deploying-palo-alto-prisma-access-zero-trust

Palo Alto Prisma Access Zero Trust のデプロイ

使用するタイミング

• ZTNA、SWG、CASB、FWaaS を統合したエンタープライズグレードの SASE を導入する場合
• VPN と拠点のファイアウォールの両方を、クラウド提供型のセキュリティに置き換える場合
• リモートアクセストラフィックに高度な脅威防御（WildFire、DNS Security）が必要な場合
• モバイルユーザーとリモートネットワーク（拠点）接続の両方にゼロトラストを導入する場合
• Strata Cloud Manager 経由で既存の Palo Alto NGFW インフラストラクチャと ZTNA を統合する場合

次のような場合は使用しないでください：よりシンプルな ZTNA ソリューションで十分な小規模組織（200 ユーザー未満）、完全なネットワークセキュリティを伴わず Web アプリケーションへのアクセスのみが必要な環境、または予算の制約によりエンタープライズ SASE ライセンスを導入できない場合。

前提条件

• Prisma Access ライセンス（Business Premium または同等のもの）
• 設定済みの Strata Cloud Manager（SCM）テナント
• エンドポイントへのデプロイ用 GlobalProtect エージェント
• ZTNA Connector VM：4 vCPU、8GB RAM、128GB ディスク（VMware、AWS、Azure、または GCP）
• IDP（ID プロバイダー）：Okta、Entra ID、Ping Identity（SAML 2.0）
• ログ保存用の Palo Alto Cortex Data Lake

ワークフロー

ステップ 1: Strata Cloud Manager で Prisma Access インフラストラクチャを設定する

モバイルユーザーおよびリモートネットワーク接続用のクラウドインフラストラクチャを設定します。

Strata Cloud Manager > Prisma Access > Infrastructure Settings:

Mobile Users Configuration:
  - Service Connection: Auto-selected based on user location
  - DNS Servers: 10.1.1.10, 10.1.1.11 (corporate DNS)
  - IP Pool for Mobile Users: 10.100.0.0/16
  - Authentication: SAML with Okta (Primary), Entra ID (Secondary)
  - GlobalProtect Portal: portal.company.com
  - GlobalProtect Gateway: Auto (nearest Prisma Access location)

Infrastructure Subnet:
  - Range: 172.16.0.0/16
  - Allocation: /24 per Prisma Access location

ステップ 2: プライベートアプリケーションアクセス用に ZTNA Connector をデプロイする

ZTNA Connector をインストールし、内部アプリケーションへのセキュアなアクセスを提供します。

# Deploy ZTNA Connector on VMware (OVA)
# Download OVA from Strata Cloud Manager > Prisma Access > ZTNA Connectors

# AWS deployment via CloudFormation
aws cloudformation create-stack \
  --stack-name prisma-ztna-connector \
  --template-url https://prisma-access-connector-templates.s3.amazonaws.com/ztna-connector-aws.yaml \
  --parameters \
    ParameterKey=VpcId,ParameterValue=vpc-PROD \
    ParameterKey=SubnetId,ParameterValue=subnet-PRIVATE \
    ParameterKey=InstanceType,ParameterValue=m5.xlarge \
    ParameterKey=TenantServiceGroup,ParameterValue=TSG_ID \
    ParameterKey=ConnectorName,ParameterValue=dc-east-connector-01

# Verify connector registration
# Strata Cloud Manager > Prisma Access > ZTNA Connectors
# Status should show "Connected" with nearest Prisma Access location

# Deploy second connector for HA
# ZTNA Connector auto-discovers nearest Prisma Access location
# IPSec tunnel uses: ecp384/aes256/sha512 for IKE and ESP
# Bandwidth: up to 2 Gbps per connector

ステップ 3: アプリケーション定義とアクセスポリシーを定義する

ZTNA Connector 経由で内部アプリケーションを指すアプリケーション定義を作成します。

Strata Cloud Manager > Prisma Access > Applications:

Application 1: Internal Wiki
  - FQDN: wiki.internal.corp
  - Port: TCP 443
  - ZTNA Connector: dc-east-connector-01
  - Protocol: HTTPS
  - Health Check: Enabled (HTTP GET /health)

Application 2: Source Code Repository
  - FQDN: git.internal.corp
  - Ports: TCP 22, 443
  - ZTNA Connector: dc-east-connector-01, dc-east-connector-02
  - Protocol: HTTPS, SSH

Application 3: Finance ERP
  - FQDN: erp.internal.corp
  - Port: TCP 443
  - ZTNA Connector: dc-east-connector-01
  - Protocol: HTTPS
  - User Authentication: Required (re-auth every 2h)

Strata Cloud Manager > Policies > Security Policy:

Rule 1: Engineering Access to Dev Tools
  Source: User Group "Engineering" (from Okta SAML)
  Destination: Application "Source Code Repository", "Internal Wiki"
  HIP Profile: "Managed Device with CrowdStrike"
  Action: Allow
  Logging: Enabled
  Threat Prevention: Best Practice profile

Rule 2: Finance Access to ERP
  Source: User Group "Finance"
  Destination: Application "Finance ERP"
  HIP Profile: "Compliant Device - High Security"
  Action: Allow
  SSL Decryption: Forward Proxy
  DLP Profile: "Financial Data Protection"

Rule 3: Default Deny Private Apps
  Source: Any
  Destination: Any Private App
  Action: Deny
  Logging: Enabled

ステップ 4: デバイスポスチャ用に Host Information Profile（HIP）を設定する

HIP チェックを使用してデバイスポスチャの要件を定義します。

Strata Cloud Manager > Objects > GlobalProtect > HIP Objects:

HIP Object: "CrowdStrike Running"
  - Vendor: CrowdStrike
  - Product: Falcon Sensor
  - Is Running: Yes
  - Minimum Version: 7.10

HIP Object: "Disk Encryption Enabled"
  - Windows: BitLocker = Encrypted
  - macOS: FileVault = Encrypted

HIP Object: "OS Patch Level"
  - Windows: >= 10.0.22631
  - macOS: >= 14.0

HIP Profile: "Managed Device with CrowdStrike"
  - Match: "CrowdStrike Running" AND "Disk Encryption Enabled"

HIP Profile: "Compliant Device - High Security"
  - Match: "CrowdStrike Running" AND "Disk Encryption Enabled" AND "OS Patch Level"

ステップ 5: エンドポイントに GlobalProtect エージェントをデプロイする

セキュアな接続のために GlobalProtect エージェントを展開します。

# Deploy GlobalProtect via Intune (Windows)
# MSI download from Strata Cloud Manager > GlobalProtect > Agent Downloads

# GlobalProtect pre-deployment configuration
# pre-deploy.xml for automated portal connection:
cat > pre-deploy.xml << 'EOF'
<GlobalProtect>
  <Settings>
    <portal>portal.company.com</portal>
    <connect-method>pre-logon</connect-method>
    <authentication-override>
      <generate-cookie>yes</generate-cookie>
      <cookie-lifetime>24</cookie-lifetime>
    </authentication-override>
  </Settings>
</GlobalProtect>
EOF

# Verify GlobalProtect connection status
# GlobalProtect system tray > Settings > Connection Details
# Should show: Connected to nearest Prisma Access gateway
# IPSec tunnel established with full threat prevention

ステップ 6: ロギングとモニタリングを設定する

Cortex Data Lake との統合とモニタリングダッシュボードを設定します。

Strata Cloud Manager > Prisma Access > Monitoring:

Log Forwarding:
  - Cortex Data Lake: Enabled (all log types)
  - SIEM Forwarding: Splunk HEC (https://splunk-hec.company.com:8088)
  - Log Types: Traffic, Threat, URL, WildFire, GlobalProtect, HIP Match

Dashboard Monitoring:
  - Mobile Users: Active connections, locations, bandwidth
  - ZTNA Connectors: Health, latency, tunnel status
  - Security Events: Threats blocked, DLP violations, HIP failures
  - Application Usage: Top apps, top users, denied access attempts

Alerting:
  - ZTNA Connector down: Email + PagerDuty
  - HIP failure rate > 10%: Email to IT
  - Threat detected on mobile user: SOC alert

主要な概念

用語	定義
Prisma Access	単一のアーキテクチャから FWaaS、SWG、CASB、DLP、ZTNA を提供する Palo Alto のクラウド提供型 SASE プラットフォーム
ZTNA Connector	プライベートアプリケーションアクセスのために、内部ネットワークから Prisma Access へ IPSec トンネルを確立する VM ベースのコネクター
GlobalProtect	HIP チェックと常時接続 VPN により、Prisma Access へのセキュアな接続を提供するエンドポイントエージェント
Host Information Profile（HIP）	アクセスを許可する前に、エンドポイントのセキュリティ状態（EDR、暗号化、パッチ）を評価するデバイスポスチャチェック
Strata Cloud Manager	Prisma Access、NGFW、Prisma Cloud のセキュリティポリシーを管理する統合管理コンソール
Cortex Data Lake	Palo Alto のセキュリティテレメトリーを対象とした、クラウドベースのログ保存および分析プラットフォーム

ツールとシステム

• Prisma Access：ZTNA、SWG、CASB、DLP、FWaaS を統合したクラウド提供型 SASE
• Strata Cloud Manager（SCM）：Palo Alto のセキュリティ製品全体を対象とした統合ポリシー管理
• GlobalProtect エージェント：HIP データ収集機能を備えたエンドポイント接続エージェント
• ZTNA Connector：内部アプリケーションへのアクセス用のアウトバウンド専用トンネルコネクター
• Cortex Data Lake：分析および脅威検出機能を備えた集中ログストレージ
• WildFire：Prisma Access と統合されたクラウドベースのマルウェア分析および防御

一般的なシナリオ

シナリオ：5,000 ユーザーの組織におけるエンタープライズ SASE 移行

コンテキスト：15 のオフィスに 5,000 人のユーザーを擁する製造会社が、VPN、SWG、支店ファイアウォールを Prisma Access SASE に統合しています。ユーザーは 50 以上の社内アプリケーションにアクセスし、場所を問わず一貫したセキュリティを必要としています。

アプローチ：

1. 社内アプリケーションへのアクセス用に、3 つのデータセンターに ZTNA コネクターをデプロイします（HA 用に各 DC に 2 台）
2. 常時接続のセキュリティを実現するため、ログオン前接続を使用して GlobalProtect を設定します
3. FQDN とポートのマッピングを使用して、SCM で 50 以上のアプリケーション定義を作成します
4. HIP プロファイルを作成します：Standard（暗号化＋AV）、Enhanced（＋CrowdStrike＋パッチ）
5. HIP 要件に基づいてユーザーグループをアプリケーションに対応付けるセキュリティポリシーを構築します
6. 脅威防止プロファイル（アンチスパイウェア、アンチウイルス、WildFire、URL フィルタリング）を有効にします
7. SCCM を使用して、5,000 台すべてのエンドポイントに GlobalProtect エージェントを段階的にデプロイします
8. SOC の監視用に Cortex Data Lake から Splunk への転送を設定します
9. VPN コンセントレーターと支店のファイアウォールアプライアンスを廃止します

注意点：ZTNA コネクターには最低 4 vCPU と 8GB RAM が必要です。リソースの割り当てが不足すると、レイテンシーが発生します。GlobalProtect のログオン前接続では、ユーザーのログイン前に認証するためのマシン証明書が必要です。パフォーマンスへの影響を避けるため、HIP のチェック間隔は最低 60 秒に設定してください。全体展開の前に、4～6 週間のパイロットを計画してください。

出力形式

Prisma Access ZTNA Deployment Report
==================================================
Organization: ManufactureCorp
Deployment Date: 2026-02-23

INFRASTRUCTURE:
  ZTNA Connectors: 6 (2x DC-East, 2x DC-West, 2x DC-EU)
  Prisma Access Locations: 8 (auto-selected)
  GlobalProtect Portal: portal.manufacturecorp.com

APPLICATION ACCESS:
  Defined Applications: 52
  Active ZTNA Connections: 3,247
  Average Latency: 12ms

ENDPOINT DEPLOYMENT:
  GlobalProtect Deployed: 4,812 / 5,000 (96.2%)
  HIP Compliant: 4,567 / 4,812 (94.9%)
  HIP Failures: 245 (top: missing patches 120, encryption 85)

SECURITY (last 30 days):
  Threats Blocked: 1,234
  DLP Violations: 89
  URL Blocked: 45,678
  WildFire Submissions: 2,345