Entra Private AccessはVPNの弱点（装置の脆弱性、ラテラルムーブメント、パッチ管理）を解消するZTNAサービスです。VPN装置の更新時期に合わせて移行を検討しましょう。
Entra Private Accessとは
Microsoft Entra Private Accessは、VPNを使わずに社内のプライベートリソース（オンプレミスのアプリケーション、ファイルサーバー等）にゼロトラストでアクセスするサービスです。Microsoft Security Service Edge（SSE）ソリューションの一部として提供されています。
FortiGateのSSL-VPN廃止予定（FortiOS 7.6.x〜）やVPN装置の脆弱性を突いた攻撃の増加を受け、VPNに代わるリモートアクセス手段として注目されています。
VPNとの違い
| 項目 | 従来のVPN | Entra Private Access（ZTNA） |
|---|---|---|
| 接続モデル | ネットワーク全体に接続 | アプリケーション単位で接続 |
| 認証 | 接続時のみ認証 | アクセスごとに検証（ゼロトラスト） |
| 攻撃対象面 | VPN装置がインターネットに露出 | 装置なし（クラウドサービス） |
| ラテラルムーブメント | 接続後は社内NW内を移動可能 | 許可されたアプリのみアクセス |
| 条件付きアクセス | 連携困難 | Entra IDの条件付きアクセスと統合 |
| パッチ管理 | VPN装置のパッチ管理が必要 | Microsoftがクラウド側で管理 |
Microsoft 365の設計・移行・運用は、ライセンス構成とセキュリティ設定の組み合わせで運用負荷が大きく変わります。設定の妥当性から見直すご支援が可能です。
Entra ID コンサルティング を見る →アーキテクチャ
- Global Secure Access Client：ユーザーのPCにインストールするクライアントアプリ
- Microsoftのグローバルネットワーク：クライアントからMicrosoftの最寄りPoPに接続
- Private Accessコネクタ：社内ネットワークに設置するコネクタ。社内リソースへのアクセスを中継
- Entra IDの条件付きアクセス：ユーザーID、デバイスの状態、場所等に基づくアクセス制御
VPN装置をインターネットに露出させる必要がなく、コネクタは社内からMicrosoftへのアウトバウンド接続のみで動作します。
ユースケース
- オンプレミスのファイルサーバーやイントラネットへのリモートアクセス
- 社内Webアプリケーション（勤怠システム、ERPのWeb画面等）へのアクセス
- RDP/SSHによるサーバー管理のリモートアクセス
- VPN装置のリプレイス・廃止
導入の進め方
| Step | 作業 | 期間目安 |
|---|---|---|
| 1. 対象アプリの棚卸し | 現在VPN経由でアクセスしているオンプレミスのアプリ・共有を洗い出す | 1〜2週間 |
| 2. コネクタの配置 | 社内ネットワークにプライベートネットワークコネクタを導入し、冗長化する | 1週間 |
| 3. アプリ単位の公開設定 | アプリごとにアクセスを許可するユーザー・グループを定義する | 1〜2週間 |
| 4. 条件付きアクセスの適用 | MFA、準拠デバイス、場所の条件を設定する | 1週間 |
| 5. パイロットと切替 | 情シスから順に切り替え、VPNと並行運用したうえで停止する | 1〜2か月 |
コネクタは必ず複数台で冗長化してください。1台構成だとコネクタが停止した時点で対象アプリへのアクセスがすべて止まります。
導入時の注意点
- すべてのアプリが対象にできるわけではない：独自プロトコルを使うレガシーアプリは検証が必要です。VPNを完全に廃止できるかは棚卸しの結果次第です
- ライセンス要件を確認する：Entra Private AccessはMicrosoft Entra Suiteなどの上位ライセンスに含まれます。既存のライセンスで使えるとは限りません
- 並行運用期間を設ける：VPNをいきなり止めない。切替漏れのアプリが後から出てきます
- 端末側の要件：クライアントアプリの配布が必要です。Intuneで一括展開できるよう準備しておきます
よくある質問
Entra Private Accessとは何ですか？
VPNを使わずに社内のプライベートリソースへ安全にアクセスさせるMicrosoftのZTNA（ゼロトラストネットワークアクセス）サービスです。Entra IDの条件付きアクセスと統合され、アプリケーション単位でアクセスを制御できます。
VPNと何が違いますか？
VPNは接続すると社内ネットワーク全体にアクセスできてしまいますが、Entra Private Accessはアプリケーション単位で許可するため、侵害時の横展開（ラテラルムーブメント）を抑えられます。接続のたびにIDとデバイスの状態を検証する点も違いです。
VPNを完全に廃止できますか？
アプリによります。独自プロトコルを使うレガシーアプリは対応可否の検証が必要なため、まず現在VPN経由でアクセスしているアプリを棚卸ししてください。移行できないものが残る場合は、VPNの利用範囲を縮小する形になります。
導入に特別なライセンスは必要ですか？
必要です。Microsoft Entra Suiteなどの上位ライセンスに含まれるため、Microsoft 365 Business Premiumだけでは利用できません。導入検討時にライセンス要件を必ず確認してください。
まとめ
Entra Private AccessはVPNの弱点（装置の脆弱性、ラテラルムーブメント、パッチ管理）を解消するZTNAサービスです。VPN装置の更新時期に合わせて移行を検討しましょう。