Azure/Entra Private Access

使用者端 · 一般使用者與委外廠商

連進院內系統：安裝、登入、測試

用 Global Secure Access 用戶端（Agent），在院外或自己的電腦上安全連到院內系統。不需要加入院內網域，也不需要另外撥 VPN。

  1. 步驟 1安裝用戶端下載並安裝，約 3 分鐘
  2. 步驟 2登入用院方帳號與 MFA
  3. 步驟 3測試連線開網頁或遠端桌面

開始前先確認

勾選完成再往下做，可以避開大部分問題。

院內管理電腦

如果是院方配發、由資訊室集中管理的電腦，用戶端通常已經預先安裝，可以直接從步驟 2 開始。

步驟 1　安裝用戶端

  1. 取得安裝檔。向資訊室索取下載連結，或使用資訊室提供的檔案。檔名通常是 GlobalSecureAccessClient.exe。請只使用資訊室提供的來源，不要從其他網站下載。

  2. 以系統管理員身分執行。在安裝檔上按滑鼠右鍵，選「以系統管理員身分執行」。

  3. 依畫面完成安裝。接受授權條款，按「Install」，等待完成。如果要求重新啟動電腦，請先存檔再重新啟動。

  4. 確認安裝完成。螢幕右下角的系統匣（時鐘附近，可能收在向上箭頭裡）會出現 Global Secure Access 的圖示。

提醒

如果你的電腦同時安裝其他 VPN 或網路防護軟體，可能互相影響。安裝前請先詢問資訊室。

步驟 2　登入

  1. 點選系統匣的圖示。第一次使用，會跳出 Microsoft 登入視窗。

  2. 輸入院方帳號。例如 姓名@院方網域，再輸入密碼。

  3. 完成 MFA。在手機上核准登入，或輸入驗證碼。

  4. 等待狀態變成 Connected。通常幾秒內完成。

自己的電腦第一次登入會發生什麼

電腦不屬於院內網域時，登入的同時會自動註冊成「Microsoft Entra registered」裝置。這只是登錄這台電腦的身分，不會把電腦加入院內網域。如果登入過程出現「允許組織管理你的裝置」之類的提示，請依資訊室的說明選擇。

確認連線狀態

點選系統匣圖示，打開用戶端視窗，查看 Connections。

你看到的代表什麼
Connections：Connected已連上，可以開始測試
Channels：Entra 與 Private院內管理電腦的正常顯示
Channels：只有 Private自己的電腦的正常顯示，一樣可以連到被授權的院內系統

步驟 3　測試連線

在 Connected 的狀態下，任選一種方式測試。位址請使用資訊室提供的內容。

方式 A　用瀏覽器開網頁

  1. 開啟 Edge 或 Chrome。

  2. 在網址列輸入資訊室提供的位址，例如 http://內部IP/ 或 http://內部主機名稱/，按 Enter。

  3. 看到系統的網頁，就代表成功。

方式 B　用遠端桌面

  1. 按 Win + R，輸入 mstsc，按 Enter。

  2. 在「電腦」欄位輸入資訊室提供的主機名稱或 IP，按「連線」。

  3. 出現登入畫面時，輸入該主機的帳號與密碼。

方式 C　用命令列檢查連接埠

想確認某個位址的某個埠是否通，開啟 PowerShell 執行：

Test-NetConnection 內部IP或主機名稱 -Port 3389

結果出現 TcpTestSucceeded : True，代表可以連上。把 3389 換成要測試的埠即可（網頁常用 80 或 443）。

不要用 ping 測試

Private Access 只轉送管理者開放的位址與連接埠，而且不支援 ping（ICMP）。ping 不通是正常的，請改用上面三種方式。

狀態對照

狀態意思你可以做的事
Connected已連上直接使用
Initializing正在啟動或連線中稍等幾秒
Disconnected尚未連上或網路中斷確認電腦可以上網，等待幾秒，或重新登入
Some channels unreachable有部分通道連不上稍後再試，持續發生請回報資訊室
Disabled你或管理者停用了用戶端在選單選「Enable」重新啟用，或重新啟動電腦
Private Access disabled私有存取被停用，內部流量不會走通道需要連內部系統時，重新啟用 Private Access
Disabled by your organization你的帳號尚未被啟用 Private Access聯絡資訊室，並提供帳號與裝置名稱
Could not connect to the Internet電腦沒有網路，或在需要登入的公共網路先完成網路登入頁面，或換一個網路

日常使用

  • 登入過一次後，用戶端會在開機時自動啟動並連線，通常不需要再手動操作。
  • 連線需要時才會用到，平常上網、看影片的流量不會因此變慢，也不會經過院內網路。
  • 點系統匣圖示可開啟選單。常見選項有「Disable」（暫時停用，重新啟動電腦或按 Enable 恢復）、「Collect logs」（收集記錄檔供資訊室分析）、「Advanced diagnostics」（進階診斷）。
  • 「Sign out」與「Disable Private Access」預設可能被隱藏，由資訊室依政策決定是否開放。
  • 共用或借用的電腦，用完請登出並移除用戶端。
帳號安全
  • 不要把帳號、密碼或 MFA 驗證碼告訴任何人，包含自稱資訊室的人。
  • 電腦遺失或被他人使用時，立即通知資訊室。
  • 只連線公務需要的系統，離開座位時鎖定螢幕。

我是委外廠商

你使用自己公司的帳號連線，不需要加入客戶的網域。開始前，請向客戶確認：客戶已邀請你的帳號為訪客、已指派你可使用的系統，以及客戶採用的是哪一種方式（訪客帳號，或客戶提供專用帳號）。客戶若提供專用帳號，請照前面的步驟 1 至 3 登入即可。

使用自己公司帳號時的設定

  1. 啟用訪客存取。以系統管理員身分開啟 PowerShell，執行下列指令後，重新啟動用戶端：

    New-ItemProperty -Path "HKLM:\Software\Microsoft\Global Secure Access Client" `
  -Name GuestAccessEnabled -PropertyType DWord -Value 1 -Force

    你公司的資訊人員也可以用 Intune 或群組原則統一派送這個設定。

  2. 用你公司的帳號登入用戶端。登入方式同步驟 2。

  3. 切換到客戶的租戶。點系統匣圖示，打開用戶端視窗，點右上角的使用者選單（大頭貼），選擇客戶的租戶名稱。

  4. 確認切換成功。狀態窗格的 Organization 欄位應顯示客戶的租戶名稱。接著照步驟 3 測試。

  5. 工作結束後切回。從同一個使用者選單選回你公司的租戶，原本的通道就會恢復。

切換租戶時要知道
  • 切換到客戶的租戶後，你公司原本的 Internet 與 Microsoft 365 通道會暫時中斷，只剩連到客戶內部的通道。
  • 切換前就已開啟的連線（例如遠端桌面）會停留在原租戶，切換後請重新連線。
  • 若客戶要求 MFA，而你使用 Authenticator 的免密碼登入，切換可能失敗。請向客戶的管理者確認設定。
  • 找不到客戶的租戶時，先確認步驟 1 的設定，再停用並重新啟用用戶端。

手機與 Mac

以下為官方文件的概要，實際畫面與操作以資訊室提供的說明為準。

Mac（macOS 14 以上）

  1. 執行 GlobalSecureAccessClient.pkg，接受授權並安裝。

  2. 到「系統設定 › 隱私權與安全性」核准系統擴充功能，再核准加入 Proxy 設定。若資訊室已用 MDM 事先核准，這一步會自動略過。

  3. 必要時登入 Microsoft Entra，系統匣顯示「Global Secure Access - Connected」即完成。

iPhone 與 Android

  1. 安裝並登入 Microsoft Authenticator，完成裝置註冊。

  2. 安裝並登入 Microsoft Defender。

  3. 允許系統建立的「裝置範圍 VPN」設定檔。

  4. 在 Defender 中開啟 Global Secure Access 的開關。這個開關預設是關閉的，沒有開啟就不會傳送私有流量。

常見問題

顯示「Disabled by your organization」登入了，但是不能連

你的帳號尚未被啟用，或權限還在設定中。請聯絡資訊室，並提供：

  • 你的帳號
  • 電腦名稱
  • 登入時間與畫面截圖

資訊室處理完成後，請在系統匣圖示選單中重新登入，再試一次。

一直顯示 Disconnected連不上
  1. 確認電腦可以正常瀏覽一般網站。
  2. 如果在飯店、機場、公共網路，網路可能封鎖，改用手機熱點試試。
  3. 暫時關閉其他 VPN 軟體後再試。
  4. 重新登入用戶端，必要時重新啟動電腦。
顯示 Connected，但打不開系統通道正常，系統沒反應
  1. 確認位址與連接埠都輸入正確，沒有多打或少打字。
  2. 用方式 C 測試該埠，看是否 TcpTestSucceeded : True。
  3. 如果結果是 False，把位址、埠與時間回報資訊室。可能是你尚未被授權使用這個系統。
用 IP 可以開，用主機名稱打不開名稱無法解析
  1. 在命令提示字元執行 ipconfig /flushdns，再試一次。
  2. 瀏覽器設定中如果開啟「使用安全 DNS」，請先關閉。Edge 與 Chrome 的路徑是「設定 › 隱私權 › 安全性」。
  3. 仍然不行，請改用資訊室提供的 IP，並回報資訊室。
一直要我輸入 MFA，或登入被拒絕驗證相關
  • 確認手機有網路，並核准最新的一則通知。
  • 如果你換了手機，需要資訊室協助重新設定 MFA。
  • 被拒絕時請記下畫面上的錯誤訊息與時間，一併回報。
系統匣找不到圖示安裝完成但看不到

點系統匣的向上箭頭，圖示可能被收在裡面。還是找不到，請重新啟動電腦。如果重新啟動後仍然沒有，請回報資訊室，可能需要重新安裝。

換電腦或重新安裝系統需要重做嗎

新電腦要重新做步驟 1 與步驟 2。你的權限跟著帳號走，通常不需要資訊室重新開通。

回報資訊室

需要協助時，附上下列資訊，可以讓處理更快。直接複製下方範本填寫：

回報範本
帳號：
電腦名稱：
發生時間：
用戶端狀態（Connected / Disconnected / Disabled by your organization）：
要連的位址與連接埠：
錯誤訊息或截圖：
已嘗試的處理：