Microsoft Entra Private Access

📣Fazit Schmid Thomas

Der Microsoft Entra Private Access ist ein geniales Feature für die Ablösung von SSL VPN mit allen seinen Vorteilen. Ganz klar ist der negative Aspekt, dass die Geräte auf denen sie Microsoft Entra Private Access ausführen wollen diese entweder Entra ID Joined oder Hybrid Joined sein müssen.

Ist aber ganz klar eine ByDesign Geschichte.In meiner Testumgebung konnte ich problemlos alles soweit konfigurieren und nach der Bereitstellung der Systemvoraussetzungen auch betreiben.

---

ℹ️Allgemeine Informationen über Microsoft Entra Private Access

---

🛠️Einrichtungskapitel

Kapitel

1. Informationen Globaler sicherer Zugriff / Global Secure Access

2.0 Voraussetzungen

www.schmidcloud.ch

Microsoft Entra Private Access | 2.0 Voraussetzungen

Um Microsoft Entra Private Access und Microsoft Entra Internet Access zu nutzen benötigt es folgende Lizenzen 2.1 Lizenzenhttps://www.schmidcloud.ch/single-post/microsoft-entra-private-access-1-1-trial-lizenz-kaufenFür beide Funktionen ist eine Microsoft Entra ID P1 oder eine Microsoft Entra ID P2 Lizenz erforderlich. ❗Wichtig: Die Microsoft Entra ID Free kann nicht verwendet werden. Microsoft Entra Private AccessIst in der Microsoft Entra Suite Lizenz sowie Standalone verfügbar. Microsoft Ent

2.1 Lizenzen

www.schmidcloud.ch

Microsoft Entra Private Access | 2.1 Lizenzen

Microsoft Entra Private AccessMicrosoft Entra Private Access (Trial)1 Monat gratis testen25 Lizenzen inkludiert Microsoft Entra Private Access5.40 CHF Lizenz/Monat Microsoft Entra Private Access for FLW (Trial)1 Monat gratis testen Microsoft Entra Private Access for FLW3.60 CHF Lizenz/Monat Microsoft Entra Internet AccessMicrosoft Entra Internet Access (Trial)1 Monat gratis testen25 Lizenzen inkludiert Microsoft Entra Internet Access5.40 CHF Lizenz/Monat Microsoft Entra Internet Access for FLW

2.1.1 Trial Lizenzen kaufen

www.godangel.ch

Microsoft Entra Private Access | 2.1.1 Trial Lizenzen kaufen

Öffnen sie ein Browserfenster Navigieren sie ins Microsoft 365 Admin Centerhttps://admin.cloud.microsoft  Melden sie sich mit einem Benutzer an der Globale Administratoren Rechte besitzt. Fenster "Microsoft 365 admin center"Menü "Billing" >Menü "Purchase services" > Fenster "Marketplace Purchase services - Microsoft 365 admin center"Pfeil rechts anklicken bei Purchase from Microsoft >  Fenster "Marketplace Purchase services - Microsoft 365 admin center"Register "All products" >  Fenster "Marketp

2.1.2 Lizenzen zuweisen

www.godangel.ch

Microsoft Entra Private Access | 2.1.2 Lizenzen zuweisen

Navigieren sie im Microsoft 365 admin center ins Menü Your productsMenü "Billing" >Menü "Your products" >Microsoft Entra Private and Internet Access - Microsoft Entra Private Access >  Fenster "Your products - Microsoft 365 admin center | Microsoft Entra Private and Internet Access - Microsoft Entra Private Access"Abschnitt "Trial licenses"Assign licenses >  Fenster "Your products - Microsoft 365 admin center | Microsoft Entra Private Access"Assign licenses >  Fenster "Your products - Microsoft

2.2 Gruppe erstellen für Private Access

www.godangel.ch

Microsoft Entra Private Access | 2.2 Gruppe erstellen für Private Access

Fenster "Groups - Microsoft Entra admin center"Menü "Entra ID" >Menü "Groups" >Menü "All groups" >New group >  Fenster "New Group - Microsoft Entra admin center"Auswahl Group type Security >Eingabe Group name G_Remote UsersEingabe Group description Remote Users für Microsoft Entra Private Access Zugriff[x] No Microsoft Entra roles can be assigned to the groupAuswahl Membership type Assigned >No members selected >  Fenster "Add members"Eingabe Suchfeld schmid thomas[x] Schmid Thomas User thomas@s

3.0 Mandanten Onboarding durchführen

www.godangel.ch

Microsoft Entra Private Access | 3.0 Mandanten Onboarding durchführen

Das Mandanten Onboarding für das Microsoft Entra Private Access müssen sie nur einmalig durchführen.Browserfenster öffnenNavigieren sie auf die URLhttps://entra.microsoft.com Fenster "Swiss-Schmid - Microsoft Entra Admin Center"Menü "Globaler sicherer Zugriff" >Menü "Dashboard" >  Fenster "Swiss-Schmid - Microsoft Entra Admin Center | Willkommen bei globaler sicherer Zugriff"Aktivieren >  Das Mandanten Onboarding wird durchgeführt…    Das Onboarding des Mandanten wird nun mit einem grünen Balken

4.0 Aktivieren des Private access profile

www.godangel.ch

Microsoft Entra Private Access | 4.0 Aktivieren des Private access profile

Fenster "Traffic forwarding - Microsoft Entra Admin Center"Menü "Global Secure Access" >Menü "Connect" >Menü "Traffic forwarding" > Abschnitt "Private access Profile"[x] Private access profile  Fenster "Traffic forwarding - Microsoft Entra admin center"Enabling this profile directs Global Secure Access clients to acquire traffic for this profileAre you sure you want to proceed?OK >    

5.0 Benutzer oder eine Gruppe zum Private access profile zuweisen

www.godangel.ch

Microsoft Entra Private Access | 5.0 Benutzer oder eine Gruppe zum Private access profile zuweisen

Fenster "Traffic forwarding - Microsoft Entra admin center"Abschnitt "Private access profile"Abschnitt "User and group assignments"View >  Fenster "User and group assignments"Abschnitt "Select users"0 users, 0 groups assigned >  Fenster "Users and Groups - Microsoft Entra admin center | Users and Groups"+Add user/group  Fenster "Add Assignment - Microsoft Entra admin center | Add Assignment"Abschnitt "Users and groups"None Selected >  Fenster "Users and groups"Eingabe Search thomasAuswahl [x] Sc

6. Microsoft Entra Private Connector

www.godangel.ch

Microsoft Entra Private Access | 6. Microsoft Entra Private Connector

🆕6.1 Voraussetzungenhttps://www.godangel.ch/single-post/microsoft-entra-private-access-6-1-voraussetzungen🆕6.1.1 .NET v4.7.2+https://www.godangel.ch/single-post/microsoft-entra-private-access-6-1-1-net-v4-7-2🆕6.1.2 HTTP 2.0 deaktivierenhttps://www.godangel.ch/single-post/microsoft-entra-private-access-6-1-2-http-2-0-deaktivierenFolgende Beiträge folgen in Kürze6.1.3 Aktivierung TLS 1.26.2 Microsoft Entra Private Connector installieren (vm-adm-prod-001)6.3 Fehler Installation Microsoft Entra P

6.1 Voraussetzungen

www.godangel.ch

Microsoft Entra Private Access | 6.1 Voraussetzungen

🆕6.1.1 .NET v4.7.2+https://www.godangel.ch/single-post/microsoft-entra-private-access-6-1-1-net-v4-7-2🆕6.1.2 HTTP 2.0 deaktivierenhttps://www.godangel.ch/single-post/microsoft-entra-private-access-6-1-2-http-2-0-deaktivierenFolgende Beiträge folgen in Kürze6.1.3 TLS 1.2 muss auf dem Server aktiviert sein, bevor der Microsoft Entra Private Connector installiert werden kann

6.1.1 .NET v4.7.2+

www.godangel.ch

Microsoft Entra Private Access | 6.1.1 .NET v4.7.2+

Vergewissern sie sich, dass auf dem Server auf dem sie den Microsoft Entra Private Connector installieren wollen, mindestens das .NET Framework v4.7.2 oder höher installiert ist.

6.1.2 HTTP 2.0 deaktivieren

www.godangel.ch

Microsoft Entra Private Access | 6.1.2 HTTP 2.0 deaktivieren

Wenn sie planen Kerberos Single Sign On (SSO) mit dem Microsoft Application Proxy-Dienst zu verwenden dann sollten sie, auf dem Server auf den sie den Microsoft Entra Private Connector installieren wollen, HTTP2-Protokollunterstütztung deaktivieren. Dies ist ab Windows Server 2019 erforderlich. Sie können das über den Registry Key unten deaktivieren  Erstellen sie ein *.reg Datei. Fenster "Notebpad"Öffnen sie Notepad und kopieren sie den folgenden Text in den Textbereich. Windows Registry Editor

6.1.3 Aktivierung TLS 1.2

www.godangel.ch

Microsoft Entra Private Access | 6.1.3 Aktivierung TLS 1.2

Auf dem Microsoft Entra Private Connector Server muss TLS 1.2 aktiviert werden. Sie können das direkt über die Registry oder mit dem unten beschriebenen PowerShell Script durchführen. Registry Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2][HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]"DisabledByDefault"=dword:00000000"Enabled"=dword:00000001[HKEY_LOC

6.2 Microsoft Entra Private Connector installieren (vm-adm-prod-001)

www.godangel.ch

Microsoft Entra Private Access | 6.2 Microsoft Entra Private Connector installieren (vm-adm-prod-001)

Der Global Secure Access Connector muss auf einem Server im Privaten Netzwerk installiert werden. Fenster "Connectors and sensors - Microsoft Entra admin center"Menü "Global Secure Access" >Menü "Connect" >Menü "Connectors and sensors" >Register "Private Network connectors"Download connector service >  Fenster "Private Network Connector Download"Accept terms & Download >  Die Datei MicrosoftEntraPrivateNetworkConnectorInstaller.exe wird heruntergeladen.  Kopieren sie die Datei auf einem Server i

6.3 Fehlebehebung Microsoft Entra Private Connector

www.godangel.ch

Microsoft Entra Private Access | 6.3 Fehlerbehebung Microsoft Entra Private Connector

Fehlerbehebungen6.3.1 Fehler Installation Microsoft Entra Private Connector / IE Enhanced Security Configurationhttps://www.godangel.ch/single-post/microsoft-entra-private-access-6-3-1-fehler-installation-microsoft-entra-private-connector-ie-en

6.3.1 Fehler Installation Microsoft Entra Private Connector / IE Enhanced Security Configuration

www.godangel.ch

Microsoft Entra Private Access | 6.3.1 Fehler Installation Microsoft Entra Private Connector / IE Enhanced Security Configuration

Es kann vorkommen, dass die Installation des Microsoft Entra Private Connector mit folgendem Fehler fehlschlägt. Fehler wegen der Serverkonfiguration Als erstes erscheint während der Installation beim Laden des Anmeldebildschirms die folgende Internet Explorer Fehlermeldung. Fenster "Internet Explorer"Content within this application coming from the website listed below is being blocked by Internet Explorer Enhanced Security Configuration.Add >  Fenster "Trusted sites"Add >Close >  Fenster "Somet

7.0 Quick Access konfigurieren

www.godangel.ch

Microsoft Entra Private Access | 7. Quick Access konfigurieren

7.1 Quick Access Application segments erstellenhttps://www.godangel.ch/single-post/microsoft-entra-private-access-7-1-quick-access-application-segments-erstellen7.2 Private DNS aktivierenhttps://www.godangel.ch/single-post/microsoft-entra-private-access-7-2-private-dns-aktivieren7.3 Quick Access Benutzer und Gruppen zuweisenhttps://www.godangel.ch/single-post/microsoft-entra-private-access-7-3-quick-access-benutzer-und-gruppen-zuweisen

7.1 Quick Access Application segments erstellen

www.godangel.ch

Microsoft Entra Private Access | 7.1 Quick Access Application segments erstellen

Fenster "Quick Access - Microsoft Entra admin center"Menü "Global Secure Access" >Menü "Applications" >Menü "Quick Access" >  Fenster "Quick Access - Microsoft Entra admin center"Menü "Manage"Menü "Create Quick Access configuration"Eingabe Name Quick AccessAuswahl Connector Group Default - Europe >Register "Application segment"+ Add Quick Access application segment  Fenster "Create application segment"Auswahl Destination type IP Adress range (CIDR) >Eingabe Starting address 10.10.0.0Auswahl Netw

7.2 Private DNS aktivieren

www.godangel.ch

Microsoft Entra Private Access | 7.2 Private DNS aktivieren

Fenster "Quick Access - Microsoft Entra admin center"Menü "Manage"Menü "Create Quick Access configuration"Register "Private DNS" >[x] Enable Private DNS+ Add DNS suffix >  Fenster "Add DNS suffix"Eingabe dsgodangel.chAdd >  Fenster "Quick Access - Microsoft Entra admin center"Save >  Nach einer kurzen Überprüfung sollte nun alles konfiguriert sein.    

7.3 Quick Access Benutzer und Gruppen zuweisen

www.godangel.ch

Microsoft Entra Private Access | 7.3 Quick Access Benutzer und Gruppen zuweisen

Klicken sie nun nochmals auf das Menü "Quick Access" > Sie sehen dann sollte im Menü "Manage" von Quick Access nun das Menü "Users and groups" erschienen sein.+ Add user/group >  Fenster "Add Assignment - Microsoft Entra admin center"None Selected >  Fenster "Users and groups"Eingabe Search G_Remot[x] G_Remote Users >  Eingabe Search Schmid Thomas[x] Schmid ThomasSelect >  Fenster "Add Assignment - Microsoft Entra admin center"Assign >  Fenster "Quick Access - Microsoft Entra admin center"Die Zu

8. Windows 11 Client Bereitstellung

8.1 Windows 11 Installation (v-pc-schmid-01)

www.schmidcloud.ch

Microsoft Entra Private Access | 8.1 Windows 11 Installation (v-pc-schmid-01)

Um den Global Secure Client zu testen, installiere ich einen Client VM mit Windows 11. Fenster "Windows 11 Setup - Select language settings"Auswahl Language to install English (United States) >Auswahl Time and currency format German (Switzerland) >Next >  Fenster "Windows 11 Setup - Select keyboard settings"Auswahl Keyboard or input method (Swiss German) >Next >  Fenster "Windows 11 Setup - Select setup option"[x] Install Windows 11[x] I agree everything will be deleted including files, apps, an

8.2 Hostname ändern

www.schmidcloud.ch

Microsoft Entra Private Access | 8.2 Hostname ändern

Nach der Installation des Windows 11 wird ein generischer Hostname (DESKTOP-UPBIDJ9) von der Installation im Microsoft Entra Admin center noch angezeigt.  Wir möchten das die VM v-pc-schmid-01 heisst. Klicken sie in der VM auf Settings >  Fenster "Settings"Menü "Home" >Rename >  Fenster "Rename your PC"Eingabe Name your device v-pc-schmid-01Next >  Fenster "Rename your PC"Restart now >  Die Virtuelle Maschine wird neugestartet.  Melden sie sich mit ihrem Benutzer an.  Nach dem Neustart können si

8.3 Vmware Tools installieren

www.schmidcloud.ch

Microsoft Entra Private Access | 8.3 VMware Tools installieren

Damit sie eine vollständige Treiberunterstützung in der VMware Workstation verwenden können. Müssen sie noch die VMware Tools in der VM installieren. Fenster "v-pc-schmid-01 - VMware Workstation"Menü "VM" >Menü "Install VMware Tools…" >  In der Virtuellen Maschine wird dann ein DVD/CD Laufwerk dargestellt.Doppel klicken sie auf DVD Drive (D:) Vmware Tools >  Fenster "User Account Control - Do you want to allow this app to make chanes to your device?"Yes >  Fenster "Vmware Product Installation"Di

🆕9. Global Secure Access Client

www.schmidcloud.ch

Microsoft Global Secure Access | 9.0 Global Secure Access Client

🕜Kapitel folgen in Kürze9. Global Secure Access Client9.1 Global Secure Access Client herunterladen9.2 Global Secure Access Client Voraussetzungen9.3 Global Secure Access Client Installation9.4 Global Secure Access Client Verbindung herstellen9.5 Verbindung zum Internen Netzwerk überprüfen9.5.1 Zugriff auf Test SharedFolder auf SQL Server (vm-sql-prod-001.dsgodangel.ch)

🆕9.1 Global Secure Access Client herunterladen

www.schmidcloud.ch

Microsoft Global Secure Access | 9.1 Global Secure Access Client herunterladen

Fenster "Client download - Microsoft Entra admin center"Menü "Global Secure Access" >Menü "Connect" >Menü "Client download" >Abschnitt "Windows" >Download Client >    

🆕9.2 Global Secure Access Client Voraussetzungen

www.schmidcloud.ch

Microsoft Global Secure Access | 9.2 Global Secure Access Client Voraussetzungen

Systemvoraussetzungen • Windows 10 / Windows 11 • Microsoft Entra joined • Local admin permissions

🆕9.2.1 Entra joined / Entra Hybrid Joined

www.schmidcloud.ch

Microsoft Global Secure Access | 9.2.1 Entra joined / Entra Hybrid Joined

Der Client auf dem sie den Global Secure Access verwenden möchten muss entweder Entra Joined oder Entra Hybrid Joined sein um den Client zu verwenden. Sie können das überprüfen in dem sie auf dem Client eine Powershell öffnen und mit dem Befehl dsgetcmd /status Den Wert bei AzureAdJoined überprüfen. Da sollte YES stehen.  

🆕9.3 Global Secure Access Client Installation

www.schmidcloud.ch

Microsoft Global Secure Access | 9.3 Global Secure Access Client Installation

Doppelklicken sie auf die GlobalSecureAccessClient.exe >  Fenster "Global Secure Access Client Installer (x64) Setup"[x] I agree to the license terms and conditionsInstall >  Fenster "User Account Control - Do you want to allow this app to make changes to your device?"Yes >  Die Installation wird durchgeführt…   …und abgeschlossen.Fenster "Global Secure Access Client Installer (x64) Setup - Global Secure Access Client Installer (x64) - Installation Successfully Completed"Close >    Powered by

🆕9.4 Global Secure Access Client Verbindung herstellen

www.schmidcloud.ch

Microsoft Global Secure Access | 9.4 Global Secure Access Client Verbindung herstellen

Fenster "GlobalSecureAccessClient"Sign in >  Fenster "Global Secure Access - Service Sign In | Sign in"Eingabe Email address thomas@swiss-schmid.chNext >  Fenster "Continue to sign in?Continue >  Klicken sie in der Tray-Icon Bar auf das Global Secure Access Client Icon >     

🕜Kapitel folgen in Kürze

9.5 Verbindung zum Internen Netzwerk überprüfen

9.5.1 Zugriff auf Test SharedFolder auf SQL Server (vm-sql-prod-001.dsgodangel.ch)

---

Alle Kapitel durcharbeiten....

2.1.1 Trial Lizenzen kaufen

Folgende Themen könnten dich auch interessieren

---

Powered by