Microsoft Entra Private Access 管理者操作手冊

1架構與運作方式

Private Access 屬於 Microsoft Global Secure Access 套件，是取代傳統 VPN 的 ZTNA 方案，以 Microsoft Entra 應用程式 Proxy 為基礎，並擴大到任何私有資源、連接埠與通訊協定。用途與優勢請先看 認識服務。使用者只能連到管理者明確開放的系統與連接埠，每次連線都先經過 Entra ID 驗證與條件式存取。

與 VPN 最大的差異有兩點：院方防火牆不需要開任何入站規則（Connector 一律主動往外連線），以及授權單位是「應用程式區段」而不是整個網段，符合最小權限原則。

元件一覽

2前置需求

2.1授權

• 使用者需同時具備 Microsoft Entra ID P1 或 P2，以及 Microsoft Entra Private Access（獨立授權，或由 Microsoft Entra Suite 內含）。
• 練習或試辦可啟用 Entra Suite 或 P2 的 90 天試用：Global Secure Access › Dashboard › Try for free
• 建議以安全性群組做群組型授權，避免逐人指派。Pilot 階段先保留 3 至 5 套。

2.2管理者角色

依最小權限原則分別指派，同一人需要多項工作時可疊加角色，避免全程使用 Global Administrator。

2.3Connector 主機

• Windows Server 2016 以上。官方建議每台 4 核心以上、8 GiB 記憶體以上，尖峰時 CPU 與記憶體使用率維持在 70% 以下。
• 正式環境每個群組至少 2 台，官方建議最少 2 台健康的 Connector 以確保高可用。
• 負載取決於「請求數量與資料量」，與使用者人數無直接關係。官方參考值約每秒 2,000 個請求，實測吞吐量依環境而異。
• Connector 可放在機房或雲端虛擬機器，不需要放在 DMZ，也不需要加入網域（僅 Kerberos SSO 等需要整合 Windows 驗證的情境才需加入）。
• 主機必須能連到要開放的內部系統（見 2.5），並能解析內部網域名稱。
• Connector 往 Microsoft 的對外連線不要經過 TLS 檢查，也不要經過需要驗證的 Proxy。

2.4防火牆（僅需對外）

2.5盤點要開放的內部系統

建立應用程式前，先填好盤點表。IP 網段與其他網路重疊時，改用 FQDN。

醫院常見連接埠可作為盤點參考，實際以各系統設定為準：

2.6使用者裝置

• Windows：64 位元 Windows 10（LTSC 2021 以上）、Windows 11，或 Arm64 Windows 11（Arm 需使用專用安裝檔）。支援 Azure Virtual Desktop 單一工作階段與 Windows 365，不支援 AVD 多工作階段。
• macOS 14 以上、iOS、Android 也有用戶端，見第 9 節。
• 裝置可以是 Entra Joined、Hybrid Joined，或 Entra Registered。尚未加入的裝置，在登入用戶端時會自動完成 Registered。

3與 Entra ID 整合

Private Access 的所有身分、授權與政策都存在 Entra ID。混合雲環境的重點是確認使用者已經同步到雲端，並且能用 UPN 正常登入。

3.1確認身分同步

1. 地端 AD 的使用者已透過 Microsoft Entra Connect Sync 或 Cloud Sync 同步到 Entra ID，且 UPN 後綴為已驗證的網域。
2. 驗證方式可以是密碼雜湊同步、傳遞驗證（PTA）或同盟。若使用 PTA，到 Entra 系統管理中心 › Entra Connect 確認 Authentication Agent 狀態健康。
3. 用一個測試帳號直接登入 Microsoft 365 入口網站，確認密碼與 MFA 都可完成。

3.2建立 Pilot 群組與指派角色

1. 建立安全性群組，例如 GSA-PrivateAccess-Pilot，加入資訊室 3 至 5 位成員。
2. 依 2.2 把必要的角色指派給操作人員。
3. 把 Private Access 授權指派給該群組。

3.2.1整合點對照

4部署 Connector（Gateway）

1. 啟用 Private network connectors 並下載安裝檔。

   Global Secure Access › Connect › Connectors and sensors › Private Network connectors

   點擊「Enable private network connectors」，再點「Download connector service」。

   注意

   這是租戶層級的總開關。它和第 5 節的「Private access 轉送設定檔」是兩個不同的開關，兩個都要檢查。

2. 檢查 Connector 主機。以系統管理員身分開啟 PowerShell，確認能連到 Microsoft 登入端點：

   複製

   Test-NetConnection login.microsoftonline.com -Port 443

3. 安裝並註冊。把安裝檔複製到 Connector 主機，以系統管理員身分執行，接受條款後，在互動式登入視窗用具 Application Administrator 角色（或更高）的帳號登入並完成 MFA。

   需要無人值守的批次部署，可改用 PowerShell 註冊，見參考文件。

4. 驗證服務與狀態。

   複製

   Get-Service | Where-Object { $_.DisplayName -like "*connector*" } |
     Format-Table Name, DisplayName, Status

   接著回到 Entra 系統管理中心，Connector 應出現在 Default 群組，Status 為 Active。服務有兩個：Connector 本體與 Updater。

4.1Connector Group 與高可用

• 新安裝的 Connector 預設放在 Default 群組。一台 Connector 只能屬於一個群組。
• 依網路區域或用途建立群組，例如「HIS 區」「行政區」。每個群組至少 2 台，群組內會自動分擔流量並互為備援。
• 建立應用程式時，要指定它使用哪個 Connector Group，所以 Connector 要放在能連到該系統的網路區域。
• 建立路徑：Global Secure Access › Connect › Connectors and sensors › New connector group

4.2更新與維護

• Connector 由 Updater 服務自動更新，不需手動升級。
• 修補與重開機要輪流進行，同一群組不要同時重啟兩台。
• 需要較長時間維護的主機，先移到專用的維護群組（不指派任何應用程式），完成後再移回。
• Connector 離線超過約 10 天，服務會將它標示為 inactive 並自動移除，不需手動刪除。離線數個月的 Connector，憑證可能過期，請重新安裝或重新註冊。
• Connector 另有 Windows 事件記錄：事件檢視器 › 應用程式及服務記錄檔 › Microsoft › Microsoft Entra private network › Connector。Admin 記錄預設開啟；Session 記錄預設關閉，疑難排解時才暫時開啟。
• 高流量 TCP 的環境，官方建議調整來源連接埠範圍（動態範圍 49152–65535、AutoReuse 範圍 10000–49151），設定前先確認主機上沒有其他應用程式使用該範圍。指令見 Connector 官方文件。

5流量轉送設定檔

轉送設定檔決定「誰的私有流量」會被用戶端導入 Private 通道。本案只需要啟用 Private access。

1. 開啟 Global Secure Access › Connect › Traffic forwarding。

2. 在「Private access profile」切換為 Enabled。

3. 開啟 User and group assignments，指派 Pilot 群組。正式上線時依波次加入群組。

6建立應用程式

6.1Quick Access 與 Per-app Access

建議流程是先用 Quick Access 確認通道可通，再改建正式的 Per-app 應用程式，並移除 Quick Access 中的測試區段。

6.2建立 Per-app 應用程式

1. 開啟 Global Secure Access › Applications › Enterprise applications，點「New application」。

   注意

   一定要從 Global Secure Access 的導覽進入。從一般 Entra ID 的 Enterprise applications 進入，會跳到一般的 App Gallery，找不到 Private Access 的設定畫面。

2. 輸入應用程式名稱，並選擇 Connector Group。命名建議 PA-系統名-環境，例如 PA-HIS-Prod。

3. 點「Add application segment」，設定 Destination type、位址、Port 與 Protocol（見 6.3 與 6.4），儲存後狀態應為 Success。

4. 開啟 Users and groups，指派使用者或群組，角色選 User。

5. 依第 8 節建立條件式存取政策，並以此應用程式為目標。

6.3Destination type 四種型態

6.4Ports 欄位寫法

Protocol 可選 TCP 或 UDP。ICMP（ping）不在可設定範圍內，所以不能用 ping 測試。

6.5設計建議

• 一個系統一個應用程式，方便個別指派使用者與套用條件式存取。
• 區段越窄越好。同一個目的地不要在多個應用程式重複定義，避免管理與稽核混淆。
• 先把 Quick Access 當作測試用，正式系統一律建立 Per-app。

6.6用 Quick Access 快速取代 VPN

想先維持與 VPN 相同的連通範圍，再逐步收斂時，官方教學的設定如下：

1. 開啟 Global Secure Access › Applications › Quick access，命名並選擇 Connector Group。

2. 新增應用程式區段：Destination type 選 IP address range (CIDR)，輸入內部網段，Ports 填 0-52,54-65535（排除 53，DNS 由 Private DNS 處理），Protocol 選 TCP 與 UDP。

3. 啟用 Private DNS，加入內部網域後綴，最重要的是 Active Directory 的樹系名稱。符合後綴的 DNS 查詢才會導入通道，不會把一般網路的 DNS 都帶進來。

4. 指派使用者或群組，並以用戶端的 Advanced diagnostics 驗證流量已走通道。用戶端約每 5 分鐘更新一次規則。

7DNS 與 FQDN

FQDN 型態的區段，名稱是由 Connector 主機解析的，所以 Connector 要能查到內部 DNS。

1. 確認 Connector 主機網卡的 DNS 伺服器指向內部 DNS（通常是 AD 網域控制站）。

2. 在內部 DNS 的對應區域建立主機記錄，例如 app01 指向該系統 IP。

3. 在 Connector 主機驗證可解析：

   複製

   nslookup app01.hospital.example

4. 在 GSA 新增 FQDN 區段，指派使用者。之後在使用者電腦執行 ipconfig /flushdns，再用名稱開啟系統。

7.1Private DNS 與用戶端的 DNS 設定

• Private DNS 在 Quick Access 啟用並加入 DNS 後綴。符合後綴的查詢會經 Microsoft 邊緣的 DNS Proxy 轉給 Connector，由 Connector 以作業系統的 DNS 設定解析。
• 需要 Kerberos 驗證的應用程式，請使用 FQDN 存取。短名稱會使用合成後綴，可能造成 SPN 不符。
• FQDN 型態需要用戶端攔截 DNS 查詢，所以不支援安全 DNS：DNS over HTTPS、DNS over TLS 與 DNSSEC 都要關閉。DNS over TCP（port 53）同樣不支援，須停用 Edge 與 Chrome 內建的 DNS 用戶端（BuiltInDnsClientEnabled 設為 0）。
• 群組原則中的 NRPT 規則會與 Private DNS 衝突。GPO 定義的 NRPT 會覆蓋用戶端本機的規則，造成 Private DNS 失效。部署前請檢查並清除 GPO 內的 NRPT 設定。
• 用戶端只通道 IPv4，IPv6 流量會直接走原網路。請將網路卡設為 IPv4 優先（登錄值 DisabledComponents 設為 0x20）。

8條件式存取

建立路徑：Entra 系統管理中心 › Entra ID › Conditional Access › Policies › New policy。以 Private Access 的 Enterprise Application 作為目標資源，一個政策可同時涵蓋多個應用程式。

8.1政策設計範例

9用戶端部署

安裝檔下載位置：Global Secure Access › Connect › Client download。

9.1三種裝置身分的差異

這代表使用者可以用自己的電腦，不必加入網域就連進內部系統。要阻擋自備裝置時，用條件式存取只允許合規裝置即可。外部廠商另有以自己租戶身分連線的方式，見第 10 節。

9.2部署方式

• 手動安裝：Pilot 與外部廠商。把使用者端手冊的連結一併提供。
• Intune 集中部署：院內管理電腦。把安裝檔封裝為 Win32 應用程式，指派給對應的裝置或使用者群組。封裝與安裝參數依官方文件。
• 已使用 Configuration Manager 等軟體派送工具的環境，也可用既有流程派送。

9.3Intune 封裝要點（Windows）

• 安裝檔必須維持原名 GlobalSecureAccessClient.exe。安裝指令 /quiet，解除安裝 "GlobalSecureAccessClient.exe" /uninstall /quiet /norestart。
• 安裝行為選 System；傳回碼 0（成功）、3010（需重開機）、1618（重試）。
• 偵測規則使用檔案 C:\Program Files\Global Secure Access Client\TrayApp\GlobalSecureAccessClient.exe，版本大於或等於部署版本。
• 升級時採分階段：先以新版本小範圍試辦，再逐步擴大，最後刪除舊版 App。
• 官方範例腳本會一併設定 IPv4 優先，並提醒停用瀏覽器的安全 DNS 與 QUIC。

9.4用戶端的使用者選項

系統匣選單的預設行為可由登錄值控制，管理者可依政策調整：

登錄路徑：HKLM\SOFTWARE\Microsoft\Global Secure Access Client。可由 Intune 的修復腳本或群組原則統一設定。

9.5macOS、iOS、Android

• macOS：需 macOS 14 以上。安裝 GlobalSecureAccessClient.pkg 後，要核准系統擴充功能與透明 Proxy。要免提示安裝，須用 MDM 事先核准。
• iOS 與 Android：BYOD 不需裝置註冊管理，透過 Microsoft Authenticator 完成 Entra 裝置註冊，並搭配 Microsoft Defender，建立裝置範圍的 VPN 設定檔。Global Secure Access 的開關預設為關閉，使用者要自行開啟才會傳送私有流量。
• 各平台支援的通道與功能略有不同，實際以官方 BYOD 與用戶端頁面為準。

10委外廠商與外部使用者

外部廠商的連線有兩種做法，可依廠商狀況選用。

10.1方式 A：B2B 訪客設定

1. 建立外部使用者。以 B2B 邀請建立訪客，或用跨租戶同步建立。跨租戶同步預設建立為 Member，同樣受支援。

2. 連結 Azure 訂閱。在資源租戶以 Microsoft Entra External ID 訂閱連結，外部使用者才能存取私有資源，並正確計費。

3. 指派轉送設定檔與應用程式。把外部使用者加入 Private access profile 的指派，並指派到要開放的應用程式。若在用戶端已連線後才指派，請停用再啟用用戶端。

4. 在廠商電腦啟用訪客存取。設定登錄值（可由 Intune 或群組原則派送）：

   廠商電腦複製

   New-ItemProperty -Path "HKLM:\Software\Microsoft\Global Secure Access Client" `
     -Name GuestAccessEnabled -PropertyType DWord -Value 1 -Force

5. 廠商切換租戶。見使用者端手冊的「委外廠商」一節。切換後，用戶端會中斷廠商原租戶的通道，只建立到你租戶的 Private Access 通道。

10.2方式 A 的限制

• 外部使用者處於你的租戶模式時，原本到廠商租戶的 Internet Access、Microsoft 365 與 Entra 通道無法同時保留。
• 若你在跨租戶設定要求 MFA，而廠商使用 Authenticator 的免密碼登入，切換可能失敗。
• 跨租戶設定不允許對私有應用程式設定「輸入」存取。
• 切換租戶時，既有連線（例如已開啟的 RDP）仍留在原租戶。
• 套用了「需要合規網路」條件的私有應用程式會封鎖外部使用者，請將外部使用者排除在該政策之外。
• 租戶清單在用戶端已連線時新增，要停用再啟用用戶端才會出現。

10.3管理建議

• 為廠商建立專用群組與專用應用程式，只開放該廠商負責的系統。
• 強制 MFA，並以存取檢閱或到期日管理，專案結束就移出群組。
• 不要對廠商的自備電腦要求「裝置合規」，會一律失敗。改用 MFA 搭配限定的應用程式與群組。
• 計費以 Sign-in logs 查詢：User type 為 Guest、Cross tenant access type 為 B2B collaboration、Application 為 Global Secure Access Client。詳細帳務請洽 Microsoft 或經銷商。

11驗證與監控

11.1驗證順序

連不上時，依序檢查可以快速縮小範圍：

1. Connector 狀態為 Active。
2. Private access profile 為 Enabled，且使用者在 User and group assignments 內。
3. 應用程式區段狀態為 Success，位址與 Port 正確。
4. 使用者已指派到該應用程式，且通過條件式存取。
5. 用戶端顯示 Connected，Channels 含 Private。
6. 瀏覽器、RDP 或應用程式端對端測試成功。

11.2實測基準（練習環境）

以下是在 Azure 與 Microsoft 365 練習環境實際驗證的結果，可用來對照你自己的環境。

11.3其餘區段型態的預期行為

11.4監控與記錄

• Global Secure Access › Monitor › Traffic logs：確認流量比對到哪個區段、是否被允許。
• Global Secure Access › Monitor › Client events：查看用戶端通道事件。
• Connectors and sensors：Connector 的 Status 與版本。
• Entra Sign-in logs：查看登入與條件式存取的結果。需要長期保存記錄時，可透過診斷設定匯出，依租戶設定與授權而定。

12維運與分權

12.1導入波次範例（30 套授權）

12.2新增一個內部系統的流程

1. 填寫盤點表（系統、位址、Port、使用族群、負責人），完成審核。

2. 確認 Connector Group 能連到該系統，必要時先在 Connector 主機用 Test-NetConnection 測試。

3. 建立 Per-app 應用程式與區段，指派使用者群組。

4. 將此應用程式納入條件式存取政策。

5. 請一位測試使用者驗證，並在 Traffic logs 確認比對結果。

6. 更新盤點表與變更紀錄。

12.3例行檢查

離職或調職人員從群組移除，即同時收回 Private Access 的存取權。

12.4回復計畫

發生重大問題時，可把使用者群組自轉送設定檔的指派移除，用戶端即停止導入通道，不影響原本的 VPN 或院內網路存取。上線前先與各單位溝通此回復方式。

13疑難排解

14上線檢核表

勾選狀態只存在你目前使用的瀏覽器。

前置

• 授權已取得並指派給 Pilot 群組
• 混合雲身分同步正常，測試帳號可登入並通過 MFA
• 管理角色已依最小權限指派
• 內部系統盤點表完成並經審核
• 防火牆對外規則已開通，且無 TLS Inspection

Connector 與設定

• 已啟用 Private network connectors
• 至少 2 台 Connector 為 Active，並在同一個群組
• Private access profile 為 Enabled，已指派使用者群組
• Per-app 應用程式與區段狀態為 Success，已指派使用者
• FQDN 型態系統的 DNS 解析已在 Connector 主機驗證

安全與用戶端

• 條件式存取已以 Report-only 驗證，並排除緊急帳號
• Pilot 使用者完成用戶端安裝，並測試端對端連線
• 使用者端手冊已提供給使用者與外部廠商
• 廠商採用的方式已決定（B2B 訪客或 Registered 裝置），專用群組與應用程式已建立
• B2B 訪客：Azure 訂閱已連結，廠商電腦已啟用 GuestAccessEnabled
• 群組已做扁平設計（Quick Access 不支援巢狀群組），GPO 無 NRPT 規則

維運

• 例行檢查已排入工作排程，並指定負責人
• 回復計畫已與相關單位溝通