[GSA] Web コンテンツフィルタリングを構成する

Last updated at 2025-09-15Posted at 2025-09-15

GSA の Web コンテンツフィルタリングとは？

GSA の Web コンテンツフィルタリングを利用するためには、まず GSA のインターネットアクセスが動作していることが前提となります。

インターネットアクセス (Microsoft Entra Internet Access) は、下図のような Microsoft Entra Global Secure Access (略：GSA) を実現するための一部の構成要素です。

下図の赤丸の箇所が、インターネットアクセスの全体像であり、デバイスが、インターネットへ接続する際に介在し、Web コンテンツフィルタリングを適用させています。

GSA について
以下の記事が全体像の説明と詳細記事へジャンプできるサマリーになっています。

Microsoft Entra Global Secure Access の全体像
https://qiita.com/carol0226/items/29cba6c32a22893a1349

本記事のポイント
本記事で紹介する手順は、以下の公開情報の内容をもとに、私がおススメする具体的な設定内容を示したものになっています。何も考えずに、この記事を同じ設定を登録していけば、それっぽい動作を体感できます。

公開情報：グローバルセキュアアクセス Web コンテンツフィルタリングを構成する方法
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-web-content-filtering?wt.mc_id=MVP_407731

前提事項

① GSA インターネットアクセスの有効化

GSA の Web コンテンツフィルタリングを動作させるためには、インターネットアクセスが構成済みである必要があります。以下の記事を参照しインターネットアクセスを機能させておいてください。

[GSA] Microsoft Entra インターネットアクセスを構成する
https://qiita.com/carol0226/items/ae2bfdb209170fb41bae

② 条件付きアクセスの有効化

Web コンテンツフィルタリングを利用するためには、テナントで条件付きアクセスが利用できるようになっている必要があります。条件付きアクセスの初回利用については、以下の記事を参照してください。

セキュリティの既定値群と条件付きアクセスの初回利用について
https://qiita.com/carol0226/items/51a70a561b78af567972

作業の概要

Web コンテンツフィルタは、以下の 1.～3. の設定がすべて構成されている際に動作します。
それぞれの設定が、階層構造で参照しあっているため、１つでも欠けてしまうと採用されないルールとなってしまうためです。

1. Web コンテンツフィルタの作成
　※まず初めに作る必要があります。

2. セキュリテイプロファイルの割り当て
　※セキュリティプロファイルを作る際に、Web コンテンツフィルタを割り当てます。
　　複数の Web コンテンツフィルタをセキュリティプロファイルに登録することができます。

3. 条件付きアクセスの適用
　※条件付きアクセスを作る際に、セキュリティプロファイルを割り当てます。
　　これによって、GSA のトラフィックにセキュリティプロファイルが適用されるようになります。

4. Web コンテンツフィルタの動作確認

ポイント
1.～3. は、任意のルールを作成できるのですが、仕組みを理解しバランスの良いルールを構成するのは、非常に大変です。次章からは、私がおススメしたい設定を紹介しているので、手順に沿って設定してみて下さい。
設定の仕組みに慣れたら、自由にルールを構成すると良いと思います。

ポイント１：ログが見やすくなる
私のおススメ設定を活用することで、以下のようにログを見たときにどのポリシーに引っかかったのかが分かりやすくなります。

ポイント２：わかりやすいジャンル名で、おおざっぱにルールを制御できる
以下は、一般的なネットサーフィン と ビジネスでの利用 を Disable にして、対象外にしています。

ポイント３：カテゴリではフィルタされてしまう URL を除外できる
以下は、カテゴリブロックされている Qiita.com を除外対象にしています。

構築手順

1. Web コンテンツフィルタの作成

1．Microsoft Entra 管理センターへアクセスします。
https://entra.microsoft.com

2．左ペインを操作し グローバルセキュアアクセス －安全－ Web コンテンツフィルターポリシー を開きます。

最終的な構成
1.章をすべて実施すると、以下のような設定になります。
この完成形をイメージしながら、1-1.～1-7. の手順を実施してください。

1-1. 有害・不適切・高リスクコンテンツ(Liability)

1．以下の画面で ＋ポリシーの作成 を押します。

2．基本タブで名前欄に 有害・不適切・高リスクコンテンツ(Liability) と入力し、アクション欄は Block を選択して次へを押します。

3．ポリシールール タブでは、＋規則の追加 を押します。

4．名前欄に 有害・不適切・高リスクコンテンツ(Liability) と入力し、宛先の種類は webCategory を選択し、検索欄に Liability と入力します。
続いて、緑枠内に表示されたカテゴリを１つずつすべて選択して追加を押します。

これで、有害・不適切・高リスクコンテンツに該当するコンテンツがすべて選ばれた状態になっています。

5．レビュー タブでは、ポリシーの作成 を押します。

6．以下のようにポリシーが追加されていれば OK です。
続いて、次のポリシーを追加するために ＋ポリシーの作成 を押して、次の章に進みます。

1-2. 高帯域幅(HighBandwidth)

1．基本タブで名前欄に 高帯域幅(HighBandwidth) と入力し、アクション欄は Block を選択して次へを押します。

2．ポリシールール タブでは、＋規則の追加 を押します。

3．名前欄に 高帯域幅(HighBandwidth) と入力し、宛先の種類は webCategory を選択し、検索欄に HighBandwidth と入力します。
続いて、緑枠内に表示されたカテゴリを１つずつすべて選択して追加を押します。

4．以下の表示になったことを確認し次へを押して進みます。

5．レビュー タブでは、ポリシーの作成 を押します。

1-3. 一般的なネットサーフィン(GeneralSurfing)

1．基本タブで名前欄に 一般的なネットサーフィン(GeneralSurfing) と入力し、アクション欄は Block を選択して次へを押します。

2．ポリシールール タブでは、＋規則の追加 を押します。

3．名前欄に 一般的なネットサーフィン(GeneralSurfing) と入力し、宛先の種類は webCategory を選択し、検索欄に GeneralSurfing と入力します。
続いて、緑枠内に表示されたカテゴリを１つずつすべて選択して追加を押します。

4．以下の表示になったことを確認し次へを押して進みます。

5．レビュー タブでは、ポリシーの作成 を押します。

1-4. ビジネスでの利用(BusinessUse)

1．基本タブで名前欄に ビジネスでの利用(BusinessUse) と入力し、アクション欄は Block を選択して次へを押します。

2．ポリシールール タブでは、＋規則の追加 を押します。

3．名前欄に ビジネスでの利用(BusinessUse) と入力し、宛先の種類は webCategory を選択し、検索欄に BusinessUse と入力します。
続いて、緑枠内に表示されたカテゴリを１つずつすべて選択して追加を押します。

4．以下の表示になったことを確認し次へを押して進みます。

5．レビュー タブでは、ポリシーの作成 を押します。

1-5. 生産性の低下(Productivity)

1．基本タブで名前欄に 生産性の低下(Productivity) と入力し、アクション欄は Block を選択して次へを押します。

2．ポリシールール タブでは、＋規則の追加 を押します。

3．名前欄に 生産性の低下(Productivity) と入力し、宛先の種類は webCategory を選択し、検索欄に Productivity と入力します。
続いて、緑枠内に表示されたカテゴリを１つずつすべて選択して追加を押します。

4．以下の表示になったことを確認し次へを押して進みます。

5．レビュー タブでは、ポリシーの作成 を押します。

1-6. 未分類(Uncategorized)

1．基本タブで名前欄に 未分類(Uncategorized) と入力し、アクション欄は Block を選択して次へを押します。

2．ポリシールール タブでは、＋規則の追加 を押します。

3．名前欄に 未分類(Uncategorized) と入力し、宛先の種類は webCategory を選択し、検索欄に Uncategorized と入力します。
続いて、緑枠内に表示されたカテゴリを１つずつすべて選択して追加を押します。

4．以下の表示になったことを確認し次へを押して進みます。

5．レビュー タブでは、ポリシーの作成 を押します。

1-7. 例外 URL

続いて、例外処理用のルールを作成します。

1．基本タブで名前欄に 例外 URL と入力し、アクション欄は Allow を選択して次へを押します。

ポイント
前章までの設定は Block でしたが、今回の設定は、★ で記載したとおり、Allow なので、注意してください。

2．ポリシールール タブでは、＋規則の追加 を押します。

3．名前欄には、例外対象にするサイトの名前（例：Qiita）を入力します。
宛先の種類は fqdn を選択し、宛先欄に URL（例：qiita.com,*.qiita.com）を入力します。
最後に追加を押します。

ポイント
URL を指定する際に *.qiita.com だけだと、qiita.com のページは対象にはなりません。
そのため、qiita.com と *.qiita.com の両方を設定する必要があります。

4．以下の表示になったことを確認し次へを押して進みます。

5．レビュー タブでは、ポリシーの作成 を押します。

6．以下のようにポリシーが追加されていれば OK です。

公開情報：Web コンテンツのフィルター処理ポリシーを作成する
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-web-content-filtering?wt.mc_id=MVP_407731#create-a-web-content-filtering-policy

Web のカテゴリについて
以下の公開情報にカテゴリーの一覧が記載されています。

公開情報：グローバルセキュアアクセス Web コンテンツのフィルター処理カテゴリ
https://learn.microsoft.com/ja-jp/entra/global-secure-access/reference-web-content-filtering-categories?wt.mc_id=MVP_407731

2. セキュリテイプロファイルの割り当て

1．引き続き Microsoft Entra 管理センターで、左ペインを操作し グローバルセキュアアクセス －安全－ セキュリティプロファイル を開きます。
続いて、開いた画面上で ＋プロファイルの作成 ボタンを押します。

2．基本情報 タブでは、プロファイル名欄に任意の名前（例：Webカテゴリフィルタリング）と入力し、状態欄は enabled、優先度欄は、100 であることを確認して次へを押して進めます。

3．リンクポリシー タブでは ＋ポリシーのリンク ボタンを押しドロップダウンメニューから 既存の Web コンテンツの制限ポリシー を選択します。

4．下図の通りポリシー名欄は 例外 URL を選択し、優先度欄が 100、状態欄が Enabled となっていることを確認し追加を押します。

5．１行追加されているため、前回と同様に ＋ポリシーのリンク ボタンを押しドロップダウンメニューから
既存の Web コンテンツの制限ポリシー を選択します。

6．下図の通りポリシー名欄は 有害・不適切・高リスクコンテンツ(Liability) を選択し、優先度欄が 110、状態欄が Enabled となっていることを確認し追加を押します。

注意
やりがちなのが、すでに存在する 優先度 と被って追加しようとすると、以下のエラーがでます。
この場合は、すでに優先度 100 のルールがあるにも関わらず、100 で追加をしようとした場合です。

7．１行追加されているため、前回と同様に ＋ポリシーのリンク ボタンを押しドロップダウンメニューから
既存の Web コンテンツの制限ポリシー を選択します。

8．下図の通りポリシー名欄は 高帯域幅(HighBandwidth) を選択し、優先度欄が 120、状態欄が Enabled となっていることを確認し追加を押します。

9．１行追加されているため、前回と同様に ＋ポリシーのリンク ボタンを押しドロップダウンメニューから
既存の Web コンテンツの制限ポリシー を選択します。

10．下図の通りポリシー名欄は 一般的なネットサーフィン(GeneralSurfing) を選択し、優先度欄が 130、状態欄が Enabled となっていることを確認し追加を押します。

11．１行追加されているため、前回と同様に ＋ポリシーのリンク ボタンを押しドロップダウンメニューから
既存の Web コンテンツの制限ポリシー を選択します。

12．下図の通りポリシー名欄は ビジネスでの利用(BusinessUse) を選択し、優先度欄が 140、状態欄が Enabled となっていることを確認し追加を押します。

13．１行追加されているため、前回と同様に ＋ポリシーのリンク ボタンを押しドロップダウンメニューから
既存の Web コンテンツの制限ポリシー を選択します。

14．下図の通りポリシー名欄は 生産性の低下(Productivity) を選択し、優先度欄が 150、状態欄が Enabled となっていることを確認し追加を押します。

15．１行追加されているため、前回と同様に ＋ポリシーのリンク ボタンを押しドロップダウンメニューから
既存の Web コンテンツの制限ポリシー を選択します。

16．下図の通りポリシー名欄は 未分類(Uncategorized) を選択し、優先度欄が 160、状態欄が Enabled となっていることを確認し追加を押します。

17．リンクポリシー タブのページで、追加したポリシーのリンクが表示されていることを確認し次へを押します。最後に レビュー タブのページで、プロファイルの作成 を行います。

18．以下の通知が表示されるため タイトルをクリックしてください の箇所をクリックします。

19．以下の通り、デプロイログのページへ遷移します。状態がデプロイが進行中になっています。
このまま、次の手順へ進めてしまって構いませんが、設定は デプロイ成功 に遷移してから機能しますので、覚えておいてください。

20．本章で設定した内容は、最終的に以下のような画面になっているはずです。

公開情報：セキュリティプロファイルを作成する
https://learn.microsoft.com/ja-jp/entra/global-secure-access/how-to-configure-web-content-filtering?wt.mc_id=MVP_407731#create-a-security-profile

3. 条件付きアクセスの適用

前章で作成したセキュリティプロファイルを条件付きアクセスに割り当てます。

1．Microsoft Entra 管理センターの左ペインを操作し Entra ID から 条件付きアクセス を開きます。続いて ポリシー を選択し、表示された画面から ＋新しいポリシー を押します。

2．名前欄には、任意の名称（例：Webフィルタリング）を入力し、ユーザー の欄を選択します。
続いて、表示された画面で すべてのユーザー を選択します。

ポイント
上記の手順では、すべてのユーザーを選択しています。
なお、複数のセキュリティプロファイルを作成しておき、ここの設定でグループごとに、別々のセキュリティプロファイルを割り当てることが可能です。

2．（任意）対象外 のタブで ディレクトリロール を選択します。
ドロップダウンのリスト内では、グローバル管理者 を選択しました。
この設定により、グローバル管理者だけを Web フィルタリングの対象外とすることができます。

3．ターゲットリソース を選択します。
右側の画面では グローバルセキュアアクセスを使ったすべてのインターネットリソース を選択します。

4．セッション を選択し、右側に表示された画面で グローバルセキュアアクセスのセキュリティプロファイルを使用する にチェックを入れ、ドロップダウンから前章で作成したセキュリティプロファイルの名称を選択します（例：Webカテゴリフィルタリング）
続いて、ポリシーの有効化欄をオンに変更し作成を押します。