はじめに

注意：この記事は 2026年 5月時点の情報をもとに書かれています。

Microsoft 365（M365）の導入が進む中、企業の情シスやネットワークエンジニアにとって「会社のアカウントは許可するが、個人のアカウントや他社テナントへのログインは禁止する」というテナント制限（Tenant Restriction）は必須要件になりつつある。

Fortinetの公式ドキュメント（Restricted SaaS access）を読めば、FortiGateの機能を使ってこのテナント制限をネットワーク側で制御できることがわかる。

しかし、ここで「スモールオフィス向けだから安価なFortiGate 50Gを選ぼう」と判断すると、構築フェーズで完全に詰むことになる。本記事ではその技術的な理由と、正しい機器選定について解説する。

1. 課題：M365のテナント制御（TR）の仕組み

M365のテナント制御（TRv1や最新のTRv2）をネットワーク機器で実現するためには、HTTPS通信のヘッダー書き換え（Header Insertion）が必須となる。

具体的には、PCがM365の認証エンドポイント（login.microsoftonline.com や login.live.com など）へアクセスする際、ネットワーク機器がSSLインスペクションで通信を解読し、HTTPヘッダーに以下のような特定の値を強制的に挿入する。

TRv1：Restrict-Access-To-Tenants
TRv2：sec-Restrict-Tenant-Access-Policy

Microsoft側はこのヘッダーを見て「許可された組織からのアクセスか」を判定している。つまり、「ヘッダーの挿入」ができなければテナント制御は成立しない。

2. 機器選定の罠：なぜFG-50Gではダメなのか

FortiGateのWebフィルタ機能には、このヘッダー挿入機能が備わっている。公式ドキュメントにも設定手順が明記されているため、最新のOS（FortiOS 7.4や7.6）を積んだFG-50Gを買えばできると誤認しやすい。

しかし、FG-50G（RAM 2GBモデル）ではこのヘッダー挿入が不可能だ。

理由は、FortinetのOS仕様変更にある。FortiOS 7.4.4以降、メモリが2GB以下のローエンドモデルからは、リソース保護のために「プロキシ関連機能」が完全に削除された。
（参考：Proxy-related features no longer supported on FortiGate 2 GB RAM models

ヘッダー挿入は、インスペクションモードが「プロキシベース（Proxy-based）」でなければ動作しない。
FG-50Gではプロキシモードが選べず、「フローベース（Flow-based）」に固定される。
フローベースのWebフィルタは「URLを見て遮断する（検閲）」ことはできても、「パケットの中にヘッダーを書き足す（編集）」ことはできない。

結果として、設定画面からHeader Insertionの項目が消滅し、CLIで叩き込んでも機能しないという事態に陥る。

（参考）インスペクションモードについて

3. 解決策：どのモデルを選ぶべきか、どう構成すべきか

ネットワークベースでのテナント制限を要件に含める場合、解決策は以下のいずれかになる。

解決策A：メモリ4GB以上のモデルを選定する（推奨）
スモールオフィスであっても、FG-90G 以上のモデルを選定すること。
これらはメモリ要件をクリアしており、最新のOSでもプロキシベースのWebフィルタとヘッダー挿入機能がフルに活用できる。
※あるいは FG-70Gでも可か？メモリの情報がなかったので判断不能。

解決策B：エンドポイント側（Intune等）で制御する
ネットワーク機器でのヘッダー挿入を諦め、Microsoft Intune等を利用してWindows OSのレジストリやブラウザ設定から直接TRv2のヘッダーを送出させる構成にする。

解決策C：古いOSの機器をプロキシ専用として内側に置く（ハック）
すでにFG-50Gを買ってしまった場合の最終手段。プロキシ機能が削除される前のOS（FortiOS 7.2系など）で稼働するルーター（FG-60Fなど）を、FG-50Gの内側に透過モード（Transparent）で配置する。
FG-60FのWebフィルタでヘッダー挿入だけを肩代わりさせる構成だが、管理対象が増え、古いOSを維持するセキュリティリスクも伴うため、あくまで緊急避難的な措置である。

まとめ

公式ドキュメントは「OSが持つ全機能」を解説しているが、「ハードウェアの制限」までは各ページに書かれていない。M365の通信制御のように「パケットの中身を書き換える」重たい処理を実装する際は、単に最新OSに対応しているかだけでなく、「プロキシ機能がサポートされるメモリ容量（4GB以上）か」を必ず確認すること。

糸冬了！！