Entra Internet Access & Private Access Entra Internet Access & Private Access

Security Service Edge mit Microsoft Entra Internet Access und Microsoft Entra Private Access – identitätszentriertes Netzwerk-Sicherheitsmodell. Security Service Edge with Microsoft Entra Internet Access and Microsoft Entra Private Access – identity-centric network security model.

Überblick – Security Service EdgeOverview – Security Service Edge

Global Secure Access (GSA) ist Microsofts Security Service Edge (SSE) Lösung, die in Microsoft Entra ID integriert ist. Sie ersetzt klassische VPN- und Perimeter-basierte Modelle durch ein identitäts- und kontextbasiertes Netzwerkzugriffsmodell. Der Client leitet Datenverkehr über die Microsoft Global Network Edge-PoPs, wo Policies durchgesetzt werden. Global Secure Access (GSA) is Microsoft's Security Service Edge (SSE) solution integrated into Microsoft Entra ID. It replaces traditional VPN and perimeter-based models with an identity- and context-based network access model. The client routes traffic through Microsoft Global Network Edge PoPs where policies are enforced.

Architektur und KomponentenArchitecture and components

Traffic Forwarding ProfileTraffic forwarding profiles

Traffic Forwarding Profile bestimmen, welcher Datenverkehr vom GSA-Client abgefangen und umgeleitet wird. Es gibt drei vordefinierte Profile, die unabhängig aktiviert werden können. Traffic forwarding profiles determine which network traffic is intercepted and redirected by the GSA client. There are three predefined profiles that can be activated independently.

Microsoft Entra Private AccessMicrosoft Entra Private Access

Entra Private Access ist ein identitätsbasierter VPN-Ersatz für den Zugriff auf On-Premises- und private Cloud-Applikationen. Anders als ein klassisches VPN gewährt Private Access keinen Netzwerk-Zugriff, sondern nur App-spezifischen Zugriff, der durch Conditional Access abgesichert ist. Entra Private Access is an identity-based VPN replacement for access to on-premises and private cloud applications. Unlike a classical VPN, Private Access does not grant network access but only app-specific access secured by Conditional Access.

Connector-AnforderungenConnector requirements

Microsoft Entra Internet AccessMicrosoft Entra Internet Access

Entra Internet Access ist ein Secure Web Gateway (SWG), das Internet-Traffic über das Microsoft-Edge-Netzwerk leitet. Es bietet Webkategoriefilterung, FQDN-basierte Filterung, TLS-Inspektion und Integration mit dem Conditional-Access-Signalfluss. Entra Internet Access is a Secure Web Gateway (SWG) that routes internet traffic through the Microsoft edge network. It provides web category filtering, FQDN-based filtering, TLS inspection, and integration with the Conditional Access signal flow.

Microsoft 365 Traffic ProfilMicrosoft 365 traffic profile

Das M365-Profil ist das einfachste Einsteigsprofil. Es leitet nur Microsoft 365-Datenverkehr durch das GSA-Netzwerk und bietet dadurch Source IP Restoration: Entra CA sieht die tatsächliche Client-IP statt einer anonymisierten Verbindung. The M365 profile is the simplest entry profile. It routes only Microsoft 365 traffic through the GSA network and thereby provides Source IP Restoration: Entra CA sees the actual client IP instead of an anonymized connection.

Conditional Access IntegrationConditional Access integration

GSA ist tief mit Conditional Access integriert. Der Netzwerkstandort des Clients (via GSA) wird als CA-Signal verwendet, und CA-Policies können den Netzwerkzustand als Bedingung einschließen. GSA is deeply integrated with Conditional Access. The network location of the client (via GSA) is used as a CA signal, and CA policies can include network state as a condition.

Deployment-SchritteDeployment steps

Traffic-Protokolle und MonitoringTraffic logs and monitoring

GSA erzeugt Network Access Traffic Logs, die per Diagnoseeinstellung nach Log Analytics exportiert werden können. Sie enthalten Informationen über alle durch den Tunnel geleiteten Verbindungen. GSA generates Network Access Traffic Logs that can be exported to Log Analytics via diagnostic settings. They contain information about all connections routed through the tunnel.

NetworkAccessTrafficLogs
| where TimeGenerated > ago(24h)
| summarize Connections = count() by DestinationFqdn, DestinationPort
| sort by Connections desc
| take 30

NetworkAccessTrafficLogs
| where TimeGenerated > ago(24h)
| where Action == "block"
| summarize BlockedCount = count() by UserPrincipalName, DestinationFqdn, PolicyName
| sort by BlockedCount desc

Remote Networks (Branch Office Verbindungen)Remote networks (branch office connections)

Neben dem Client-Agent unterstützt Global Secure Access auch Remote-Network-Verbindungen für Standorte oder SD-WAN-Geräte. Dabei wird ein IPSec/BGP-Tunnel von einem physischen oder virtuellen Netzwerkgerät zur Microsoft Edge-Infrastruktur aufgebaut. In addition to the client agent, Global Secure Access also supports remote network connections for sites or SD-WAN devices. This establishes an IPSec/BGP tunnel from a physical or virtual network device to the Microsoft edge infrastructure.

ZTNA vs. VPN – VergleichZTNA vs. VPN – comparison

Troubleshooting Global Secure AccessTroubleshooting Global Secure Access

# Global Secure Access Client Status
Get-Service -Name "Global Secure Access Client"
Get-EventLog -LogName "Application" -Source "GlobalSecureAccess*" -Newest 20

# Connector Health per Graph API
GET https://graph.microsoft.com/beta/networkAccess/connectivity/branches
GET https://graph.microsoft.com/beta/networkAccess/connectivity/remoteNetworks

Web-Filterung und SicherheitsprofileWeb filtering and security profiles

Sicherheitsprofile in Entra Internet Access definieren, welche Web-Kategorien, FQDNs oder Threat Intelligence-basierte Sperrlisten für eine Benutzergruppe gelten. Unterschiedliche Profile können verschiedenen Entra-ID-Gruppen zugewiesen werden. Security profiles in Entra Internet Access define which web categories, FQDNs, or threat intelligence-based block lists apply to a user group. Different profiles can be assigned to different Entra ID groups.

GSA Graph API EndpunkteGSA Graph API endpoints

# Traffic Forwarding Profile
GET https://graph.microsoft.com/beta/networkAccess/forwardingProfiles

# Private Access Apps (Enterprise App Segments)
GET https://graph.microsoft.com/beta/applications?$filter=tags/any(t:t eq 'PrivateAccessApplication')

# Connector Groups und Connector Health
GET https://graph.microsoft.com/beta/onPremisesPublishingProfiles/applicationProxy/connectorGroups
GET https://graph.microsoft.com/beta/onPremisesPublishingProfiles/applicationProxy/connectors

# Network Access Tenanteinstellungen
GET https://graph.microsoft.com/beta/networkAccess/settings

GSA-Diagnose & TroubleshootingGSA Diagnostics & Troubleshooting

Der Global Secure Access Client bietet ein integriertes Diagnose-Dashboard und Ereignisprotokollierung für die Fehlerbehebung.The Global Secure Access client provides a built-in diagnostics dashboard and event logging for troubleshooting.

Global Secure Access ClientGlobal Secure Access client

Der Global Secure Access (GSA) Client ist ein leichtgewichtiger Agent, der auf Windows-Endgeräten installiert wird und den Netzwerktraffic an die Microsoft-SSE-Infrastruktur weiterleitet. Der Client ist für Entra Joined und Hybrid Joined Geräte verfügbar. The Global Secure Access (GSA) Client is a lightweight agent installed on Windows endpoints that forwards network traffic to Microsoft's SSE infrastructure. The client is available for Entra Joined and Hybrid Joined devices.

# GSA Client Status prüfen (auf dem Endgerät)
# Check GSA client status (on the endpoint)
Get-Service -Name GlobalSecureAccessTunnelService | Select-Object Status, StartType

# Client-Logs abrufen
Get-WinEvent -LogName "Microsoft-Windows-GlobalSecureAccess/Operational" -MaxEvents 50

Global Secure Access DashboardGlobal Secure Access dashboard

Das Global Secure Access Dashboard im Entra Admin Center bietet einen Überblick über Traffic-Volumen, Richtlinientreffer, Gerätezustand und Sicherheitswarnungen. Es ist der zentrale Ausgangspunkt für Monitoring und Troubleshooting. The Global Secure Access Dashboard in the Entra Admin Center provides an overview of traffic volume, policy hits, device health, and security alerts. It is the central starting point for monitoring and troubleshooting.

Private Access – PowerShell-ReferenzPrivate Access – PowerShell Reference

# Alle Enterprise App Connectors auflisten
Get-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $spId

# Private Access Segmente über Graph
$params = @{
    name = "Intern-SSH"
    destinationType = "ip"
    destinations = @(@{ value = "10.0.0.0/8"; ports = @("22"); protocol = "tcp" })
}
New-MgNetworkAccessFilteringPolicyRule -FilteringPolicyId $policyId -BodyParameter $params

# Connector-Gruppen auflisten
Get-MgOnPremisesPublishingProfile -OnPremisesPublishingProfileId "applicationProxy" |
    Select-Object -ExpandProperty ConnectorGroups |
    Format-Table Id, Name, ConnectorGroupType

Sicherheitsprofile & WeiterleitungsrichtlinienSecurity Profiles & Forwarding Policies

Sicherheitsprofile bündeln Filterrichtlinien und werden Benutzergruppen oder Geräten zugewiesen.Security profiles bundle filtering policies and are assigned to user groups or devices.

Verwandte SeitenRelated pages

• Conditional AccessConditional Access
• GeräteDevices
• Monitoring & AuditMonitoring & Audit
• Auth-ProtokolleAuthentication Protocols