The English version is available here.

はじめに

Explicit Forward Proxy (EFP) とは？
EFP は、日本語では、「明示的な転送プロキシ」と呼ばれます。
EFP は、GSA クライアントをインストールせず に プロキシの仕組みを応用して、Microsoft Entra Internet Access の機能を利用するための仕組みです。

• プロキシ設定は PAC（Proxy Auto Configuration）ファイル を使用します
• PAC をサポートするブラウザー でのみ利用可能です
• 認証および認可は Microsoft Entra ID と条件付きアクセス により実行されます
• Basic / NTLM / Kerberos などの 従来型プロキシ認証方式はサポートされていません

Explicit Forward Proxy (Preview) の機能解説については、以下の私の記事を参照ください。

[GSA:Internet] Explicit Forward Proxy (Preview) の内容を読み解いてみる
https://qiita.com/carol0226/items/07d2a3ed17921d021ac6

本記事では、Microsoft Entra Global Secure Access（以下 GSA）の 明示的な転送プロキシ（Explicit Forward Proxy, EFP） を有効化するための前提事項と基本的な設定手順を整理します。

⚠️ 注意
明示的な転送プロキシ（EFP）は、2026 年 4 月時点で プレビュー機能 です。
本番環境での利用にあたっては、仕様変更の可能性を考慮してください。

手順については、以下の公開情報の手順をもとにしています。

公開情報：明示的な転送プロキシを構成する方法 (プレビュー)
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-explicit-forward-proxy?wt.mc_id=MVP_407731

1. 前提事項

1-1. 必要な管理者ロール

EFP の構成・有効化を行うためには、以下の Microsoft Entra 管理者ロールが必要です。

• グローバル セキュリティで保護されたアクセス管理者
  • Global Secure Access（GSA）の機能管理に必要
• 条件付きアクセス管理者
  • Microsoft Entra 条件付きアクセス ポリシーの作成・管理に必要

1-2. Global Secure Access の初期設定が完了していること

以下の条件を満たしている必要があります。

• Global Secure Access のオンボーディングが完了していること
• Microsoft Entra インターネットアクセス を利用可能な状態であること

Microsoft Entra インターネットアクセス の仕組みや構成方法は、以下の私の記事を参考にしてください。

[GSA:Internet] Microsoft Entra インターネット アクセス を構成する
https://qiita.com/carol0226/items/ae2bfdb209170fb41bae

1-3. TLS インスペクション の初期設定が完了していること

Microsoft Learn の公式ドキュメントでは、明示的な転送プロキシ（EFP）を有効化する前提条件として「トランスポート層セキュリティ（TLS）検査の構成」が明示されています。

また、EFP のトラフィックフローやクライアント構成手順においても、TLS インスペクションを実施する構成が前提となっており、TLS を復号しない（パススルーのみの）構成は、Microsoft Learn ではサポートされていません。

TLS インスペクションの構成は、以下の私の記事を参考にしてください。

[GSA : Internet] TLS インスペクションを構成する完全ガイド（AD CS 対応）
https://qiita.com/carol0226/items/9cda8cfa8c6b437f1161

2. 明示的な転送プロキシ（EFP）の有効化手順

2-1. Microsoft Entra 管理センターにサインイン

以下の URL に管理者アカウントでサインインします。
https://entra.microsoft.com

2-2. 明示的な転送プロキシ設定画面へ移動

Microsoft Entra 管理センターで、以下の順に移動します。

1. グローバル セキュア アクセス
2. セッション管理
3. 明示的な転送プロキシ（Explicit Forward Proxy）
   

2-3. インターネット アクセス向け EFP を有効化

「明示的な転送プロキシ」画面で、次の設定を行います。

• ［インターネット アクセス］ を オン に切り替える
• 設定欄は、スマートセッション管理 のみにチェックを入れる（既定値）
  

これにより、Microsoft Entra Internet Access 向けの明示的な転送プロキシが有効になります。

EFP を有効化すると、以下のセッション管理方式が 既定で有効 になります。

• スマート セッション管理（オン）
  必要に応じて、以下の機能を追加で有効化できます。

• HTTP ヘッダー セッション管理（今回は、オフ）
  別途、HTTP ヘッダー インジェクションが可能な送信プロキシ構成が必要

ℹ️ 補足
スマート セッション管理は、Microsoft Entra がホストする PAC ファイルを使用する構成が前提となります。

2-4. クライアント側の PAC 設定

明示的な転送プロキシ（EFP）の通信対象について

• EFP の対象は PAC を利用しているブラウザー通信のみ です
• Edge / Chrome / Firefox など、PAC に対応したブラウザーが対象となります
• OS 全体の通信が自動的に保護されるわけではありません

2-4-1. 事前確認

作業前に、使用中の IP アドレス を確認しておきます。
以下は、CMAN を使った例です。
https://www.cman.jp/network/support/go_access.cgi

2-4-2. OS の PAC 設定

PAC が利用可能な OS で利用できます（PAC が使えれば、MacOS や Linux などでも使えるはずです）
本章では、Windows の場合の設定手順を紹介します。

1．コントロールパネル から、インターネットオプションを開きます。
　　inetcpl.cpl コマンドで開きます。

2．以下の画面で 接続 タブを選び、LAN の設定 を開きます。

3．自動構成スクリプトを使用する にチェックを入れ、アドレス欄に 前章で取得した PAC ファイルの URL を貼り付けて OK を押します。

2-4-3. 事後確認

作業後に、使用されている IP アドレス を確認します。
2-4-1.章で確認した IP アドレス から変更されているはずです。
この時点では、GSA インターネットアクセス の Baseline Profile が適用されています。

以下は、CMAN を使った例です。
https://www.cman.jp/network/support/go_access.cgi

2-4-4. ネットワーク配下のクライアントに適用する方法

WPAD を使うことで、ネットワーク配下のクライアントに対して、一律で PAC を割り当てることができます。

Support Blog : WPAD について
https://microsoft.github.io/jpbrowsers/internet-explorer-microsoft-edge/wpad/

2-5. 条件付きアクセス ポリシーの構成

本章の手順は、以下の公開情報の内容を元にしています。

公開情報：明示的な転送プロキシのMicrosoft Entra 条件付きアクセス ポリシーを構成する (プレビュー)
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-conditional-access-policy-for-explicit-forward-proxy?wt.mc_id=MVP_407731

2-5-1. 前提事項

初めて 条件付きアクセス を利用する場合は、以下の私の記事を確認してください。

セキュリティの既定値群 と 条件付きアクセス の初回利用について
https://qiita.com/carol0226/items/51a70a561b78af567972

2-5-2. 許可した場所（ネットワーク）からだけの利用を許可する（強く推奨）

EFP を安全に利用するために、本章の条件付きアクセス構成を行うことが強く推奨されています。

以下の条件付きアクセスを構成することで、許可した場所からのみ EFP を使用させ、それ以外の場所からは EFP を使用できないようにすることができます。

• EFP の利用元を 信頼された既知のネットワークに限定
• 条件付きアクセスの対象リソースとして GSA-ExplicitForwardProxy を指定

※ EFP を有効化したタイミングで、自動的に専用のワークロード ID (GSA-ExplicitForwardProxy) がテナントに作成されます。

設定手順

1．Microsoft Entra 管理センターに移動します。
　 Entra ID で、条件付きアクセス から ネームドロケーション を選択します。
　 次に、＋IP 範囲の表示 を選択します。

2．以下の画面で ＋ を押して、EFP の利用を許可する場所の IP アドレス帯を指定します。
※この IP アドレス帯からのみ EFP が利用でき、その他の場所からは ブロックされるようになります。

3．以下のように、一覧に追加されたら、作成 を押します。
※複数個所ある場合は、＋ を押して、繰り返し追加します。

4．以下のように、一覧に追加されれば OK です。

5．続いて、左ペインの ポリシー を選択します。
　 次に、＋新しいポリシー を選択します。

6．ポリシーの名前を付与します。たとえば、 GSA–EFP-Proxy-場所 などです。

7．割り当て で、ユーザーとグループ を選択します。 通常は、このポリシーのスコープを すべてのユーザー に設定し、除外 タブで必要に応じて例外 (たとえば、お使いのブレークグラス アカウント) を行います。

8．ターゲット リソース で、リソースの選択 ラジオ ボタンを選択し、 特定のリソースを選択します。 GSA-ExplicitForwardProxy ワークロード ID を検索して選択します。

9．新しいポリシーの ネットワーク タブで、構成 を選択し、任意のネットワークまたは場所 のままにします。

対象外 を選択し、選択したネットワークと場所 を選び、事前に作成した ネームドロケーション の場所を選択します。

10．許可 タブの下で、アクセスのブロック を選び、選択 を押します。
ポリシー の有効化 を オン に切り替え、作成 ボタンを選択します。

2-5-3. 指定した条件に合致するトラフィックに、セキュリティプロファイルを適用する（任意）

EFP は、既定で Baseline Profile が適用されます（全社共通設定）
上記とは別の条件（グループ単位・デバイスの種類）などに応じて、適用するセキュリティプロファイルを可変させるには、本章の手順を実施してください。

ベースラインプロファイル (Baseline Profile) と セキュリティプロファイル (Security Profile) の違いは、以下の私の記事を参照してください。

[GSA : Internet] ポリシーを適用するためのプロファイル設定まとめ
https://qiita.com/carol0226/items/1d9fa23904947c8598fd

前提事項

本章の作業前に、１つ以上の セキュリティプロファイル を作成しておいてください。

設定手順

1．Microsoft Entra 管理センターに移動します。
　 Entra ID で、条件付きアクセス を選択します。
　 次に、＋新しいポリシーの作成 を選択します。

2．ポリシーの名前を付与します。たとえば、GSA–EFP-Proxy-セキュリティプロファイル などです。

3．割り当て で、ユーザーとグループ を選択します（このユーザーにセキュリティプロファイルが適用されます）

4．ターゲット リソース で、リソースの選択 ラジオ ボタンを選択し、 特定のリソースを選択します。 GSA-ExplicitForwardProxy ワークロード ID を検索して選択します。

5．セッション を選び、グローバルセキュアアクセスのセキュリティプロファイルを使用する を選択し、インターネットアクセスで作成済みの プロファイル を選択します。選択 を押したあと、ポリシーの有効化を オン にし 作成 を押します。

2-5-4. ポリシーの作成結果

２つの条件付きアクセスポリシーが構成した場合の結果は、以下の通りです。

3. 動作確認

3.1 EFP の認証

条件付きアクセスが構成されていると、EFP 利用時に 認証が発動します。
GSA インターネットアクセス の利用を構成済みのユーザーでサインインしてください。

• インターネットアクセスのライセンスを割り当て済み
• インターネットアクセスのチャネルに割り当て済み

以下は、条件付きアクセスで定義した場所以外からアクセスした場合です。
認証に成功しても、条件外の場所であるため、ブロックされた結果です。

アプリ名が GSA-ExplicitForwardProxy になっています（赤下線）
IP アドレスは、アクセス元のアドレスになっています（緑下線）

3-2. ユーザー操作

EFP が機能していれば、セキュリティプロファイルで割り当てられた GSA インターネットアクセスの機能が利用されているはずです。TLSインスペクション が機能していることも確認できます。

Web カテゴリフィルタリングや、脅威インテリジェンス、AI プロンプトインジェクション などの機能を使って、テストを実施してください。GSA クライアントが無いのに 適切に動作していることが確認できます。

以下は、私が EFP を有効化して 脅威インテリジェンス のテストサイトへアクセスした結果です。

3-3. 管理者画面

トラフィックログ

明示的なプロキシで ブロックされた場合の例です。
適用されたセキュリティプロファイル (GSA Security Profile) や 理由（フィルタリングのカテゴリ）などが確認できます。

適用されたセキュリティプロファイル (Baseline Profile) や 理由（脅威インテリジェンス）などが確認できます。

Microsoft 365 のトラフィックは、どこへ行くのか？

以下のトラフィックログを見る限りは、明示的なプロキシを経由していることが確認できます。
つまり、Microsoft 365 トラフィックは、GSA を通るので、データセンターの F/W の穴あけは単純化することができそうです。

テナント制限 (TRv2) は、機能しているのか？（否）

EFP を使用している PC (carol226.com) から、外部テナント (m365takeout.onmicrosoft.com) へのサインインを試みた結果です。EFP の認証で引っ掛かりました。これは、EFP (GSA-ExplicitForwardProxy のエンタープライズアプリ) を認証する際に許可されているテナントでは無いことを示したエラーのようです。厳密なテナント制限とは違うのですが、ひとまず、社外のテナントへのサインインは、抑止できたように見えます。

しかし、これはあくまで EFP の認証です。EFP の認証を 既存のアカウントで終えた後に すぐに外部のテナントへのアクセスを行うと、外部テナントへサインインはできてしまいます。
これは、前章でも示した通り、Microsoft 365 のアクセスであっても、インターネットアクセスを経由しているため、Universal TRv2 は機能していません。この点は、GA に向けて、Microsoft Traffic Profile への対応も実施され、Universal TRv2 までサポートされることに期待したいと思います。

4. まとめ

• 明示的な転送プロキシ（EFP）は、GSA クライアントを導入できない／導入したくない環境でも Microsoft Entra Internet Access を利用可能にする仕組みであり、PAC を利用した ブラウザー通信に限定 してセキュリティ制御を適用できます。
• EFP の有効化自体は管理ポータル上で容易に実施できるが、PAC 設定直後は利用者制御が行われない状態となるため、設計を伴わない有効化はセキュリティリスクとなります。
• 実運用においては、GSA-ExplicitForwardProxy ワークロード ID を対象とした条件付きアクセス（特にネームドロケーションによる利用元制限）の構成が必須であり、これにより意図しない第三者利用やテナント責任リスクを抑止できます。
• EFP は既定で Baseline Profile に基づいて動作するため、ユーザーやデバイス単位で異なる制御を行いたい場合は、条件付きアクセスとセキュリティプロファイルを組み合わせた設計が有効です。
• プレビュー機能であることから、条件付きアクセスの反映遅延や認証挙動（GSA User Authentication failed. など）といった特有の挙動が存在する。本番利用を想定する場合は、必ず検証環境でトラフィック・ログ・認証フローまで含めた十分な事前検証を行う必要があります。
• 現時点では Microsoft 365 トラフィックやテナント制限（TRv2）との関係に注意が必要であり、GA に向けた Microsoft Traffic Profile や Universal TRv2 への対応状況を継続的に確認することが重要です。