Global Secure Access (GSA) には「生成 AI 分析情報ログ」という、生成 AI のログを取得する機能があります。
このログでは生成 AI に対してのプロンプト ログを取得することができ、サポートされている生成 AI についてはログを取得することができます。
サポートされる AI には、「Claude」も含まれているのですが、Claude Desktop (claude.exe) を使用していた際にログの出力が行われなかったので、その挙動について調査した際の情報をまとめておきたいと思います。
Global Secure Access クライアントのトラフィックログを確認する
GSA クライアントには詳細な診断を行うためのツールが含まれています。
詳細な診断ツールには、GSA のネットワークトラフィックを取得する機能が含まれており、特定のプロセスからの通信を確認することができます。
この機能を使用して、Claude Desktop (claude.exe) の通信を確認したものが次の画像となります。
Claude Desktop からの通信ですが「a-api.anthropic.com」に対して「UDP:443」で通信が発生していることが確認できます。
Claude Desktop から GSA の生成 AI 分析情報ログが取得できない場合、「TCP:443」ではなく「UDP:443」により通信が行われていることに起因している可能性を考慮する必要があります。
本投稿作成時点の Global Secure Access の QUIC のサポート状況
UDP:443 ですが、QUIC により使用されてることがあるポートとなります。
GSA では QUIC の通信に対して制限があります。
本投稿作成時点では、GSA のインターネット アクセスでは QUIC がサポートされていません。
QUIC はインターネット アクセスでサポートされていません
QUIC はまだインターネット アクセスでサポートされていないため、ポート 80 UDP と 443 UDP へのトラフィックはトンネリングできません。
先端
QUIC は現在、プライベート アクセスとMicrosoft 365ワークロードでサポートされています。
管理者は、クライアントが TCP 経由で HTTPS にフォールバックするようにトリガーする QUIC プロトコルを無効にすることができます。これは、インターネット アクセスで完全にサポートされています。 詳細については、インターネット アクセスでサポートされていない QUIC を参照してください。
先ほどのログを改めて確認すると UDP:443 の通信は「Bypassed」となっており、インターネット アクセスプロファイルをバイパスされていることが確認できます。
このような通信については、インターネット アクセス プロファイルがバイパスされているため、生成 AI 分析情報ログが取得されないようです。
GSA + QUIC については上述の制限事項のドキュメントのほかには、次のようなドキュメントも公開されています。
- グローバル セキュア アクセス Web コンテンツ フィルタリングを構成する方法
- Microsoft Entra Internet Accessを操作する
- アプリケーション アクセスのトラブルシューティング
- ネットワーク コンテンツ フィルタリング用のコンテンツ ポリシーを作成する
- Windows のグローバル セキュリティで保護されたアクセス クライアントのトラブルシューティング: [正常性チェック] タブ
- グローバル セキュア アクセスの脅威インテリジェンスを設定する方法
UDP:443 のアクセスを停止することによるログの取得
Claude Desktop の場合、UDP:443 で通信ができない場合、TCP:443 にフォールバックされます。
この場合、QUIC が使用されないため通常のインターネットアクセスとなり、バイパスはされないようになります。
QUIC ではなく TCP によるインターネットアクセスが行われた場合は、生成 AI 分析情報ログでプロンプトを取得できるようになります。
生成 AI 分析情報ログを取得できない場合、QUIC が使用されているかどうかを確認してみるというのは注意点の一つとなるのかもしれませんね。