正解: 選択肢4（各デバイスにGlobal Secure AccessクライアントをデプロイするIntuneポリシーを構成）。デバイス単位のWebトラフィックをGSAで確実に制御するにはクライアント展開が最初のステップです。
解説Global Secure Access（Microsoft Entra Internet Access）でWebコンテンツフィルタリングを行うには、デバイスからのインターネットトラフィックを Microsoft の Secure Service Edge (SSE) にルーティングする必要があります。デバイス（Windows 11／macOS）単位で「すべてのWebトラフィック」を確実に捕捉・制御するには、Global Secure Access クライアントを各デバイスに展開するのが基本かつ最初のステップです。デバイスは既に Intune に登録されているため、Intune を使ったクライアント配布が最も効率的・適切です。
各選択肢の検討- 選択肢1: Defender for Endpoint のオンボードはセキュリティ強化や統合には有用ですが、GSA でWebトラフィックをルーティング・フィルタリングする前提条件ではありません。最初の手順として不適切です。
- 選択肢2: ルーターのIPsecトンネル（リモートネットワーク接続）はサイト単位のトラフィック誘導に使えますが、本シナリオはデバイス（Windows/macOS）単位の「すべてのWebトラフィック」制御が要件であり、クライアント展開が直接的かつ確実な解です。また macOS のリモートネットワーク経由の細かな制御よりクライアント方式が適しています。
- 選択肢3: Microsoft Entra プライベートネットワークコネクタは Microsoft Entra Private Access（オンプレアプリへの安全なアクセス）用であり、インターネットWebフィルタリングとは目的が異なります。
- 選択肢4（正解）: GSAクライアントの展開により各デバイスのWebトラフィックをSSE経由にでき、Webフィルタリングを適用できます。Intune登録済みのため配布も容易で、最初の手順として最適です。
参考: Microsoft LearnWindows 用 Global Secure Access クライアントのインストール（Intune 展開を含む）Microsoft Entra Internet Access について