急速に変化するデジタル環境では、組織は環境の近代化と生産性向上のため、クラウド移行を進めています。Microsoft はクラウドアプリケーションとサービスの主要プロバイダーとして、ハイブリッドワークを支える包括的なソリューション群を提供しています。一方、クラウドへの移行は、組織のリソースのセキュリティと完全性を守るために対処すべき新たな課題とリスクも生み出します。
ハイブリッドおよびマルチクラウド環境へ移行すると、Software as a Service（SaaS）、セルフホスト、非 Web アプリケーションが混在し、これらのリソースへのアクセスを安全に制御するプロセスが複雑になりがちです。加えて、ユーザーをアプリケーションへ安全に接続するために、レガシーで多くの場合オンプレミスの Virtual Private Network（VPN）に頼ると、セキュリティギャップが生じ、従業員の生産性を損なうことがあります。 これらの課題を乗り越え、より高いセキュリティ成果を得るために、クラウドセキュリティとパフォーマンスの主要プロバイダーである Cloudflare との連携が有効です。Cloudflare は Microsoft のクラウドエコシステムとシームレスに統合し、セキュリティギャップの解消、性能の向上、ハイブリッドワーク環境全体の信頼性確保を助けます。
このリファレンスアーキテクチャ図では、Cloudflare の Secure Access Service Edge（SASE）プラットフォームと Microsoft のクラウドアプリケーション・サービスを組み合わせ、Zero Trust のセキュリティ態勢を実現し、クラウド近代化と生産性を加速しつつ、ハイブリッドワーク向けの包括的なセキュリティを提供する方法を説明します。Cloudflare の安全なネットワークアクセス、リスクの高いユーザーの隔離、アプリケーションとデータの可視性を活用し、統一インターフェースで管理を集約し、場所を問わず任意のリソースへ安全にアクセスできます。
本リファレンスアーキテクチャは、組織の Microsoft 導入に責任がある、またはその知識がある IT / セキュリティ担当者向けです。Zero Trust および SASE プログラムの観点から、Microsoft と Cloudflare を統合するさまざまな方法を理解するためのものです。
Cloudflare の基礎を固めるには、次のリソースをおすすめします。
- ソリューション概要: Cloudflare One ↗（3 分）
- ホワイトペーパー: Reference Architecture for Internet-Native Transformation ↗（10 分）
- ブログ: Zero Trust, SASE, and SSE: foundational concepts for your next-generation network ↗（14 分）
本リファレンスアーキテクチャを読むと、次を学べます。
- Zero Trust の観点から、ユーザー、デバイス、アプリケーション、ネットワークを守るために Cloudflare と Microsoft をどう統合するか
本ドキュメントには、Cloudflare と SASE をより詳しく見たリファレンスアーキテクチャも付随します。
本ドキュメントは技術レベルで Cloudflare を扱いますが、プラットフォームのすべての製品の細目は扱いません。製品領域やユースケースごとの詳細は 開発者ドキュメント ↗ を参照してください。
Cloudflare の Zero Trust Network Access ↗（ZTNA）は、従来の VPN より速く安全な代替です。オンプレミスの VPN インフラを置き換え、オンプレミスネットワーク、パブリッククラウド、Software as a Service（SaaS）のいずれでホストされていても、任意のアプリケーションを保護します。Microsoft Intune と Microsoft Entra ID（旧 Azure Active Directory）と統合することで、Cloudflare の ZTNA はデフォルト拒否の Zero Trust ルールを適用し、ユーザー ID とデバイスポスチャに基づき内部リソースへの条件付きアクセスを提供できます。
Microsoft と Cloudflare は次の方法で統合できます。
- Cloudflare で保護するすべてのリソースへの認証に Microsoft Entra ID ↗ を使う
- Cloudflare ポリシーで Microsoft Intune ↗ のデバイスポスチャを使い、管理され信頼されたデバイスだけが保護リソースへアクセスできるようにする
- Cloudflare CASB で Microsoft 365 ↗ テナントを検査し、誤設定アカウントや機密データを含む共有ファイルのセキュリティ検出を通知する
- Cloudflare の Secure Web Gateway で Outlook、OneDrive、Teams などの Microsoft SaaS アプリケーションへのアクセスを制御する
- Cloudflare の Email security でフィッシング攻撃とビジネスメール詐欺からのメール保護を強化する
Cloudflare と Entra ID の統合により、Cloudflare で保護する任意のアプリケーションへの認証に Entra の ID を使えます。グループは SCIM でインポートし、アクセスポリシーで使えるため、管理が簡素化され、Entra ID 側のグループ所属でアクセス制御を抽象化できます。
- Entra ID では、Conditional Access ポリシーでアプリケーションとユーザーの両方にポリシーを作成・適用できます。
- ユーザリスクレベル、サインインリスクレベル、デバイスプラットフォーム、場所、クライアントアプリなど、アプリケーションへのユーザーアクセスを制御する幅広いパラメーターがあります。
- セキュリティチームは Entra ID でセキュリティ制御を定義し、Cloudflare の ZTNA でネットワーク層、すべてのリクエストに対して適用できます。
Cloudflare はデバイスポスチャ情報を含むアクセスポリシーを適用できます。Intune を Cloudflare に統合すると、Intune で管理・保護されたデバイスの情報を、Cloudflare で保護するリソースへのアクセス制御に使えます。
- エージェント で接続したデバイスでは、Cloudflare の ZTNA が、ユーザーのデバイスポスチャとコンプライアンス状態について Intune が提供するテレメトリとコンテキストを活用できます。
- Intune はユーザーデバイスのセキュリティ状態と構成の詳細を提供し、より情報に基づくアクセス制御が可能です。
- この統合により、準拠した安全なデバイスだけが重要なネットワークとアプリケーションへアクセスできるようにできます。
多数の SaaS アプリケーションを採用すると、一貫したセキュリティ、可視性、性能の維持が難しくなります。アプリケーションごとに構成とセキュリティ要件が異なるため、IT チームは多様な環境でのコンプライアンス維持と機密データ保護に苦労します。
Cloudflare CASB（Cloud Access Security Broker）は、Microsoft 365 およびその他の主要 SaaS アプリケーション全体に幅広い可視性を提供し、この課題に対応します。誤設定、公開ファイル、ユーザーアクセス、第三者アクセスをすばやく特定し、安全で準拠した SaaS 環境を確保できます。
保管データの保護については、こちらの CASB ソリューション を参照してください。
Cloudflare の Secure Web Gateway（SWG）は、次の方法で Microsoft 365 への安全なアクセスを助けます。
- トラフィック検査とフィルタ: Cloudflare の SWG は、Microsoft 365 向けを含む、インターネット宛のすべてのユーザーおよびデバイストラフィックを検査します。セキュリティポリシー、コンテンツフィルタ、脅威防止を適用し、正当で許可されたトラフィックだけが Microsoft 365 サービスに届くようにできます。 上記のとおり、管理された安全なデバイスだけが Microsoft 365 と Azure プラットフォームのいずれかの部分にアクセスできるポリシーを設計できます。
- DLP プロファイルによるデータ保護: トラフィックはデバイスポスチャと ID 情報だけでなく、DLP エンジンがリクエスト内容を調べ、Microsoft 365 および Azure への機密情報のダウンロード / アップロードを許可またはブロックできます。
- Cloudflare ゲートウェイの強制: Microsoft 365 は、特定の IP アドレス範囲からのユーザートラフィックだけを受け入れるよう構成できます。Cloudflare では、SWG から出るすべてのトラフィックに付ける IP アドレスを定義・関連付けできます。これにより、Microsoft 365 が Cloudflare SWG が指定した IP 範囲からのトラフィックだけを受け入れるよう構成し、Microsoft 365 に届く前に Cloudflare のセキュリティポリシーで検査・承認されたトラフィックだけにできます。
Microsoft 365 アクセスのセキュアゲートウェイとして Cloudflare SWG を使うと、高度な脅威保護、きめ細かいアクセス制御、トラフィック検査、一元的な可視性の恩恵を受け、ユーザー体験を安全に保ちつつリスクを抑え、コンプライアンスを維持できます。
フィッシングは、金銭損失とブランド毀損につながる侵害の 90% 超の根本原因です。Cloudflare のメールセキュリティソリューションは、Microsoft 365 テナントへ向かうすべてのメールの前に置き、スパム、バルク、悪意のあるコンテンツ、なりすましをフィルタします。Microsoft の 隔離アクション用ルール を活用し、異なるメール検知の扱いを細かく調整できます。
既存の DNS レコードを変更せずに、API 経由で Microsoft 365 受信トレイをスキャンするようクラウドメールセキュリティを構成することもできます。
Cloudflare と Microsoft との統合を活用すると、従来のネットワークセキュリティモデルの制約を超えた Zero Trust のセキュリティ態勢を構築できます。Cloudflare の Zero Trust Network Access（ZTNA）でセルフホスト VPN を置き換え、ユーザー ID とデバイスポスチャに基づく条件付きアクセスを適用できます。Microsoft Entra ID との統合で認証とアクセス制御を行い、Microsoft Intune がデバイスポスチャ情報を提供します。さらに、Cloudflare の CASB が Microsoft 365 構成のセキュリティ可視性を提供し、Secure Web Gateway が Microsoft 365 向けトラフィックを検査・フィルタし、Email security がフィッシング攻撃から保護し、安全で準拠した環境を確保します。これにより、アプリケーションへのより速く安全なアクセスと、ID およびデバイスポスチャに基づくきめ細かいユーザーアクセス制御が可能になります。
