Azure AD App Proxyを利用すれば、VPNを引かなくても特定のWebアプリを利用できる。
条件付きアクセスで、特定の条件を満たせば利用できるようになり、さらに便利に。

条件付きアクセス
https://docs.microsoft.com/ja-jp/azure/active-directory/active-directory-conditional-access-controls

ただ、意図したアクセスだけを許可したい場合は、対象でない環境からは明示的にブロックしないと、意外な穴が開いてしまう。

EMSライセンスユーザーに「iOSのセキュアブラウザだけ、ある社内アプリの利用を許可許可する」要件において、iOSの条件付きアクセスの設定だけではダメ。例えば、Windowsからアクセス要件を明示的にブロックしないと、WindowsやMacからApp ProxyのURLでアクセスできてしまう。
別に、WindowsやMacからはVPNなくて使えるならOK！ならそのまんまで良いのだけど。

なので、
●ライセンスを持っており、
●かつWebアプリにApp Proxy経由でのアクセスを許可する場合、
●通したいOSは条件付きアクセスを設定
●これ以外のOSは全部許可になるのでブロックする。

最後のブロックを忘れずに。