mcpField
E
entra-global-secure-access

entra-global-secure-access

github.com/vinayaklatthe安全17848 次安装19 周前更新
代码仓库

关于 entra-global-secure-access

面向采用 SSE、ZTNA 或基于网络的条件访问的团队，提供 Microsoft Entra Global Secure Access 规划指导，涵盖流量配置、试点迁移、连接器设计和部署注意事项。

主要功能

  1. 01介绍 Microsoft、Internet 与 Private Access 配置文件
  2. 02规划 GSA 客户端试点及共存检查
  3. 03设计 Private Access 应用和连接器部署
  4. 04分阶段监控并启用 Internet Access 过滤
  5. 05对网络流量应用条件访问

适用场景

  1. 01为内部应用替换 VPN 访问
  2. 02恢复 Microsoft 365 登录的源 IP
  3. 03在强制过滤前试点网页筛选
  4. 04规划通过 GSA 连接分支站点

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill entra-global-secure-access

安装后在 Claude Code 中输入/entra-global-secure-access确认已加载。

详细介绍

Microsoft Entra Global Secure Access

Global Secure Access（GSA）是 Microsoft 通过 Entra 控制平面提供的安全服务边缘（SSE）平台。它包含两款产品，共用一个客户端、一套策略界面和一个身份模型：

  • Entra Internet Access — 安全 Web 网关（SWG），用于互联网和 Microsoft 365 流量，并对网络流应用条件访问。
  • Entra Private Access — 用于取代传统 VPN 的 ZTNA，通过经过 Entra 身份验证的连接器连接本地和 IaaS 应用（是 Entra App Proxy 的演进）。

适用场景

用 ZTNA 取代 VPN、对出站互联网流量应用条件访问、为来自 GSA 客户端的 M365 登录恢复源 IP，或为远程员工提供对非 HTTPS TCP/UDP 应用的访问。

以下场景请勿使用此技能：通用条件访问策略编写（conditional-access-mfa）、混合网络设计（azure-network-security-design）或其他竞品 SSE 产品。

流量转发配置文件

配置文件捕获的流量使用场景
Microsoft profileEntra ID + M365 流量恢复源 IP、对 M365 网络流量应用条件访问
Internet Access profile所有互联网出口流量SWG、Web 筛选、对互联网流量应用条件访问
Private Access profile定义的专用应用（本地、IaaS）ZTNA、取代 VPN

每个配置文件都分配给用户或组；用户可以同时使用全部三个配置文件。

方法

  1. 从 Microsoft profile 开始，即使目前还不打算购买完整的 SSE。该配置文件包含在 Entra ID P1/P2 中（各地区处于预览版或正式发布状态）。优势：

    • 恢复源 IP → 对 GSA 客户端的远程用户，「要求可信网络」的条件访问策略才能真正生效。
    • 条件访问中的合规网络检查：只有通过 GSA 的请求才满足条件。

  2. 在小范围用户组（50–200 名用户）中试点 GSA 客户端。验证：

    • 访问常用应用（M365、内部 HR、SAP）的延迟 ≤ 基准值 + 30 ms。
    • 强制门户仍可正常使用（酒店/机场 Wi-Fi）。
    • 检查与现有 VPN 客户端、第三方终端防护和个人防火墙是否冲突。

  3. 将 Private Access 与 VPN 并行推出，不要一次性切换。

    • Quick Access = 「轻松迁移」应用：为每个站点配置一个通配符 FQDN/IP 网段，由 Entra 预先进行身份验证。用于传统后端服务。
    • 按应用访问 = 为每项服务定义一个 Entra 应用，明确指定 FQDN/端口/协议并分配条件访问策略。用于高价值应用（SAP、文件共享、RDP 跳板主机）。
    • 在每个区域/站点部署成对的 Private Access connectors（与 App Proxy 连接器采用相同模式）。

  4. Internet Access — 先以仅监视模式运行 14 天。在启用 Web 类别阻止前，先建立目标网站基线。仅对选定类别应用 TLS 检查（遵守当地法律，不要影响银行/医疗服务）。

  5. 网络条件访问 — 编写包含 All Compliant Network locations 的条件访问策略。结合设备合规性和用户风险，构建真正的「零信任」态势，而不是仅仅「换了新品牌的 VPN」。

  6. 分支机构/站点连接 — 对于办公地点，从站点路由器/SD-WAN 向 GSA 终止 IPSec 隧道，以便在没有客户端的情况下仍能筛选访客设备和 IoT 设备。

  7. 从 VPN 迁移 — 当 80% 以上的用户通过 GSA Private Access 稳定访问目标应用集后，停用 VPN 集中器。保留一个集中器，用于紧急访问和由第三方管理的设备。

防护措施

  • GSA 客户端与第三方 SSE/VPN 客户端共存时容易出现问题。 网络堆栈钩子会发生冲突。 每台机器只选用一个隧道；大规模部署前先试点。
  • 源 IP 还原仅适用于经由 Microsoft 配置文件的流量。 直接访问 M365（禁用拆分隧道）会绕过 GSA → CA 的“受信任网络”检查失败。
  • 第一天不要对 Internet Access 设置全拒绝。 先建立基线；财务团队会访问你从未见过的冷门 SEC URL。
  • TLS 检查需要分发 CA。 如果信任存储中未安装 Microsoft CA，所有 HTTPS 网站都会无法访问。请规划通过 Intune/MDM 部署。
  • Private Access 连接器只需要出站 443。 不需要入站 NAT/防火墙开孔——这正是它的意义所在。
  • Quick Access 是过渡方案，不是最终目标。 宽泛的通配符意味着过度信任。请迁移到按应用访问。
  • 许可按功能划分。 Microsoft 配置文件功能与 Entra P1/P2 捆绑；Internet Access 和 Private Access 是单独的附加项。确定范围前请确认 SKU。

常见反模式

  • “VPN 切换日一次性切换”——连接器配置错误会影响 30,000 名用户。应并行运行。
  • “永远用 Quick Access 管一切”——通配符信任意味着 ZTNA 只是名义上的。
  • “为解决延迟而允许 M365 拆分隧道例外”——此时 CA 无法查看流量，“受信任网络”条件会悄然变为 false。
  • “对银行/医疗保健类别进行 TLS 检查”——在某些司法管辖区会违反法规。请排除这些类别。
  • “第一天就以阻止模式部署 Internet Access”——意外依赖的 SaaS 服务可能导致全面中断。
  • “GSA 客户端与持久的始终开启 VPN 共存”——路由冲突；客户端会互相争用。只选用一个隧道。
  • “连接器只部署在一个 AZ”——站点故障会导致应用故障。务必跨 AZ 部署 HA 对。

示例提示词

  • Roll out GSA Microsoft profile to 30,000 users for source IP restoration and CA trusted-network policies.
  • Replace Cisco AnyConnect VPN with Entra Private Access for 12 internal apps and 3 jump hosts.
  • Design Private Access connectors for 4 regions with HA and capacity sizing.
  • Pilot Internet Access in monitor mode for finance; identify blockable web categories vs allow-list.
  • Plan TLS inspection rollout with Microsoft CA distribution via Intune.
  • Build Conditional Access policy: require compliant device + compliant network for privileged users.
  • Branch-site IPSec to GSA from a Meraki edge — design and routing.

Microsoft Learn

评论

支持 Markdown