SASEの認証と、端末・ネットワークによる制御¶

最終確認: 2026-09-29
SASEの全体像に戻る

30秒で復習¶

答え： 「誰が（ユーザー）」「どの端末で（デバイス）」「どこから（拠点）」を確認する。SASE自身がID・パスワードを持つのではなく、会社のID基盤（IdP）に認証を任せるのが基本。

対象	主な方式	ポイント
ユーザー	Entra ID / Okta などとの SAML / OIDC によるSSO、MFA	ユーザー・グループは SCIM で同期し、「経理部だけ経費システムOK」などのルールに使う
端末	SASEエージェント＋端末証明書、Intune等のMDM連携	デバイスポスチャ（OSが最新か、EDRが動作中か、ディスク暗号化など）を確認し、満たさなければ制限付きで接続させる
拠点	拠点ルーターから IPsec / GRE トンネル（事前共有鍵や証明書で認証）	エージェントを入れられない機器向け。拠点内のユーザーはキャプティブポータルやAD連携で本人確認する

一度通したら終わりではない：ゼロトラストのため接続中も再評価する。EDR停止、アカウント無効化、普段と違う国からのアクセスなどを検知すると、その場で遮断できる。
Microsoft の Global Secure Access では、Entra ID の条件付きアクセスをそのまま使えるので、M365のアクセスルールとまとめて管理しやすい。

答え： できる。「誰が」に加えて「どの端末で」「どこから」を条件にして、許可・制限付き許可・拒否を切り替えられる。

ZTNAだけの機能ではない。 端末・ネットワークの条件の確認は、SASE/SSE共通のポリシーエンジン（とIdPの条件付きアクセス）が行い、その結果を各機能が使う。

役割	担当
条件を確認する（判断する）	IdP（Entra IDの条件付きアクセス等）、SASEのポリシーエンジン、端末のエージェント
結果に応じて許可・制限する	ZTNA（社内アプリ）、SWG（Web）、CASB（SaaS）、FWaaS（全通信）

ただし、端末の状態を毎回確認してから通す考え方はZTNAの定義の中心なので、ZTNAの説明で登場することが最も多い。

分類	条件の例
端末	会社管理の端末か（Intune等に登録・準拠しているか）、端末証明書があるか、OSのバージョン、EDRが動作しているか、ディスクが暗号化されているか
ネットワーク	接続元のIPアドレス（本社・拠点のIPか）、国・地域、社内ネットワークにいるかどうか（信頼済みネットワークの検出）、SASE経由の通信か
リスク	サインインのリスク（普段と違う場所・不審なIP）、ユーザーのリスク（パスワード漏えいの疑いなど）

IPアドレスや国の判定は完全ではない。VPNサービスなどで偽装できるため、端末の条件と組み合わせる。
「どのWi-Fiか」（カフェ・ホテル等）までは細かく判定できないことが多い。基本は「社内かどうか」と「SASE経由かどうか」で考える。
Microsoftでは、Entra IDの条件付きアクセスで端末の準拠状態・場所（ネームドロケーション）・リスクを条件にでき、Global Secure Accessと組み合わせると「SASE経由の通信からだけM365を許可」（準拠ネットワークのチェック）もできる。