Microsoft 365へのアクセスを専用の出口IPで保護する

ノート

Zero Trust Enterpriseプランでのみ利用可能です。

このチュートリアルでは、Cloudflare Gatewayの専用出口IPを使用してMicrosoft 365アプリケーションへのアクセスを保護する方法について説明します。

Microsoft Entra IDの名前付きロケーションを、専用出口IPに関連付けられたロケーションにマッピングできます。トラフィックはこれらのIPアドレスでCloudflareから出ていきます。ユーザーがこれらのIPなしでMicrosoftアプリケーションにアクセスしようとすると、Entra IDはアクセスをブロックします。

始める前に

次のことを確認してください：

• Cloudflareで、専用出口IPを持つZero Trust Enterpriseプラン
• Microsoft 365で、Microsoft Entra ID ↗で管理されている組織

Cloudflare Gatewayで出口ポリシーを作成する

1. Zero Trust ↗に移動し、Gateway > Egress Policiesを選択します。

2. Add a policyを選択します。

3. ポリシーに名前を付け、Microsoft Entra IDでユーザーが構成されているかを確認する条件を追加します。たとえば、アイデンティティ条件を確認できます：

   Selector	Operator	Value
   User Group Names	in	Sales and Marketing, Retail, U.S. Sales

   さらに、デバイスポスチャ条件を確認できます：

   Selector	Operator	Value	Logic
   Passed Device Posture Check	is	CrowdStrike Overall ZTA score (Crowdstrike s2s)	And
   Passed Device Posture Check	is	AppCheckMac - Required Software (Application)

4. Use dedicated Cloudflare egress IPsを有効にします。希望するIPv4およびIPv6アドレスを選択します。たとえば：

   Primary IPv4 address	IPv6 address
   203.0.113.0	2001:db8::/32

Microsoft Entra IDで名前付きIP範囲ロケーションを作成する

1. Microsoft Azureポータル ↗にログインします。
2. サイドバーでMicrosoft Entra IDを選択します。
3. Security > Named locationsに移動します。
4. IP ranges locationを選択します。
5. ロケーションに名前を付け、Cloudflareの専用出口IPポリシーで使用されるIPアドレスを追加します。
6. Uploadを選択します。

この名前付きロケーションは、専用出口IPのロケーションに対応しています。

Microsoft Entra IDで条件付きアクセスポリシーを作成する

1. Protectに移動し、Conditional Accessを選択します。
2. Create new policyを選択します。
3. アクセスを制限したいEntra IDユーザーと、保護したいトラフィック、アプリケーション、またはアクションを構成します。
4. ConditionsでLocationsを選択します。Configureを有効にします。
5. IncludeでAny locationを選択します。Excludeで作成した名前付きロケーションを選択します。
6. Access controlsでGrantに移動します。Block accessを有効にします。

このポリシーは、専用出口IPを使用していない限り、選択したユーザーのアクセスをすべてのロケーションからブロックします。

ポリシーをテストする

1. WARPを使用して、ユーザーのアカウントでZero Trust組織にサインインします。
2. 組織内の任意のMicrosoft 365アプリに移動します。Entra IDはアクセスを許可するはずです。
3. WARPをZero Trust組織から切断します。Entra IDは任意のMicrosoft 365アプリケーションへのアクセスをブロックするはずです。