はじめに
GSA インターネットアクセスでは、各機能は ポリシー を作成することで定義を行います。
ポリシーを作っただけでは、まだ 機能は適用されません。
機能を利用するためには、プロファイル に対して ポリシーをリンクするのですが、この仕組みや手順を理解しておく必要があります。やってみるまでは分かりづらいのですが、慣れてしまえば簡単です。頑張って取り組んで行きましょう。
この記事は、GSA インターネットアクセス を構成する人のために必要な プロファイル についての解説をしています。
そもそも、GSA インターネットアクセスがどのようなものなのかは、以下の私の記事を参照してください。
[GSA:Internet] Microsoft Entra インターネット アクセス を構成する
https://qiita.com/carol0226/items/ae2bfdb209170fb41bae
この記事で分かること
この記事では、GSA インターネットアクセスにおける
- ベースラインプロファイル（Baseline profile）
- セキュリティプロファイル（Security profile)
- 条件付きアクセスとの関係
について、実際の UI を使いながら分かりやすく解説します。
２種類のプロファイルの違い
プロファイル ですが、大きく２種類あります。
割り当てる対象によって、① と ② のいずれかの方法を選択して利用します。
| 種類 | 適用対象 | 作成数 | 適用方法 |
|---|---|---|---|
| ① ベースラインプロファイル Baseline Profile |
全ユーザー | １つ | リンクするだけで適用 |
| ② セキュリティプロファイル Security Profile |
任意のユーザー | 複数可 | 条件付きアクセス で割り当てる |
① ベースラインプロファイル（全ユーザー向けの基本設定）
全利用者に適用するためのプロファイルです。
ポリシーをリンクするだけで、適用されます。
② セキュリティプロファイル（用途別に作成するプロファイル）
セキュリティプロファイルは、目的ごとに名前を付けて、複数作成しておくことができます。
このプロファイル（複数種類）に対して、用途に応じて ポリシー をリンクします。
これにより、ポリシーの組み合わせ を管理することができるようになっています。
ポリシーを機能させるためには、さらに 条件付きアクセス で 対象となる アプリ、ユーザー、デバイスなどの条件を指定して、利用するセッションとして、セキュリティプロファイル を選択する必要があります。
このように、条件付きアクセスで対象となる利用者に対して、セキュリティプロファイル を割り当て、それにリンクしている ポリシー を適用させる仕組みになっています。
注意 (2026/2/8 時点)
クラウド ファイアウォール ポリシー、脅威に対する保護ポリシー、Copilot Studio に適用するポリシー は、セキュリティプロファイルには対応していないため、ベースラインプロファイル を利用する必要があります。
| ポリシー種別 | ベースライン プロファイル |
セキュリティ プロファイル |
|---|---|---|
| Web コンテンツ制限ポリシー | ○ | ○ |
| TLS 検査ポリシー | ○ | ○ |
| 脅威インテリジェンス ポリシー | ○ | ○ |
| ファイル ポリシー | ○ | ○ |
| プロンプト ポリシー | ○ | ○ |
| Netskope DLP ポリシー | ○ | ○ |
| クラウド ファイアウォール ポリシー | ○ | × |
| 脅威に対する保護ポリシー | ○ | × |
| Copilot Studio に適用するポリシー | ○ | × |
Netskope DLP ポリシーとは？
上記の選択肢にある「既存の Netskope DLP ポリシー」とは何でしょうか？
調べてみると、GSA を Netskope と連携した際に利用することができるポリシーのようです。
公開情報：グローバル セキュア アクセスと Netskope 統合を使用してカスタムデータ損失防止 (DLP) プロファイルを作成する
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-full-data-loss-protection?wt.mc_id=MVP_407731
Netskope との統合が前提であるため、この記事では割愛していますが、プロファイルに割り当てて利用できるという点は共通です。
① ベースラインプロファイル
ベースラインプロファイルの既定値
下図のように、初期状態では All websites のみが存在します。状態は disabled になっています。
※テストなどを行って、元の状態が分からなくなったら、この画面の内容を見て合わせましょう。
ベースラインプロファイル に ポリシーをリンクする画面
ボタン（＋ポリシーのリンク）を押すと、リストから リンクさせたいポリシーを選択していきます。
ベースラインプロファイルに ポリシーをリンクした状態
必要な各種ポリシーをリンクした状態の画面です。
プロファイルの一覧画面から見た状態
以上の関連付けを行うことで ポリシーが GSA インターネットアクセスの全利用者 に対して適用されます。
② セキュリティプロファイル
セキュリティプロファイルの場合は、２段階の手順が必要です。
ベースラインプロファイルの場合は、割り当てるだけで動作するため、この点が違います。
②-1. プロファイルを作成して、ポリシーをリンクする
②-2. 条件付きアクセス で、セキュリティプロファイルを割り当てる
②-1. プロファイルを作成して、ポリシーをリンクする
セキュリティプロファイルの既定値
初めは 何もありません。
セキュリティプロファイル に ポリシーをリンクする画面
ボタン（＋ポリシーのリンク）を押すと、リストから リンクさせたいポリシーを選択していきます。
複数のポリシーを セキュリティプロファイル にリンクした状態のキャプチャです。
②-2. 条件付きアクセス で、セキュリティプロファイルを割り当てる
セキュリティプロファイルを作っただけでは、機能しません。
続けて、条件付きアクセスで セッションポリシーを作成して紐づけます。
割り当て では、セキュリティプロファイル を適用させる対象のユーザーを指定します。
ターゲットリソース では、グローバルセキュアアクセスを使ったすべてのインターネットリソース を選択します。
セッション では、グローバルセキュアアクセスのセキュリティプロファイルを使用する にチェックを入れて、割り当てる セキュリティプロファイルを指定します。
以上の操作で、選択した利用者 に対して セキュリティプロファイルが適用され、セキュリティプロファイルにリンクされているポリシーが機能するようになります。
参考：各ポリシーごとの プロファイルへリンクを説明している 公開情報 へのリンク
以下の URL を見ると、いずれのポリシーでも同じように ポリシーを作成して プロファイルにリンクすることが説明されていることが分かります。
Web コンテンツ の制限ポリシー
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-web-content-filtering?wt.mc_id=MVP_407731#create-a-security-profile
まとめ
GSA インターネットアクセスでは、ポリシーを作成するだけでは機能せず、必ずプロファイルとのリンクが必要になります。
さらに、どの利用者に適用するかを決めるために、条件付きアクセスでプロファイルを割り当てるという三段構成になっています。
ベースラインプロファイル
- 全ユーザーに適用される基本プロファイル
- ポリシーをリンクするだけで即適用
- 一部のポリシー（クラウド FW、脅威保護など）はベースラインのみ対応
セキュリティプロファイル
- 用途ごとに複数作成できる柔軟なプロファイル
- ポリシーをリンクした後、条件付きアクセスで割り当てて初めて有効化
条件付きアクセス
- 対象ユーザー・アプリ・デバイスを指定し、どのセキュリティプロファイルを使うかを決定する最終ステップ
この仕組みにより、GSA インターネットアクセスでは 「誰に」「どのポリシーの組み合わせを」「どの条件で」適用するか を細かく制御できます。
記事内の手順に沿って設定すれば、プロファイルとポリシーの関係を正しく理解しながら構成できるようになります。
