞。
  • Quick Access 是过渡手段而非终点。宽泛通配符意味着过度信任，应迁移到按应用访问。
  • 许可分段：Microsoft 配置文件功能随 Entra P1/P2 捆绑；Internet Access 和 Private Access 是单独的附加组件。确定范围前确认 SKU。

常见反模式

  • “一次性 VPN 切换”：连接器配置错误会影响 30,000 用户。应并行运行。
  • “永远对所有内容使用 Quick Access”：通配符信任 = 名义上的 ZTNA。
  • “为修复延迟而允许 M365 拆分隧道例外”：条件访问无法看到流量，“受信任网络”条件静默为假。
  • “对银行/医疗类别应用 TLS 检查”：在某些司法管辖区违反法规。应排除。
  • “第一天就以阻止模式部署 Internet Access”：意外 SaaS 依赖导致全局中断。
  • “GSA 客户端 + 持久始终在线 VPN 共存”：路由冲突，客户端自相争斗。只选一个隧道。
  • “连接器部署在单一可用区”：站点故障 = 应用故障。始终跨可用区 HA 对。

示例提示

  • 为 30,000 用户推出 GSA Microsoft 配置文件，实现源 IP 恢复和条件访问受信任网络策略。
  • 用 Entra Private Access 替代 Cisco AnyConnect VPN，覆盖 12 个内部应用和 3 个跳板机。
  • 为 4 个区域设计 Private Access 连接器，包含 HA 和容量规划。
  • 为财务部门以监控模式试点 Internet Access；识别可阻止的 Web 类别与允许列表。
  • 规划通过 Intune 分发 Microsoft CA 的 TLS 检查推出。
  • 构建条件访问策略：对特权用户要求合规设备 + 合规网络。
  • 从 Meraki 边缘到 GSA 的分支站点 IPSec 设计与路由。

Microsoft Learn 参考

  • 概述：https://learn.microsoft.com/entra/global-secure-access/overview-what-is-global-secure-access
  • Internet Access：https://learn.microsoft.com/entra/global-secure-access/concept-internet-access
  • Private Access：https://learn.microsoft.com/entra/global-secure-access/concept-private-access
  • 流量转发配置文件：https://learn.microsoft.com/entra/global-secure-access/concept-traffic-forwarding
  • GSA 客户端：https://learn.microsoft.com/entra/global-secure-access/how-to-install-windows-client
  • 源 IP 恢复：https://learn.microsoft.com/entra/global-secure-access/how-to-source-ip-restoration
  • 网络条件访问：https://learn.microsoft.com/entra/global-secure-access/how-to-compliant-network
  • 连接器：https://learn.microsoft.com/entra/global-secure-access/how-to-configure-connectors
  • 分支（IPSec）：https://learn.microsoft.com/entra/global-secure-access/concept-remote-network-connectivity
  • 许可：https://learn.microsoft.com/entra/global-secure-access/overview-what-is-global-secure-access#licensing