変更要約: SC-300 第3章を新規作成（ドメイン2: 認証方式(CBA/TAP/passkeys FIDO2/Authenticator/MFA/SSPR/Windows Hello/パスワード保護/Entra Kerberos)、Conditional Access(割当/制御/セッション/CAE/認証コンテキスト/protected actions/テンプレ/レポート専用/緊急用除外)、ID Protection(ユーザーリスク/サインインリスク/危険なworkload id/登録キャンペーン)、Global Secure Access(GSAクライアント/Entra Private Access ZTNA/Entra Internet Access SWG/Internet Access for M365/テナント制限)）。
3.4Global Secure Access
Global Secure Access クライアントの展開と、Microsoft Entra Private Access（社内アプリへの ZTNA）・Microsoft Entra Internet Access（インターネット/SaaS のセキュア Web ゲートウェイ・Microsoft 365 向け）を理解します。
Global Secure Access（GSA） は、Microsoft の Security Service Edge（SSE）です。ID を軸に、社内アプリとインターネット/SaaS への接続を、VPN に頼らず安全に仲介します。
3.4.1Entra Private Access（ZTNA）
Microsoft Entra Private Access は、社内アプリ（オンプレ/プライベート）へ VPN を使わず ID ベースで最小接続 する ZTNA です。Global Secure Access クライアント を端末に展開し、アプリ単位でアクセスを公開します（Application Proxy の後継/拡張的な位置づけで、Web 以外のプロトコルにも対応）。Conditional Access を適用できるため、「社内アプリにも明示的検証を効かせる」設計が可能です。「全社 VPN を ID ベースのアクセスへ置き換え」要件は Private Access です。
3.4.2Entra Internet Access（SWG）
Microsoft Entra Internet Access は、ユーザーのインターネット/SaaS 行きの通信を セキュア Web ゲートウェイ として検査・制御します。とくに Internet Access for Microsoft 365 は M365 トラフィックを最適化・保護し、テナント制限（tenant restrictions） で「許可された組織のテナントにしかサインインさせない」等の制御を実現します。Private Access（社内アプリ）と Internet Access（インターネット/SaaS）は送信先で使い分けます。
決め手：「社内アプリへ VPN なし ID ベース最小接続（Web 以外も）」＝Entra Private Access（ZTNA）。「インターネット/SaaS をセキュア Web ゲートウェイで検査」＝Entra Internet Access。「M365 トラフィック最適化＋テナント制限」＝Internet Access for Microsoft 365。端末には GSA クライアントを展開。
混同に注意：
①Private Access（送信先＝社内アプリ）と Internet Access（送信先＝インターネット/SaaS）を取り違えない。
②GSA は SSE だが Conditional Access と統合してこそゼロトラスト。
③Private Access は Application Proxy の発展形でプロトコルが広い。
3.4.3この節のまとめ
- Global Secure Access＝Microsoft の SSE。端末に GSA クライアントを展開
- Private Access＝社内アプリへの ZTNA(VPN レス・Web 以外も)。Internet Access＝インターネット/SaaS の SWG
- Internet Access for M365＝M365 最適化＋テナント制限。送信先で使い分け、CA と統合
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 社内アプリ（オンプレ・Web 以外のプロトコル含む）へのアクセスを、全社 VPN を廃して ID ベースの最小接続に置き換えたい。最適なのはどれですか？
Q2. ユーザーのインターネット/SaaS 行きの通信を、セキュア Web ゲートウェイとして検査・制御したい。最適なのはどれですか？
Q3. 従業員が会社が承認していない他組織のテナントにサインインするのを防ぎたい。最適なのはどれですか？
Q4. Global Secure Access をエンドポイントで機能させるために必要なものはどれですか？
Q5. Private Access と Internet Access の使い分けとして正しいのはどれですか？