はじめに

2026年11月2日、Microsoft は、Microsoft Entra Internet Access (EIA) と Microsoft Entra Private Access (EPA) をまとめた 1 つのライセンスとして購入できるようになったことを発表しました。

今回発表された記事へのリンク
Global Secure Access: Private and Internet Access in one offering

新しいライセンスの名前は、Microsoft Entra Global Secure Access (GSA) です。
ちょっと、製品名みたいで逆にわかりづらいですが...

ただし、今回の発表で私が気になったのは、ライセンスの変更だけではありません。

ID とネットワークを結びつける 「Access Fabric」 という考え方と、それを支える条件付きアクセスや Universal Continuous Access Evaluation（Universal CAE）について説明されています。

これらを読み進めると、単なるセット販売ではなく、異なるアクセス先を、共通の ID 基盤とポリシーで継続的に保護するという方向性が見えてきました。

本記事では、その仕組みを整理し、私なりに考察しています。

本記事は、2026年11月3日に確認した情報に基づきます。
Microsoft の公式説明と筆者の考察は、区別して記載しています。実際の導入時には、最新の対応状況、適用条件、制約、必要なライセンスをご確認ください。

価格やライセンスの比較については、以下の別記事で整理しています。

2026/11/2 発表の「Global Secure Access」ライセンスって何？～ EIA・EPA・Entra Suite の価格と比較してみた
(https://qiita.com/carol0226/items/b4a180cba5273924cd51)

本記事の全体像

※本図は、Microsoft の公開情報と本記事の内容をもとに、生成AIを用いて筆者が作成した概念図です。Microsoft の公式図ではありません。

1. Access Fabric とは何か

Access Fabric は、今回の GSA の発表で初めて登場した考え方ではありません。

Microsoft は、2025年12月17日に公開した以下の記事で、その考え方を説明しています。

Access Fabric: A modern approach to identity and network access
(https://www.microsoft.com/en-us/security/blog/2025/12/17/access-fabric-a-modern-approach-to-identity-and-network-access/)

この記事では、Access Fabric について、次のように説明しています。

It isn’t a product or platform but a unified approach to access security

つまり、特定の製品やプラットフォームではなく、アクセスセキュリティを統合するアプローチという位置付けです。

ID とネットワークがシグナルを共有し、共通のポリシーエンジンを通じて、サインイン時だけでなく、セッション全体で継続的にアクセスを評価する考え方が示されています。

Access Fabric の 3 つの特徴

Microsoft は、効果的な Access Fabric に必要な特徴を、次の3つに整理しています。以下は、その説明の要約です。

特徴	説明の要旨
Contextual：状況を踏まえる	ID、デバイスの状態、ネットワーク情報、業務上の文脈などをアクセス判断に利用する
Connected：連携する	ID とネットワークの制御がシグナルを共有し、一貫したポリシーを適用する
Continuous：継続する	サインイン時だけでなく、セッション中も状態変化に応じてアクセスを再評価する

アクセス先が Microsoft 365、SaaS、プライベートリソース、AI サービスなどに分かれていても、保護の考え方まで分断しない。

誰が、どのデバイスから、どのような状態でアクセスしているかを、ID とネットワークの両方から判断し続ける。

GSA では、Microsoft Entra と条件付きアクセスを利用し、アプリケーション自身の認証とは別に、そのリソースへ到達するネットワークアクセスを、ID を踏まえて制御します。

Access Fabric の「Continuous」を支える仕組みの一つとして、次章から CAE と Universal CAE を整理していきます。

2. アプリ側の CAE と、ネットワーク側の Universal CAE

アクセスを開始した後にも、ユーザーやデバイスの状態は変化します。サインイン時に問題がなかったとしても、その後も同じ条件が維持されるとは限りません。

CAE を利用しない場合、アクセス条件の評価はトークンの発行・更新時が中心になります。そのため、途中でアカウントが無効化されても、サービス側が発行済みのトークンを受け入れる間は、有効期限までアクセスを継続できる場合があります。

一方、Continuous Access Evaluation（CAE） は、対応する状態変化を受けて、トークンの有効期限を待たずにアクセスを再評価する仕組みです。再評価の結果、ポリシーに応じてアクセスをブロックしたり、追加の認証や対処を求めたりできます。

つまり、最初にアクセスを許可するだけでなく、利用中の状態変化にも対応し、アクセスを続けてよいかを判断し直せることが、CAE の重要な役割です。

ここでは、アプリ側の CAE と、GSA の Universal CAE を分けて考えると分かりやすくなります。

2-1. アプリ側で対応する CAE

Exchange Online や SharePoint Online などの対応サービスでは、Microsoft Entra の重要なイベントを受け取り、まだ有効期限内のトークンであってもアクセスを拒否し、クライアントへ新しいトークンの取得を求められます。

公開情報：Microsoft Entra の継続的アクセス評価
(https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-continuous-access-evaluation?wt.mc_id=MVP_407731)

ポイント
アプリ側で対応する CAE は、GSA を必要としません。

2-2. アプリの対応に依存しない Universal CAE

一方、すべての SaaS やプライベートアプリが、CAE に対応しているわけではありません。

GSA の Universal CAE は、アクセス先のアプリケーション自身が CAE に対応していなくても、対応する状態変化を受けて、GSA を経由するアクセスの再認証と再評価につなげることができます。

観点	アプリ側の CAE	GSA の Universal CAE
主な制御点	対応するアプリやサービス	GSA のネットワークアクセス
アクセス先アプリの CAE 対応	必要	不要
主な前提	対応サービスと対応クライアント	対応する GSA 構成、クライアント、通信経路など

重要なのは、Universal CAE が、SaaS 自身のトークンやセッションを直接失効させるわけではないという点です。

再評価するのは、GSA へのアクセスと、そこを経由するネットワークアクセスです。アプリ自身のセッションや、GSA を経由しない別のアクセス経路まで、同時に制御されるわけではありません。

公開情報：ユニバーサル連続アクセス評価
(https://learn.microsoft.com/ja-jp/entra/global-secure-access/concept-universal-continuous-access-evaluation?wt.mc_id=MVP_407731)

ポイント
アプリ側で対応する CAE は、GSA を必要としません。

一方、アプリケーション自身が CAE に対応していない場合でも、GSA を経由することで、Universal CAE によるネットワークアクセスの継続的な再評価を利用できます。

3. 3つの領域を横断し、デバイス状態やリスクも再評価する

Universal CAE の公式ドキュメントでは、次の3つの領域が説明されています。

領域	対象となるアクセスの例
Microsoft Traffic	Microsoft サービスへのアクセス
Internet Access	インターネットや SaaS へのアクセス
Private Access	プライベートアプリ、ファイルサーバー、リモートデスクトップなどへのアクセス

Microsoft サービスへのアクセスについても、アプリ側の CAE とは別に、GSA を経由する対象のネットワークアクセスを Universal CAE によって再評価できます。

つまり、アクセス先の種類が違っても、GSA 側で共通の ID シグナルを受け取り、アクセスを再評価できるということです。

3-1. 今回は、再評価に使うシグナルも強化

今回の発表では、Universal CAE の新しいデバイス・リスクシグナルが、一般提供（GA）された機能として紹介されています。

ユーザーアカウントの無効化や、管理者によるセッション失効などに加え、次の変化も再評価につなげられます。

利用中のデバイスが無効化または削除された
利用中のデバイスが非準拠になった
Microsoft Entra ID Protection が高いユーザーリスクを検出した

ここでは、「どこへのアクセスを保護するか」と「何をきっかけに再評価するか」 を分けることが重要です。

公開情報：Microsoft Entra ID がユニバーサル CAE 再認証を引き起こすシグナル
https://learn.microsoft.com/ja-jp/entra/global-secure-access/concept-universal-continuous-access-evaluation?wt.mc_id=MVP_407731#microsoft-entra-id-signals-that-trigger-universal-cae-reauthentication

ポイント
従来の Universal CAE では、ユーザーアカウントの無効化などをユーザーベースのシグナルとして受け取り、アクセスを再評価することができました。

今回の Universal CAE の強化では、GSA を利用しているデバイスが「非準拠」になった場合なども再認証をトリガーするシグナルとして扱えるようになりました。

これにより Universal CAE は、デバイスの状態変化を再認証のトリガーとして利用し、その後のネットワークアクセスの再評価と条件付きアクセスポリシーの適用につなげられるようになります。

3-2. シグナルとポリシーはセットで設計する

デバイスが非準拠になったことや、ユーザーリスクが高くなったことを検出しても、それだけで意図したアクセス制限が完成するわけではありません。

Universal CAE が再認証を促し、対応する条件付きアクセスポリシーが、現在の状態に応じた許可・ブロック・対処要求を判断するという役割分担です。

そのため、シグナルを受け取る仕組みと、その状態にどう対応するかを決めるポリシーは、セットで設計する必要があります。

このうち、ユーザーリスクを検出し、条件付きアクセスで対処するための設計・設定については、以下の私の記事で整理しています。Universal CAE 自体の設定手順ではありませんが、再評価時に適用するリスクベースのポリシーを考えるうえで参考になります。

Microsoft Entra ID Protection (ID 保護) 導入ガイド～リスク検出から自動対処まで～
(https://qiita.com/carol0226/items/047470408a14240adb22)

4. 私の考察：Access Fabric の本質とは？

ここからは、公式の説明を踏まえた私の考察です。

今回 Access Fabric について調べてみて、私が一番重要だと感じたのは、アクセス先が違っても、同じ基準でアクセスを判断できるようになることです。

Microsoft 365、インターネット上の SaaS、プライベートアプリケーション、AI サービスなど、利用するサービスやアクセス先はそれぞれ異なります。

また、アクセスする主体も人だけではありません。今後は AI エージェントなど、人以外の主体からのアクセスについても考える必要があります。

Access Fabric という考え方では、アクセス先だけでなく、アクセスする主体や、そのアクセスに関するコンテキストを踏まえて、一貫したアクセス制御を実現していくことが重要になります。

一方、人がリソースへアクセスする場面では、

誰がアクセスしているのか
どのデバイスを使っているのか
どこからアクセスしているのか
ユーザーやデバイスが現在どのような状態なのか

といった情報を使い、Microsoft Entra と条件付きアクセスによってアクセスを判断できます。

しかも、その判断は最初の認証時だけではありません。

Universal CAE によって対応する状態変化を受け取り、必要に応じて再認証につなげ、条件付きアクセスで現在の状態をもう一度評価できます。

つまり、

アクセスする主体は、人だけでなく AI エージェントなどにも広がっていく。一方、人がリソースへアクセスする場面では、ユーザー・デバイス・場所・リスクなどの状態変化を踏まえ、その時点でもアクセスを続けてよいのかを判断し直す。

そして、その考え方を Microsoft 365、SaaS、プライベートリソース、AI サービスといった異なるアクセス先へ広げていく。

これが、私が今回の発表から理解した Access Fabric の姿です。

ポイント
Microsoft は、Access Fabric という考え方を約1年前から提唱していました。

今回、Universal CAE のシグナルが強化されたことで、ユーザーやデバイスの状態変化を踏まえてアクセスを継続的に再評価するという Access Fabric の考え方が、より具体的な形になってきたように感じます。

そして、その方向性と、EIA と EPA を Microsoft Entra Global Secure Access という 1 つのライセンスの提供形態にまとめた今回の発表は、同じ方向を向いているのではないかと思いました。

ただし、この考え方を実際のアクセス制御として成立させるには、GSA を迂回する経路も考える必要があります。
次章では、その点について整理しています。

5. GSA を経由しないアクセスは許可しない

Universal CAE による継続的なアクセス評価を利用しても、対象の通信が GSA を経由していない場合に利用できてしまっては、意味がありません。

そのため、Universal CAE を利用することだけでなく、GSA を経由しないアクセスを許可しない設計も重要になります。

Microsoft Entra ID で認証する Microsoft 365 や SaaS について、GSA 経由のアクセスだけを許可する設計と設定方法は、以下の私の記事で整理しています。

GSA 経由のみで Microsoft 365 / SaaS を許可する設計とそのメリット
(https://qiita.com/carol0226/items/d19375d8666b5d0b3862)

まとめ

今回の発表を、Access Fabric という観点から読み直してみました。

Microsoft Entra と条件付きアクセスを、共通の判断基盤として利用する
アプリ側の CAE と、ネットワーク側の Universal CAE は、制御する場所が異なる
Universal CAE は、Microsoft Traffic・Internet Access・Private Access を横断して保護を広げる
新しいデバイス・リスクシグナルによって、接続後の再評価に使う判断材料も拡充されている

私が感じたのは、「どこへ接続するか」だけでなく、「誰が、どの状態で、アクセスを続けてよいか」を、共通の基盤で判断する方向性です。

一度許可したら、その後も同じ判断を続けるのではない。状態が変われば、判断を更新する。

その仕組みを異なるアクセス先へ広げていくことが、Access Fabric を理解するうえで重要だと考えています。