Azure/Entra Private Access

認識服務 · Microsoft Entra Private Access

不用傳統 VPN，也能安全連回內部系統

Microsoft Entra Private Access 是 Microsoft 的「零信任網路存取」（ZTNA）服務。使用者不論在家、出差或在校外，只要通過身分驗證，就能連到你明確開放的內部系統，其他地方一律進不去。

  • 資料來源 Microsoft Learn 與 Microsoft 官網
  • 整理日期 2026-10-28
  • 隸屬產品 Global Secure Access（Microsoft 的 SSE 解決方案）

它是什麼？

用一個比喻說明：傳統 VPN 和 Private Access 的差別，就像「發一張通行證」和「每扇門都有門禁」的差別。

傳統 VPN

連上去，就像進了大樓

驗證一次後，使用者的電腦等於接上公司網路。只要網路層面走得到，整棟大樓的門都可能碰得到。帳號或電腦被盜用時，風險就擴散到整個網段。

Private Access

每次只開你被允許的那扇門

使用者不是「進到網路」，而是「連到被授權的應用程式」。每個系統各有誰能用、要不要 MFA、用什麼裝置等規則，沒被開放的系統根本看不到。

Microsoft 官方的說法是：Private Access 讓你定義哪些 FQDN 和 IP 位址屬於內部資源，並控制使用者如何連到它們。官方文件指出，它以 Microsoft Entra 應用程式 Proxy 為基礎，並把可存取範圍擴大到任何私有資源、任何連接埠與通訊協定。

常見的使用情境

  • 員工在家，用遠端桌面連到辦公室的主機。
  • 外部系統商要維護機房裡的某一台伺服器，只需要碰那一台。
  • 出差時，用瀏覽器開啟只能在內網存取的管理系統或檔案伺服器。
  • 舊系統不支援現代登入，但希望還是能要求 MFA。

它解決什麼問題？

VPN 在遠距與混合辦公的年代，常見的幾個痛點。

  • 連上去就看得到太多

    VPN 通常開放整個網段。一個被盜用的帳號，能橫向移動到其他系統。Private Access 改成逐一應用程式授權，符合最小權限。

  • 維運與防火牆負擔

    VPN 設備要維護、修補，還要對外開放入口。Private Access 的 Connector 只往外連線，官方文件說明不需要任何入站防火牆規則。

  • 外部人員難以管理

    廠商與合作夥伴常要另外建帳號、發電腦。Private Access 可讓他們用自己公司的身分，只連到被指派的系統。

  • 舊系統套不上 MFA

    老舊或自行開發的系統沒有現代驗證。Private Access 把條件式存取與 MFA 套在連線前，連舊協定也能要求驗證。

運作方式

使用者端裝一個用戶端程式，內部放一到兩台 Connector 主機，其餘由 Microsoft 雲端負責。

  1. 管理者定義內部資源。用 FQDN、IP 位址或網段，描述哪些系統可被存取，並指派給特定使用者或群組。
  2. 使用者登入用戶端。用戶端在背景運作，只攔截符合規則的流量，其他上網流量不受影響。
  3. 每次連線先過 Entra ID。驗證身分，並套用條件式存取，例如要求 MFA、限制裝置或位置。
  4. 通過後經 Connector 轉給內部系統。Connector 由內部主動連到雲端，所以防火牆不必開入站規則。

官方資料顯示，Global Secure Access 運行在 Microsoft 廣域網路上，涵蓋 70 個區域、190 個以上的網路邊緣節點。

主要功能

以下功能皆整理自 Microsoft 官方文件。

  • Quick Access

    快速存取

    一次開放一批 IP、網段或 FQDN，是從 VPN 轉移最快的方式，適合作為過渡。

  • Per-app Access

    逐一應用程式存取

    每個系統獨立設定位址、連接埠（TCP 與 UDP）、使用者與條件式存取，是正式環境的建議做法。

  • Conditional Access

    條件式存取與 MFA

    使用與 Microsoft 365 相同的規則：MFA、位置、裝置狀態、風險。舊協定的系統也能要求 MFA。

  • Private DNS

    私有名稱解析

    內部主機名稱透過 Connector 解析，使用者不必知道內部 DNS 的設定。

  • Single Sign-On

    單一登入

    內部應用程式免重複登入。檔案共用等 Kerberos 資源可使用 Kerberos SSO，官方建議搭配 Windows Hello 企業版的雲端 Kerberos 信任。

  • Domain Controller Protection

    網域控制站保護

    透過 Private Access Sensor，對 Active Directory 的 Kerberos 驗證要求 MFA。預設為稽核模式，確認後再切換為強制。

  • External Users

    訪客與外部使用者

    合作夥伴與廠商用自己的租戶身分存取，不必在你這邊建立重複帳號或複雜的同盟。

  • App Discovery

    應用程式探索

    Quick Access 的流量會成為探索報告，幫你找出內部實際被用到的系統，作為改為逐一授權的依據。

  • Clients

    多平台用戶端

    提供 Windows、macOS、iOS 與 Android 用戶端。不同平台支援的通道與功能略有差異。

對誰有什麼好處？

同一套服務，從企業、校園、委外廠商三個角度看，重點不同。

對企業與機關

資訊部門、醫院、公司行號

  • 取代或縮減 VPN。這是 Microsoft 對產品的官方定位，降低 VPN 的風險與維運複雜度。
  • 只開放需要的系統。從「進網路」改成「連應用程式」，帳號被盜用時影響範圍小。
  • 不用開入站防火牆。Connector 只往外連線，攻擊面更小。
  • 與既有身分整合。使用 Entra ID 的帳號、MFA 與條件式存取，不需另一套帳號系統。
  • 舊系統也能受保護。可對舊協定要求 MFA，也能保護網域控制站。
  • 管理集中。在 Microsoft Entra 系統管理中心統一設定，並有流量記錄可稽核。
  • 混合與多雲都適用。Connector 可放在機房，也可放在雲端虛擬機器。

對校園與教育單位

大學、中小學、研究單位

  • 教職員在校外也能用校內系統。校務、檔案伺服器、研究資料、實驗室設備等不必對外公開。
  • 各單位各管各的。系所、研究室、行政單位可分別建立應用程式，指派給對應群組，計畫結束就收回。
  • 自備裝置也能納管。Windows 註冊裝置、iOS 與 Android 不需完整註冊管理即可使用，降低裝置管理負擔。
  • 多校區好規劃。Connector 可依校區分組，就近連線並互為備援。
  • 客座與合作單位。訪問學者、合作計畫成員可用自己機構的身分連線。
  • 少一套 VPN 要養。省下集中器與帳號維運，把心力放在授權與政策。

此欄依官方功能對應到校園常見情境整理。教育機構的授權與價格依合約而定，請洽 Microsoft 或經銷商確認。

對委外廠商與合作夥伴

系統商、維運廠商、顧問、合作單位

  • 用自己公司的帳號與電腦。官方文件指出，不需要在資源方建立重複帳號，也不需要複雜的同盟設定。
  • 只碰到被指派的系統。廠商只能連到管理者明確授權的應用程式，不會進入整個內網。
  • 驗證信號跨租戶有效。廠商端已完成的 MFA 與裝置合規等信號可被採用，管理者仍可在自己的租戶要求 MFA。
  • 廠商端門檻低。對方租戶只需要 Microsoft Entra 免費版，不需要 Global Secure Access 授權，也不必把電腦註冊到你的租戶。
  • 權限好收回。專案結束時把人移出群組，存取就結束。流量記錄會註明來自哪個外部租戶，方便稽核。
  • 用量計費。外部訪客採「每月活躍使用者」計費，沒有使用的月份不會被計入，需要把資源租戶連結 Azure 訂閱。

廠商沒有自己的 Entra 租戶時，也可以改用「註冊在你租戶的 Windows 裝置」，這類裝置只支援 Private Access 流量。兩種方式的設定都寫在管理者手冊的「委外廠商與外部使用者」一節。

和 VPN 的差異

項目傳統 VPNPrivate Access
授權單位通常是整個網段以應用程式或位址區段為單位
驗證時機連線時驗證一次每次連線依身分與條件式存取判斷
防火牆常需對外開放入口Connector 只往外連線，不需入站規則
舊系統的 MFA難以套用可對舊協定要求 MFA
外部人員常需建帳號、發設備可使用對方的租戶身分，限定單一系統
管理位置設備或獨立管理介面Microsoft Entra 系統管理中心
轉移建議

官方建議把 Quick Access 當成「過渡橋樑」：先用它快速取代 VPN，再依「應用程式探索」報告，把重要系統逐步改成逐一授權，達到最小權限。

授權與限制

授權概要

  • 使用者需要 Microsoft Entra ID P1 或 P2，加上 Microsoft Entra Private Access。Private Access 可單獨購買，也包含在 Microsoft Entra Suite 中。
  • Global Secure Access 多數服務採「每位使用者」授權。
  • 外部訪客採每月活躍使用者計費，並需將資源租戶連結 Azure 訂閱。
  • 實際價格與方案以 Microsoft 官方公告與合約為準。

設計前要知道的限制

項目說明
必須安裝用戶端Private Access 的流量只能由用戶端取得，無法從遠端網路（分公司網路）導入
只轉送 IPv4用戶端只通道 IPv4，IPv6 流量會直接走原網路，建議設為 IPv4 優先
安全 DNS不支援 DNS over HTTPS、DNS over TLS 與 DNSSEC，需在用戶端與瀏覽器關閉
條件式存取的位置不直接套用在流量上，而是套用在 Quick Access 或逐一應用程式
合規網路檢查不支援用於 Private Access 的應用程式
同時登入Windows 用戶端不支援同一台機器的多個同時工作階段，包含 RDP 與 VDI 多工作階段
IP 目的地以 IP 通道到私有目的地，僅適用於裝置本機子網以外的範圍
政府雲端GCC 可用，GCC High、DoD 等其他政府或主權雲端不支援

限制會隨版本更新而變動，部署前請再對照 Microsoft Learn 的「Known limitations」頁面。

導入路線，從哪裡開始？

  1. 盤點列出要開放的內部系統、位址、連接埠與使用族群。
  2. 試辦架 2 台 Connector，用 Quick Access 讓 3 至 5 位資訊人員連通。
  3. 正式化改建逐一應用程式，套上條件式存取，分波次擴大使用者。
  4. 納入外部人員為廠商建立專用群組與應用程式，設定到期與 MFA。