configuring-zscaler-private-access-for-ztna

ZTNA 向けの Zscaler Private Access の設定

使用する場面

• 従来の VPN コンセントレーターを、アプリケーションレベルのゼロトラストアクセスに置き換える場合
• ネットワークレベルの接続を提供せずに、リモートユーザーが内部アプリケーションへ安全にアクセスできるようにする場合
• ユーザーに許可されたアプリケーションのみを表示する、最小権限アクセスを実装する場合
• 内部アプリケーションを、許可されていないユーザーやインターネットから見えないようにする必要がある場合
• Zscaler Internet Access (ZIA) を使用して、既存の SASE アーキテクチャに ZTNA を統合する場合

次の場合は使用しないでください。未加工の UDP アクセスが必要なアプリケーション（ZPA は主に TCP をサポート）、サイト間 VPN と同等のネットワークレベルのフルアクセスを提供する場合（代わりに ZPA AppProtection またはブランチコネクターを使用）、またはクラウドに依存せずオンプレミスのみでアクセス制御を行う必要がある組織の場合。

前提条件

• Zscaler Private Access サブスクリプション（Business または Transformation エディション）
• ID プロバイダーの設定：Okta、Microsoft Entra ID、Ping Identity、または SAML 2.0 IdP
• App Connector VM の要件：Linux VM（CentOS 7/8、RHEL 7/8、Ubuntu 18.04+、Amazon Linux 2）、2 vCPU、最低 4GB RAM
• App Connector から ZPA クラウドへのアウトバウンド接続（ポート 443、インバウンドポートは不要）
• App Connector から内部アプリケーションの FQDN を名前解決できること
• ユーザーのエンドポイントに Zscaler Client Connector がデプロイされていること

ワークフロー

ステップ 1：アプリケーションネットワークに App Connector をデプロイする

App Connector は ZPA クラウドへのアウトバウンド専用トンネルを確立し、内部アプリケーションへのアクセスを提供します。

# Download and install App Connector on Linux VM
# Obtain provisioning key from ZPA Admin Portal > Administration > App Connectors

# For RHEL/CentOS
sudo yum install -y https://yum.private.zscaler.com/yum/el7/zpa-connector-latest.rpm

# For Ubuntu/Debian
curl -sS https://dist.private.zscaler.com/apt/pubkey.gpg | sudo apt-key add -
echo "deb https://dist.private.zscaler.com/apt stable main" | sudo tee /etc/apt/sources.list.d/zpa.list
sudo apt update && sudo apt install -y zpa-connector

# Configure the connector with provisioning key
sudo /opt/zscaler/bin/zpa-connector configure \
  --provision-key "PROVISIONING_KEY_FROM_PORTAL"

# Start the connector service
sudo systemctl enable zpa-connector
sudo systemctl start zpa-connector

# Verify connector status
sudo systemctl status zpa-connector
sudo /opt/zscaler/bin/zpa-connector status

# Deploy second connector for HA (minimum 2 per site)
# Repeat on second VM with same App Connector Group provisioning key

ステップ 2：サーバーグループとアプリケーションセグメントを定義する

内部アプリケーションをサーバーグループにマッピングし、アプリケーションセグメントを作成します。

ZPA Admin Portal Configuration:

1. Server Groups:
   Navigate to: Administration > App Connectors > Server Groups
   - Name: "DC-East-Servers"
   - App Connector Group: "DC-East-Connectors"
   - Servers:
     - hr-portal.internal.corp (10.1.1.50, TCP 443)
     - finance-app.internal.corp (10.1.1.51, TCP 443)
     - git.internal.corp (10.1.2.10, TCP 22, 443)

2. Application Segments:
   Navigate to: Resources > Application Segments > Add Application Segment
   - Name: "HR Applications"
   - Domain/URL: hr-portal.internal.corp
   - TCP Ports: 443
   - Server Group: DC-East-Servers
   - Health Reporting: Continuous
   - Bypass Type: Never (force all traffic through ZPA)

   - Name: "Engineering Tools"
   - Domain/URL: git.internal.corp, ci.internal.corp, wiki.internal.corp
   - TCP Ports: 22, 80, 443
   - Server Group: DC-East-Servers
   - Segment Group: "Engineering Segment Group"

ステップ 3：アクセスポリシーを設定する

ID とデバイスの状態に基づいて、どのユーザーがどのアプリケーションセグメントにアクセスできるかを定義します。

ZPA Admin Portal > Policies > Access Policy:

Rule 1: HR Team Access
  - Name: "HR Portal Access"
  - Action: ALLOW
  - Criteria:
    - User Groups: "HR-Department" (from IdP)
    - Application Segment: "HR Applications"
    - Device Posture Profile: "Corporate Managed Device"
    - Client Type: Zscaler Client Connector
  - Conditions:
    - SAML Attribute: department = "Human Resources"
    - Device Trust Level: "HIGH" (CrowdStrike ZTA score > 70)

Rule 2: Engineering Access
  - Name: "Engineering Tools Access"
  - Action: ALLOW
  - Criteria:
    - User Groups: "Engineering-Team", "DevOps-Team"
    - Application Segment: "Engineering Tools"
    - Device Posture Profile: "Developer Workstation"
  - Conditions:
    - Machine Group: "Engineering Laptops"

Rule 3: Contractor Limited Access
  - Name: "Contractor Wiki Access"
  - Action: ALLOW
  - Criteria:
    - User Groups: "External-Contractors"
    - Application Segment: "Wiki Only"
    - Client Type: Zscaler Client Connector OR Browser Access
  - Conditions:
    - Time Window: Mon-Fri 08:00-18:00 EST

Rule 4: Default Deny
  - Name: "Block All Other Access"
  - Action: DENY
  - Criteria: All Users, All Applications
  - Log: Enabled

ステップ 4：デバイス状態プロファイルを設定する

エンドポイントセキュリティツールからデバイス状態のシグナルを統合します。

ZPA Admin Portal > Administration > Device Posture:

Profile 1: Corporate Managed Device
  - CrowdStrike Falcon: Running, ZTA Score >= 60
  - OS: Windows 10 21H2+, macOS 13+, Ubuntu 22.04+
  - Disk Encryption: Enabled (BitLocker/FileVault)
  - Firewall: Enabled
  - Screen Lock: Enabled

Profile 2: Developer Workstation
  - Inherits: Corporate Managed Device
  - CrowdStrike Falcon: ZTA Score >= 70
  - Patch Level: Within 30 days of latest
  - Certificate: Valid corporate certificate present

Profile 3: BYOD Device
  - OS: Latest minus 1 version
  - Browser: Chrome 120+ or Edge 120+
  - Antivirus: Any recognized AV running

ステップ 5：クライアントレス ZTNA 向けにブラウザーアクセスを有効にする

Zscaler Client Connector をインストールしていないユーザー向けに、ブラウザーアクセスを設定します。

ZPA Admin Portal > Resources > Application Segments:

For "HR Applications" segment:
  - Enable Browser Access: Yes
  - Browser Access Type: HTTPS
  - Custom Domain: hr.access.company.com
  - Certificate: Upload TLS certificate for custom domain
  - Authentication: SAML via corporate IdP
  - Session Timeout: 4 hours
  - Clipboard Control: Disabled for sensitive apps
  - File Upload/Download: Restricted

For Browser Access Portal:
  - Portal URL: access.company.com
  - IdP: Microsoft Entra ID (SAML 2.0)
  - MFA: Required
  - Applications shown: Only authorized per user group

ステップ 6：ログ記録とモニタリングを設定する

SIEM との統合と継続的なモニタリングのために、ログストリーミングを設定します。

ZPA Admin Portal > Administration > Log Streaming Service:

Log Receiver Configuration:
  - Name: "Splunk-SIEM"
  - Type: Splunk (HEC)
  - Destination: https://splunk-hec.company.com:8088
  - HEC Token: "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
  - Log Types:
    - User Activity: Enabled
    - App Connector Status: Enabled
    - Audit Logs: Enabled
    - Browser Access: Enabled

# Splunk search for ZPA access anomalies
index=zscaler_zpa sourcetype=zpa:useractivity
| where action="denied"
| stats count by user, application, policy_name
| where count > 10
| sort -count

主な概念

用語	定義
App Connector	内部ネットワークから ZPA クラウドへのアウトバウンド専用の暗号化トンネルを作成する軽量な Linux サービスです。インバウンドポートを開放せずに、アプリケーションへのアクセスを提供します
Application Segment	FQDN/IP とポートで定義された内部アプリケーションの論理的なグループです。アクセスポリシーを適用するためにサーバーグループにマッピングされます
Server Group	アプリケーションセグメントへのリクエストを処理できる、App Connector グループに関連付けられたアプリケーションサーバーの集合です
Access Policy	どのユーザー／グループが、どの条件（デバイスの状態、時間、場所）のもとで、どのアプリケーションセグメントにアクセスできるかを定義するルールです
Zscaler Client Connector	ポリシー適用とアプリケーションアクセスのために、ZPA クラウドへトラフィックをルーティングする、ユーザーデバイスにインストールされたエンドポイントエージェントです
Browser Access	Zscaler Client Connector のインストールを必要とせず、ウェブブラウザーからアプリケーションにアクセスできるクライアントレス ZTNA オプションです

ツールとシステム

• Zscaler Private Access (ZPA)：VPN を、ID ベースのアプリケーションアクセスに置き換えるクラウドネイティブの ZTNA プラットフォーム
• Zscaler Client Connector：ポリシー適用のために ZPA 経由でトラフィックをルーティングするクロスプラットフォームのエンドポイントエージェント
• ZPA App Connector：アプリケーションネットワークにデプロイする、アウトバウンド専用のトンネルエンドポイント
• ZPA Admin Portal：ポリシー、セグメント、コネクターの設定に使用するウェブベースの管理コンソール
• ZPA Log Streaming Service (LSS)：SIEM プラットフォーム（Splunk、Sentinel、QRadar）へのリアルタイムのログエクスポート
• CrowdStrike ZTA Integration：条件付きアクセスのポリシー適用に使用するデバイス状態のスコアリング

一般的なシナリオ

シナリオ：Cisco AnyConnect VPN から ZPA への 500 ユーザー組織の移行

コンテキスト：従業員 500 人の金融サービス企業が、リモートアクセスに Cisco AnyConnect を使用しています。VPN のスプリットトンネル構成にはセキュリティ上の隙間があり、フルトンネルモードではパフォーマンスの問題が発生します。この企業は、SOX コンプライアンスのためにアプリケーションレベルのアクセス制御を必要としています。

アプローチ：

1. HA 構成で 4 つの App Connector（データセンターごとに 2 つ）をデプロイします
2. 業務機能ごとにグループ化した 20 個の内部アプリケーションのアプリケーションセグメントを定義します
3. デバイスポスチャ要件を設定し、AD グループをアプリケーションセグメントに対応付けるアクセスポリシーを構成します
4. CrowdStrike ZTA スコアをデバイスポスチャの入力として統合します（標準アプリでは最低スコア 60、金融アプリでは 80）
5. ベンダーポータルにアクセスする契約社員向けに Browser Access を有効にします
6. SOX 監査証跡のため、アクセスログを Splunk にストリーミングするよう LSS を構成します
7. VPN と ZPA を並行して 3 週間運用します
8. ZPA 経由ですべてのアプリケーションにアクセスできることを検証した後、VPN 接続を段階的に廃止します

注意点：App Connector の DNS では、アプリケーションセグメントで使用されるすべての内部 FQDN を解決できる必要があります。ワイルドカードドメインセグメントの範囲が広すぎると、パフォーマンスの問題を引き起こす可能性があります。Browser Access はすべての Web アプリケーションフレームワークに対応しているわけではありません（WebSocket を多用するアプリでは Client Connector が必要になる場合があります）。CrowdStrike ZTA の統合では、ポスチャポリシーを適用する前に、すべてのエンドポイントに Falcon センサーをデプロイする必要があります。

出力形式

ZPA ZTNA Deployment Report
==================================================
Organization: FinanceCorp
Deployment Date: 2026-02-23

INFRASTRUCTURE:
  App Connectors: 4 (2x DC-East, 2x DC-West)
  Connector Status: All healthy
  Connector Version: 24.1.2

APPLICATION COVERAGE:
  Application Segments: 20
  Total Applications: 45
  Server Groups: 4
  Segment Groups: 6

ACCESS POLICIES:
  Total Rules: 12
  Allow Rules: 11
  Deny Rules: 1 (default deny)
  Device Posture Profiles: 3

USER ACCESS (last 30 days):
  Active Users: 487 / 500
  Total Sessions: 124,567
  Allowed Sessions: 123,890 (99.5%)
  Denied Sessions: 677 (0.5%)
  Browser Access Sessions: 2,341

VPN MIGRATION:
  Users migrated to ZPA: 487 / 500
  VPN decommission date: 2026-03-15