Mit Global Secure Access gelingt der Einstieg in die Microsoft Entra Suite

In vielen Tenants, die ich betreue, gehört „Zugriff von überall“ längst zum Alltag, und das klassische VPN wirkt daneben oft wie ein Überbleibsel aus einer anderen Zeit. Mit der inzwischen allgemein verfügbaren Microsoft Entra Suite und Global Secure Access (GSA) bietet Microsoft dafür eine interessante Alternative direkt aus der eigenen Cloud an. Die Entra Suite bündelt Entra Private Access, Entra Internet Access, Entra ID Governance, Entra ID Protection und Entra Verified ID – ein ordentliches Paket, das Identität, Zugriffssteuerung und Sicherheit unter einem Dach vereint. Viele Organisationen interessieren sich vor allem für den Security-Service-Edge-Ansatz, den Global Secure Access umsetzt. Damit lassen sich Remote Access und Webzugriff endlich durchgängig über die Identität und moderne Richtlinien steuern.

Global Secure Access verlagert den Netzwerkrand in die Cloud

Global Secure Access besteht aus Entra Internet Access und Entra Private Access, und Microsoft positioniert das Ganze als Security-Service-Edge-Lösung. Von klassischen VPN- oder Proxy-Lösungen unterscheidet es sich vor allem darin, dass Conditional Access die Zugriffsregeln direkt auf App-Ebene durchsetzt und der GSA-Client den Zugang über den Microsoft-Stack vermittelt. In den vergangenen Monaten habe ich die Preview von Private Access in einigen Umgebungen ausprobiert. Das Grundprinzip ist erfreulich einfach. Ein Connector, der als schlanke VM oder als Container im eigenen Netzwerk läuft, verbindet die lokalen Anwendungen mit der Cloud. Der GSA-Client auf dem Endgerät leitet Zugriffe auf festgelegte Anwendungen über diesen Weg. Authentifizierung und Autorisierung übernimmt Entra ID, und mit Conditional-Access-Richtlinien lässt sich beides sehr fein steuern.

Bei Internet Access schaltet sich GSA als Cloud-Proxy zwischen Client und Internetdienste. So lassen sich identitätsbasierte Steuerung, Web-Content-Filtering und der Schutz vor Datenabfluss zentral umsetzen. Für Microsoft-365-Dienste ist das sogenannte Microsoft Traffic Profile besonders praktisch, weil es ab Werk auf die wichtigsten Cloud-Dienste wie Exchange Online, SharePoint Online oder Teams abgestimmt ist. Einen schnellen Überblick über die einzelnen Bausteine gibt auch die Microsoft-Dokumentation (Überblick).

Das Onboarding beginnt am besten mit einem kleinen Pilotprojekt

Die meisten Organisationen steigen mit kleinen Pilotprojekten in Global Secure Access ein, und genau dazu rate ich auch. Konfiguriert wird inzwischen alles im Microsoft Entra Admin Center → Global Secure Access. Bei Private Access fängt man am besten mit einer überschaubaren Anwendung an, die bisher per VPN erreichbar war. Dafür stellt man im internen Netz einen GSA-Connector bereit und richtet die App als Private Resource ein. Den GSA-Client auf ein paar Pilot-Endpoints auszurollen, ist schnell erledigt, denn er lässt sich über Intune oder vergleichbare Tools verteilen.

Das folgende Mermaid-Diagramm zeigt, wie die Komponenten beim Zugriff auf eine interne App typischerweise zusammenspielen:

flowchart TD
    UserClient["GSA-Client"] --> TrafficForward["Traffic-Weiterleitung" ]
    TrafficForward --> GSACloud["Global Secure Access Cloud"]
    GSACloud --> ConditionalAccess["Conditional Access Prüfung"]
    ConditionalAccess --> GSAPrivateConnector["GSA-Connector (On-Prem)"]
    GSAPrivateConnector --> PrivateApp["Interne App"]

Abbildung: So läuft der Zugriff auf interne Anwendungen mit Entra Private Access ab.

In der Praxis erweist sich diese Architektur als sehr modular, vor allem weil man einzelne Apps gezielt onboarden und die Richtlinien im vertrauten Conditional-Access-Framework steuern kann. Von vielen IT-Teams höre ich, dass sie ein klassisches VPN damit mittelfristig nicht mehr brauchen.

Entra Internet Access kontrolliert Webzugriffe mit Filtern und Traffic-Profilen

Private Access sichert den Zugriff auf Anwendungen ab, Entra Internet Access kümmert sich dagegen um den gesamten Webverkehr. Wer das Microsoft Traffic Profile aktiviert, leitet alle für Microsoft 365 relevanten Dienste automatisch und performant über die GSA-Cloud. Der Vorteil liegt darin, dass moderne Conditional-Access-Richtlinien (z. B. die Pflicht zur modernen Authentifizierung oder Geofencing) auch bei Webdiensten unmittelbar greifen. Außerdem lassen sich Web-Content-Filter zentral anwenden und Datenabflüsse (z. B. Copy/Paste oder Uploads) fein abgestuft regeln (Details zur Logik der Webfilter).

Aus meinen ersten Projekten kann ich empfehlen, mit dem Microsoft Traffic Profile anzufangen und nur einen kleinen Randfall als Private App zu pilotieren. Das hält den Aufwand gering, und man bekommt schnell einen Eindruck davon, wie Funktion und Integration in der Praxis aussehen.

Welcher Verkehr weitergeleitet wird, legen Profile pro Endgerät fest. Eine gute Übersicht dazu bietet die Microsoft-Dokumentation (Traffic Forwarding Profiles). Der jeweilige Verkehr läuft allerdings nur dann tatsächlich über die GSA-Infrastruktur, wenn der GSA-Client installiert und das Profil konfiguriert ist.

Die Lizenzierung verlangt vor dem Start eine saubere Planung

Seit dem Marktstart der Microsoft Entra Suite gibt es für jede Funktion ein passendes Lizenzmodell. Den vollen Funktionsumfang von Global Secure Access (Private + Internet Access) enthalten die Pakete Entra Suite Plan 1 und Plan 2. Wer nur einzelne Komponenten braucht, kann diese gezielt nachlizenzieren, etwa Entra Internet Access für Microsoft 365 als Add-on zu bestehenden Entra-ID-P1/P2-Plänen. Ganz trivial sind die Lizenzdetails wie üblich nicht. Gerade bei internationalen Rollouts lohnt sich ein Blick auf die regionale Verfügbarkeit und auf möglicherweise nötige Zusatzlizenzen.

In der Praxis empfehle ich, zuerst die Lizenzierung im Tenant zu prüfen und dann mit einem kleinen Scope (Pilotgruppe) zu beginnen. Die meisten Fehler am Anfang entstehen tatsächlich, weil niemand klar festgelegt hat, welche Benutzer, Geräte und Apps überhaupt unter die neuen Richtlinien fallen sollen.

Conditional Access tritt an die Stelle des klassischen VPN

Nach einigen Testrunden mit der Entra Suite und Global Secure Access steht für mich fest, dass sich Access Management endgültig von Hardware-VPNs und Netzwerkrichtlinien hin zu identitäts- und appzentrierten Richtlinien verlagert. Viele Unternehmen gewinnen dadurch mehr Sicherheit und Übersicht und oft auch einen deutlich einfacheren Betrieb. Die eigentliche Komplexität liegt weniger in der Technik als in einer sauberen Planung und darin, die Geschäftsprozesse auf die neue Logik abzustimmen. Diese Aufgabe übernehmen viele IT-Abteilungen ohnehin zunehmend. Wer jetzt mit Pilotprojekten beginnt und die ersten Workloads in GSA überführt, kann mittelfristig die bisherige VPN-Infrastruktur ablösen und zugleich Webzugriff und Conditional Access aus einer Hand steuern. Genau das brauchen moderne Cloud-Umgebungen.