icon-zpa.svg
セキュアなプライベート アクセス(ZPA)

Google Cloud Platform用のPrivate Service Edgeの展開ガイド

この展開ガイドは、前提条件、Google Cloud Platform (GCP)でのPrivate Service Edgeの展開方法、展開後の検証チェックに関する情報を提供します。ZPA用Private Service Edgeの展開に関する一般情報は、ZPA Private Service Edgeの展開についてを参照してください。

  • Zscalerでは、サポートされるプラットフォーム上にZPA Private Service Edgeを展開する前に、以下の情報を読み、該当する場合は組織の環境に必要な変更を加えることを強く推奨します。

    各ZPA Private Service Edgeは、最大500Mbpsのスループットに対応しています。このページの情報を使用して、展開用のZPA Private Service Edgeのサイズ要件を決定します。たとえば、1Gbpsの集約(つまり、インバウンドとアウトバウンドの合計)接続では、2つから3つのZPA Private Service Edgeを展開する必要があります。

    • ZPA Private Service Edgeごとに最大500Mbpsのスループットを実現するために、Zscalerが推奨する仕様は次のとおりです。

      • メモリ(RAM)およびvCPU(仮想マシンの場合)またはCPU(物理マシンの場合)コアは次の通りです。
      アクティブなユーザーメモリーvCPUまたはCPUコア
      2,000まで8GB(ZDX使用時は10GB)4個のvCPUまたは4個のCPU
      4,000まで16GB(ZDX使用時は18GB)8個のvCPUまたは8個のCPU
      10,000まで32GB(ZDX使用時は34GB)16個のvCPUまたは16個のCPU

      詳細は、プラットフォーム用のZPA Private Service Edge展開ガイドを参照してください。

      • ディスク容量：すべての展開プラットフォームで64 GB (シン プロビジョニング済み)
      • ネットワークカード：NIC 1枚(最小)

      展開のユース ケースに応じて、各ZPA Private Service Edgeは、TCPポート443で内部送信元と外部送信元のいずれかまたは両方からの、着信接続を受け入れることができる必要があります。たとえば、リモート ユーザーとオフィス ユーザーの両方に対してZPAを有効にした場合、各ZPA Private Service Edgeは、Zscaler Client Connectorを実行している内部エンドポイントと外部エンドポイントの両方からの着信接続を受け入れる必要があります。

      ZPA Private Service Edgeは、ディザスター リカバリー シナリオで、またはZPA Private Service Edgeが最も近いサービスエッジである場合に、リモート ユーザー用にインターネット経由で到達可能です。

      ZPA Private Service Edgeがファイアウォールの内側に展開されているシナリオでは、ファイアウォールはZPA Private Service EdgeのプライベートIPアドレスの宛先ネットワーク アドレス変換(DNAT)を実行します。この場合、トラフィックのフローはZscaler Client ConnectorからZPA Private Service Edgeです。次に、ファイアウォールは、Zscaler Client Connector接続先の宛先パブリックIPアドレスをZPA Private Service EdgeのプライベートIPアドレスに変換します。ファイアウォールは、インターネット上のパブリックIPアドレスをアドバタイズします。ファイアウォールによってアドバタイズされたパブリックIPアドレスを、それぞれのZPA Private Service EdgeのパブリックIPとして構成する必要があります。ディザスター リカバリーの場合は、このIPアドレスをそのZPA Private Service EdgeのAレコードとして追加する必要があります。

      ファイアウォールは、ZPA Private Service EdgeがZPA Public Service EdgeのIPアドレスへのアウトバウンド接続を確立し、App ConnectorおよびZscaler Client Connectorからのインバウンド接続を確立できるように構成する必要があります。

      次の条件は、ファイアウォールの内側に配置されている各ZPA Private Service Edgeに適用されます。

      • (該当する場合、ユース ケースに応じて)内部ソース、リモート ユーザー、オンプレミス ユーザーからの着信接続をTCPポート443で受け入れる必要があります。
      • 内部ネットワーク経由で到達できる一意のプライベートIPアドレスが必要です。

      ZPA Private Service Edgeが登録されると、TCPポート443経由でアウトバウンドTLSトンネルがZPAクラウド インフラストラクチャーに確立されます。この通信チャネルは、さまざまな機能を提供し、次のトラフィックが含まれます。

      • ZPA Public Service Edgeへの定期的なキープアライブ
      • ポリシー構成のダウンロード
      • ZPA Private Service Edgeソフトウェアのアップグレード(アップグレードは週単位のスケジュールに基づいて完了します)

      ネットワークとインターネット接続を確保しながら、同じプロビジョニング キーを使用して既存のZPA Private Service Edgeグループに追加することで、随時追加のZPA Private Service Edgeを展開できます。ZPA Private Service Edgeは、弾性的にスケーリングするように設計されています。同じZPA Private Service Edgeグループに追加のZPA Private Service Edgeを展開して、展開に必要なスループットの合計を向上させることができます。Zscalerでは、ZPA Private Service Edgeをペア(N+1)で展開することを推奨しています、ここでNはサイジング要件に従ったZPA Private Service Edgeの数です。詳細は、ZPA Private Service Edgeの展開についておよびZPA Private Service Edgeのサポート対象プラットフォームを参照してください。

      展開後、ZPA Private Service Edgeがサイズ要件を満たしていることを確認します。詳細については、ZPA Private Service Edgeのサイジング仕様の確認を参照してください。Zscalerでは、ZPA Private Service Edgeのディスク容量が満杯になった場合、ファイルをアーカイブし、より多くのログ スペースを作成することを推奨します。詳細は、「ZPA Private Service Edgeのパフォーマンスの監視」を参照してください。

      ZPA Private Service Edgeスループットについての理解

      スループットの数値は集計値です(つまり、インバウンドとアウトバウンドの合計)。各ZPA Private Service Edgeは、最大500 Mbpsのスループットに対応しています。ZPA Private Service Edgeは、提供された(デフォルト)ゲートウェイ(ISP WANブロードバンド接続である可能性が高い)経由で通信します。

      Zscalerでは、サイジング要件を決定する際に、既存のVPNソリューションの平均スループットとピーク スループットを確認することを推奨します。ユーザーまたはクライアントのVPNトラフィックのみを考慮し、サイト間のトンネル化されたトラフィックは考慮しないでください。

      たとえば、データセンターに1 Gbpsの集約(つまり、インバウンドとアウトバウンドの合計)接続がある場合、500 Mbpsのスループット ガイドラインを使用して、接続に対応するのに十分なZPA Private Service Edgeと、フェイルオーバー(N+1)の余地があることを確認できます。この場合、1 Gbps接続に対応するには、2つから3つのZPA Private Service Edgeを展開する必要があります。

      正確なスループットは、内部ネットワークのセットアップ、レイテンシーのほか、二重暗号化、AppProtection、またはZDXが有効になっているかどうかなど、他のネットワーク要因によって異なります。接続に対応するのに十分なZPA Private Service Edgeと、フェイルオーバー(N+1)の余地があることを確認します。

      展開を水平方向にスケーリングするには、Zscalerでは、高い仕様の少ないZPA Private Service Edgeを展開するのではなく、低い仕様のZPA Private Service Edgeを多数展開することを推奨します。たとえば、高い仕様の少ないZPA Private Service Edgeを展開し、その1つが失敗した場合には、小さなZPA Private Service Edgeで障害が発生した場合よりも、多くのユーザー アプリケーション トラフィック/セッションに悪影響を与える可能性があります。

      閉じる

    • ご使用のプラットフォームの「ZPA Private Service Edgeの展開ガイド」の手順を開始する前に、次のものを用意してください。

      • Intel x86_64/AMD64ベースのアーキテクチャー
      • systemd
      • 新しいパッケージ リポジトリーを構成し、パッケージをインストールするためのシステムへのrootまたはsudoアクセス
      • DNS解決とネットワークアクセス
      • ZPA Admin Portalから取得したZPA Private Service Edgeのプロビジョニング キー
      • 固定MACアドレス
      閉じる

    • ZPA Private Service Edgeは、さまざまな方法(プライベート クラウドVM、パブリック クラウドVM、OSパッケージ)で展開できるため、展開タイプごとにセキュリティ機能が若干異なります。

      オペレーティングシステムのセキュリティ

      プライベート クラウドで使用するためにZscalerによって配布されるZPA Private Service Edge VMは、リモートからアクセスできるサービスを実行せずに設定されます。スワップ パーティションは、ZPA Private Service EdgeとそのVMで無効になり、メモリーの増加がZPA Private Service Edgeのパフォーマンスに影響を与えないようにします。セキュリティを強化するには、passwdコマンドを使用して、デフォルトの管理者アカウントの資格情報を変更する必要があります。詳細は、使用しているプラットフォームのZPA Private Service Edge展開ガイドを参照してください。

      セキュリティ技術実装ガイド(STIG)のイメージは、デフォルトで、AWS、GCP、Microsoft Azure、およびVMware向けに提供されます。詳細は、プラットフォーム別ZPA Private Service Edgeソフトウェアを参照してください。Zscalerによって提供される、残りのプライベート クラウドおよびパブリック クラウドのVMイメージは、基本的に変更されていないオペレーティング システムです(現在はRHEL 9.xベース)。必要に応じて、標準のyum OS更新メカニズムを使用して、これらのシステムにパッチを適用できます。Zscalerでは、初期展開後に、組織のセキュリティ標準に従って、VMイメージ上のオペレーティング システム(sshd-configファイルを含む)を強化することを推奨します。詳細は、展開済みZPA Private Service Edgeの管理を参照してください。

      CentOS 7.x のサポートの詳細は、CentOS 7.x、RHEL 7.xおよび Oracle Linux 7.xのサポート終了を参照してください。

      DNSリゾルバーやLinuxカーネルなどのコア オープンソース コンポーネントに脆弱性が定期的に見られるため、Zscalerは、定期的にパッチを適用するか、Zscalerで配布された新しいVMイメージを使用するか、ファイアウォール ポリシーを使用してZPA Private Service Edgeを保護することを推奨します。さらに、ZPA Private Service Edgeをパッケージとしてインストールした場合、Zscalerでは、同様の予防措置を講じることを推奨します。

      一部の組織では、データ センターからインターネットへのアウトバウンド トラフィックをファイアウォールまたはその他の方法で制限することを選択します。このような環境でZPA Private Service Edgeを展開することは、Private Service EdgeがZPA パブリック サービス エッジを含むすべてのZscalerデータ センターに到達できる限り可能です。展開用のファイアウォール設定情報については、config.zscaler.com/private.zscaler.com/zpa (private.zscaler.comクラウドの場合)またはconfig.zscaler.com/zpatwo.net/zpa (zpatwo.netクラウドの場合)を参照してください。詳細は、ZPAのクラウド名は何ですか？を参照してください。

      ファイアウォールの要件と相互運用性ガイドライン

      ZPA パブリック サービス エッジを含む、すべてのZscalerデータ センターを許可する必要があります。ファイアウォール構成が一部であると、エンド ユーザーの接続に問題が発生します。Zscalerのポリシーは、制御ポリシーを変更する十分な機会を組織に提供するために、追加のIP CIDR範囲をアクティブ化することについて、90日前の通知を提供することです。

      このサービスにより、クライアント証明書とサーバー証明書の両方にTLS証明書のピン留めが適用されるため、インラインまたは中間者TLSインターセプトまたはインスペクションのすべての形式を無効にする必要があります。ZPA パブリック サービス エッジによって提示されたTLS証明書が、Zscalerによって信頼された公開キーに対して暗号的に検証しない場合、ZPA Private Service Edgeは機能しません。

      設計上、証明書の検証はサービスの整合性を維持するように設定できないため、ZPA Private Service Edgeから発信されるトラフィックのSSLバイパス リストに*.prod.zpath.netが含まれていることを確認してください。これは、ZPA Private Service EdgeがZPA パブリック サービス エッジを解決して、これに到達できるようにするために必要です。ZPA Private Service Edgeでは、ユーザーからの着信接続を受け入れるようにファイアウォールを設定する必要があります。また、追加のZscalerのIPアドレスを許可リストに登録する必要がある場合は、config.zscaler.jp/private.zscaler.jp/zpa (private.zscaler.jpクラウドの場合)またはconfig.zscaler.jp/zpatwo.net/zpa (zpatwo.netクラウドの場合)を参照してください。詳細は、「ZPAのクラウド名は何ですか？」を参照してください。IPアドレスではなく、Zscalerクラウドのホスト名に基づいて許可リストに登録できる場合があります。

      閉じる

    • ZPA Private Service Edgeでは、Zscaler Client Connectorが少なくともバージョン2.1.2である必要があります。

      閉じる

    前提条件をすべて満たした後、ZPA Private Service Edgeをサポートされているプラットフォーム上に展開することができます。

    閉じる

  • GCPの場合、仮想プライベート クラウド(VPC)にPrivate Service Edgeを展開する必要があります。VPCごとに、レジリエンスとスケーラビリティーのために1つ以上のPrivate Service Edgeのペアを展開する必要があります。Private Service Edgeは、インシデント発生時のサービスの継続性を確保するために、リージョンやゾーン全体に展開する必要があります。ZscalerはPrivate Service Edge間で自動的に負荷分散を行います。追加の容量には、各リージョンやゾーンにPrivate Service Edgeを追加することで対処できます。

    Private Service Edgeは、VPC内のアプリケーションへの適切なアクセス権で構成することが推奨されます。VPC構成は、Private Service Edgeが適切なTCP/UDPポートでアプリケーション サーバーに接続することを許可し、アプリケーションへのICMP到達可能性とDNS解決を有効にすることが推奨されます。Private Service EdgeのVPC構成では、インターネットへのアウトバウンド アクセスを許可してZscalerクラウドに接続することが推奨されます。Zscalerでは、NATゲートウェイを通じてインターネットに接続するプライベート サブネットにPrivate Service Edgeを展開することを推奨します。

    ZPA Private Service Edgeインスタンスを展開する前に、次の前提条件を満たす必要があります。

    • Google Cloud CLIをインストールするには、Google Cloudのドキュメンテーションを参照してください。

      閉じる

    • ファイアウォール ルールを作成する手順は次の通りです。

      1. GCP管理コンソールにログインします。
      2. 左側のナビゲーションで、[ネットワーク セキュリティ]をクリックします。

      3. [クラウドNGFW]>[ファイアウォール ポリシー]の順に移動します。

        [ファイアウォール ポリシー]ウィンドウが表示されます。

      4. [ファイアウォール ポリシー]ウィンドウで、[ファイアウォール ルールを作成]をクリックします。

        [ファイアウォール ルールを作成]ウィンドウが表示されます。

      5. [ファイアウォール ルールを作成]ウィンドウで、次の操作を行います。

        • [名前]:ファイアウォール ルールの名前を入力します。
        • [ネットワーク]:ファイアウォール ルールを適用するネットワークを選択します。
        • [トラフィックの方向]: [入力] (受信トラフィック)または[出力] (送信トラフィック)を選択します。
        • [一致時のアクション]:アクションで接続を許可するか([許可])またはブロックするか([拒否])を選択します。
        • [ターゲット]:ファイアウォール ルールを適用するターゲットをドロップダウン メニューから選択します([ネットワーク内のすべてのインスタンス]、[特定のターゲット タグ]、または[指定されたサービス アカウント])。
        • [送信元フィルター]:送信元フィルター範囲([IPv4範囲]、[IPv6範囲]または[送信元タグ])を選択します。ネットワークIP/サブネット形式を使用して送信元フィルター範囲を選択した後に表示される[送信元フィルター範囲]テキスト ボックスにIPアドレス範囲を入力します。たとえば、IPv4範囲は0.0.0.0/0です。
        • [プロトコルとポート]: [指定したプロトコルとポート]を選択し、プロトコル([TCP、]、[UDP]、[その他])とポートを指定します。Private Service Edgeには、SSHの場合はTCPポート22に入力トラフィック方向と出力トラフィック方向があり、ZPAに到達するにはTCPポート443に出力トラフィック方向が必要です。

      6. [作成]をクリックします。

      必要に応じて、出力トラフィック方向をZPAホストとポートに制限できます。必須IPアドレスの詳細については、config.zscaler.com/private.zscaler.com/zpa(private.zscaler.comクラウドの場合)またはconfig.zscaler.com/zpatwo.net/zpa(zpatwo.netクラウドの場合)を参照してください。詳細は、ZPAのクラウド名は何か？を参照してください。

      閉じる

    GCPにイメージを展開するには、次のいずれかの方法を使用します。

    • この手順では、インスタンス ウィザードを使用してGCPにZPAを展開する方法について説明し、SSHキー ペアとイメージを.vmdk (仮想ディスク)から作成したことを前提としています。

      仮想ディスクからSSHキー ペアとイメージを作成したら、

      Private Service Edgeインスタンスを使用して、Private Service Edgeを展開する手順は次の通りです。

      1. GCP管理コンソールにログインします。
      2. プロジェクトを作成します。
      3. プロジェクトを選択します(例：zpa-service-edge)。

      4. [Compute Engine]>[イメージ]の順に移動します。

        [イメージ]ページへのナビゲート

        閉じる

      5. イメージの名前のフィルターを使用して、カスタム イメージを検索します。この手順で使用されるカスタム名の例としては、zpa-service-edge-el9-2024-08-99875b50-featureがあります。

      6. [メニュー]アイコンをクリックし、[インスタンスを作成]をクリックします。

        [インスタンスを作成]ウィンドウが表示されます。

      7. [インスタンスを作成]ウィンドウで、[新規VMインスタンス]を選択します。

      8. [マシン構成]セクションの[新しいVMインスタンス]ウィンドウで、ワークロードに適したvCPUとメモリーの容量が事前設定された[マシン タイプ]を選択します。Zscalerでは、n2-standard-4またはn2-highcpu-4仕様の使用を推奨します。

        • [n2-standard-4]:サポートされている仕様は、4つのvCPU、2つのコアおよび16 GBメモリーです。
        • [n2-highcpu-4]:サポートされている仕様は、4つのvCPU、2つのコアおよび4 GBメモリーです。

      9. (省略可)スタートアップ スクリプトをVMインスタンスに渡します。
        1. [メニュー]アイコンをクリックし、次いで[セキュリティ]タブをクリックします。

        2. 左側のナビゲーションで、[データ保護]>[シークレット マネージャー]の順に移動します。

          [シークレット マネージャー]ページの表示

          閉じる

        3. [シークレットを作成]をクリックします。

          [シークレットを作成]ウィンドウが表示されます。

        4. [シークレットを作成]ウィンドウで、次の操作を行います。

          1. [名前]:シークレットの名前を入力します(例：provisioning_key)。
          2. [シークレット値]:シークレットの値を入力します(例：<your provisioning key>)。プロビジョニング キーは、ZPA Admin PortalでZPA Private Service Edgeを作成するときに取得できます。詳細は、ZPA Private Service Edgeのプロビジョニング キーについて、およびZPA Private Service Edgeの設定を参照してください。

        5. [シークレットを作成]をクリックします。
        6. [アクセス範囲]では、[すべてのクラウドAPIへのフル アクセスを許可]を選択します。これにより、シークレット マネージャーに存在するprovisioning_keyにアクセスできるようになります。
        7. [詳細オプション]セクションを展開し、次いで[管理]セクションを展開します。
        8. [説明]フィールドに説明を追加します。

        9. [自動化]フィールドに次のスクリプトを入力します。

          #!/usr/bin/bash
# Sleep to allow the system to initialize
sleep 15
curl -O https://dl.google.com/dl/cloudsdk/channels/rapid/downloads/google-cloud-cli-linux-x86_64.tar.gz
tar -xf google-cloud-cli-linux-x86_64.tar.gz
export PATH=$PATH:$PWD
sudo ./google-cloud-sdk/install.sh
# Install Private Service Edge packages
yum install -y zpa-service-edge
# Stop the Private Service Edge service which was auto-started at boot time
systemctl stop zpa-service-edge
# Fetch the secret from Secret Manager
SECRET_NAME="Provision_key"
SECRET_VALUE=$(gcloud secrets versions access latest --secret="$SECRET_NAME")
 
# Use the secret in your application or script
echo "The secret value is: $SECRET_VALUE"
# Example: Export the secret as an environment variable
export MY_SECRET="$SECRET_VALUE"
# Create a file from the Private service edge provisioning key created in the ZPA Admin Portal
# Make sure that the provisioning key is between double quotes
echo "$SECRET_VALUE" > /opt/zscaler/var/service-edge/provision_key
chmod 644 /opt/zscaler/var/service-edge/provision_key
# Start the Private service edge service to enroll it in the ZPA cloud
systemctl start zpa-service-edge
# Wait for the Private service edge to download the latest build
sleep 60
# Stop and then start the private service edge for the latest build
systemctl stop zpa-service-edge
systemctl start zpa-service-edge
# Run a yum update to apply the latest patches
yum update -y
      10. [作成]をクリックします。

      11. 左側のナビゲーションで、[Compute Engine]>[仮想マシン]>[VMインスタンス]の順に移動し、インスタンスを作成したことを検証します。インスタンス名は、インスタンスの作成時に表示されます。

      12. GCP秘密キーをPrivate Service Edgeに構成するには、SSHアクセスが必要です。
        1. GCP秘密キーを使用して、Private Service Edgeコンソールにログインします。
        2. 標準のSSHクライアントを使用して、次のコマンドを入力してGCPインスタンスに接続します。
        ssh -i<GCPプライベート キー> admin@<プライベート サービス エッジ プライベート ホスト名またはIPアドレス>

        次の例では、GCPインスタンスの秘密キーは、gcp_keyであり、またPrivate Service Edge IPアドレスは172.31.255.255です。

        ssh admin@172.31.255.255-i ~/.ssh/gcp_key

        1. 接続を続けるかどうか尋ねられたら、[ はい]と入力してください。

          gcp_keyへの接続

        閉じる
      1. Private Service Edgeのプロビジョニング キーを適用します。
        1. 次のコマンドを使用して、zpa-service-edgeサービスの実行を停止します。Private Service Edgeの初回起動時にプロビジョニング キーが検出されない場合、Private Service Edgeはスリープ サイクルに入り、24時間ごとにキーを再度検索します。
        sudo systemctl stop zpa-service-edge
        1. 644権限を持つプロビジョニング キー ファイルを/opt/Zscaler/var/service-edge/provision_keyに作成します。例えば、次の通りです。
        sudo touch /opt/zscaler/var/service-edge/provision_key
sudo chmod 644 /opt/zscaler/var/service-edge/provision_key
        1. ZPA Admin Portalからプロビジョニング キーをコピーし、ファイルにペーストして保存します。viなどのエディターを使用します。
        sudo vi /opt/zscaler/var/service-edge/provision_key

        [vi]を使用している場合は、キーをファイルに貼り付ける前に、挿入モードになっていることを確認してください。

        viエディタに不慣れな方は、以下の echo と tee コマンドを使用して、プロビジョニングキーを貼り付けることも可能です。

        echo "<Private Service Edge Provisioning Key>" | sudo tee /opt/zscaler/var/service-edge/provision_key

        キーが二重引用符(")の中にあることを確認してください。

        1. 以下のコマンドを入力し、ファイルの内容を確認します。
        sudo cat /opt/zscaler/var/service-edge/provision_key

        出力には、前のステップで入力したプロビジョニングキーが返されるはずです。

        1. 次のコマンドを使用して、zpa-service-edgeサービスを開始します。
        sudo systemctl start zpa-service-edge
        1. 次のコマンドを使用して、sshdを停止して無効にします。
        sudo systemctl stop sshd
sudo systemctl disable sshd
        閉じる

      1. Private Service Edgeプロビジョニング キーが適用されたら、次のコマンドを使用して、展開済みPrivate Service Edgeが実行されていることを検証します。

        sudo su
ps aux | grep zpa-service-edge

        例えば：

        # ps -aux | grep zpa-service-edge
root         1423  1.2  0.1 525288 16200 ?        Ssl 14:01    0:00 /opt/zscaler/bin/zpa-service-edge
root         1845  0.0  0.0   6412 2176 pts/0     S+  14:02    0:00 grep --color=auto zpa-service-edge

        詳細は、展開済みPrivate Service Edgeの管理を参照してください。

      2. Zscalerでは、続行する前にPrivate Service Edgeシステム ソフトウェアを更新することを強く推奨します。
      閉じる

      閉じる

    • この手順では、開始テンプレートとAuto Scaling構成を通じてGCPにZPAを展開し、スケーラブルでサポート可能なインフラストラクチャーを作成する方法について説明します。

      Auto Scalingとともに開始テンプレートを使用して、GCPにPrivate Service Edgeを展開する手順は次の通りです。

      1. GCP管理コンソールにログインします。
      2. [Compute Engine]をクリックします。
      3. 左側のナビゲーションで、[インスタンス グループ]>[インスタンス グループ]の順に移動します。
      4. [インスタンス グループを作成]をクリックします。

      [インスタンス グループを作成]ウィンドウが表示されます。

      1. [インスタンス グループを作成]ウィンドウで、次の操作を行います。
        1. [インスタンス グループ名]を入力します。
        2. [説明]を入力します。
        3. [インスタンス テンプレート]タブで、ドロップダウン メニューをクリックして既存のインスタンス テンプレートを選択するか、[新規インスタンス テンプレートを作成]をクリックして新規インスタンス テンプレートを作成します。[新規インスタンス テンプレートを作成]をクリックした場合は、
          1. インスタンス テンプレートの[名前]を入力します。
          2. [マシン構成]の詳細を入力します。
          3. [起動ディスク]で、[変更]をクリックします。
          4. カスタマイズされたzpa-service-edgeを選択します。
          5. [アクセス範囲]では次の操作を行います。
            1. [すべてのクラウドAPIへのフル アクセスを許可]を選択して、シークレット マネージャーに存在するプロビジョニング キーにアクセスします。
            2. [詳細オプション]セクションを展開し、次いで[管理]セクションを展開します。
            3. [管理]セクションで、次の操作を行います。
              1. [説明]フィールドに説明を入力します。

              2. [自動化]フィールドに次のスクリプトを追加します。

                #!/usr/bin/bash
# Sleep to allow the system to initialize
sleep 15
curl -O https://dl.google.com/dl/cloudsdk/channels/rapid/downloads/google-cloud-cli-linux-x86_64.tar.gz
tar -xf google-cloud-cli-linux-x86_64.tar.gz
export PATH=$PATH:$PWD
sudo ./google-cloud-sdk/install.sh
# Install Private Service Edge packages
yum install -y zpa-service-edge
# Stop the Private Service edge service which was auto-started at boot time
systemctl stop zpa-service-edge
# Fetch the secret from Secret Manager
SECRET_NAME="Provision_key"
SECRET_VALUE=$(gcloud secrets versions access latest --secret="$SECRET_NAME")
 
# Use the secret in your application or script
echo "The secret value is: $SECRET_VALUE"
# Example: Export the secret as an environment variable
export MY_SECRET="$SECRET_VALUE"
# Create a file from the Private service edge provisioning key created in the ZPA Admin Portal
# Make sure that the provisioning key is between double quotes
echo "$SECRET_VALUE" > /opt/zscaler/var/service-edge/provision_key
chmod 644 /opt/zscaler/var/service-edge/provision_key
# Start the private service edge service to enroll it in the ZPA cloud
systemctl start zpa-service-edge
# Wait for the private service edge to download the latest build
sleep 60
# Stop and then start the private servic eedge for the latest build
systemctl stop zpa-service-edge
systemctl start zpa-service-edge
sleep 20
# Run a yum update to apply the latest patches
yum update -y
              3. [作成]をクリックします。
          閉じる
      2. ドロップダウン メニューからリージョンとゾーンを選択します。
      3. [Auto Scaling]タブで、次の操作を行います。
        1. インスタンスの最小数と最大数をそれぞれ2と4として選択します。
        2. [シグナル タイプ]ドロップダウン メニューで[CPU使用率]を選択します。
        3. [ターゲットCPU使用率]フィールドに80と入力します。
        4. [初期化期間]フィールドに300と入力します。
      4. [作成]をクリックします。
      閉じる
    閉じる

  • This article applies to Security Technical Implementation Guide (STIG) images that were released on November 24, 2024, and December 12, 2024. STIG images released after these dates are not affected.

    If you're using an affected STIG image, passwords automatically expire every 60 days for Amazon Web Services (AWS), Google Cloud Platform (GCP), and Microsoft Azure, or 95 days (60 days + a 35-day grace period) for VMware.

    If the password expires without changing it or disabling expiration, admin access to a ZPA Private Service Edge is no longer available. When admin access expires, the only recovery method is to deploy a new ZPA Private Service Edge.

    STIG-hardened prebuilt Private Service Edge images affected by password expiration were released on:

    • AWS and GCP: November 24, 2024
    • Azure and VMware: December 12, 2024

    To verify if an image is STIG-hardened:

    1. Go to the Private Service Edge page in the ZPA Admin Portal.
    2. Expand the row for a Private Service Edge in the table.
    3. Under Private Service Edge Host Platform, if you see ZSIVersion: 2024.11 or ZSIVersion: 2024.12 for the ZSIVersion, the image is STIG-hardened.

    Example STIG-hardened image with ZSIVersion: 2024.11.

    Verify STIG-hardened image on a ZPA Private Service Edge

    閉じる

    Zscaler recommends using one of these methods for passwords:

      • Disable the password expiration:

        1. Enter the following command (replacing admin with your admin username):

          [admin@zpa-service-edge ~]$ sudo chage -M -1 admin

        2. Verify that the password is set to never expire.

          [admin@zpa-service-edge ~]$ sudo chage -l admin
Last password change                               : Feb 18, 2025
Password expires                                   : never
Password inactive                                  : never
Account expires                                    : never
Minimum number of days between password change     : 1
Maximum number of days between password change     : -1
Number of days of warning before password expires  : 7
      • Set a password when creating a new instance using passwd admin (replacing admin with your admin username) and renew it every 60 days.
      閉じる

      • Disable the password expiration by entering the following command (replacing admin with your admin username):

        $ sudo chage -M -1 admin
      • Set a password when creating a new instance using passwd admin (replacing admin with your admin username) and renew it every 60 or 95 days.
      閉じる

    閉じる

  • サポート対象のプラットフォーム上にZPA Private Service Edgeを展開する前に、以下のネットワーキング構成を完了する必要があります。

    • デフォルトでは、仮想マシンベースのZPA Private Service Edgeは、プライマリー インターフェイスでDHCPネットワークを使用するように設定されています。必要に応じて、ZPA Private Service Edgeの静的IPアドレスを設定できます。

      閉じる

    • DHCPが利用できない場合、VMベースのZPA Private Service Edgeで静的IPアドレスを設定できます。

      1. 管理者資格情報を使用してZPA Private Service Edgeコンソールにログインします。
      2. 現在の接続プロファイルを表示します。
      [admin@zpa-service-edge ~]$ nmcli connection show
      1. 次の形式を使用して、接続プロファイルを変更します。<プロファイル名> connection.id <新規接続名>。例えば：
      [admin@zpa-service-edge ~]$ sudo nmcli connection modify "Profile 1" connection.id LAN
      1. 現在の接続プロファイルを確認します。
      [admin@zpa-service-edge ~]$ nmcli connection show
      1. 静的IPアドレスとデフォルト ゲートウェイを使用して、<接続ID> ipv4.method manual ipv4.addresses <IPアドレス> ipv4.gateway<ゲートウェイIP> ipv4.dns<DNS IP> ipv4.dns-search<ドメイン名>形式でプロフィールを編集します。例：
      [admin@zpa-service-edge ~]$ sudo nmcli connection modify LAN ipv4.method manual ipv4.addresses 172.30.1.88/24 ipv4.gateway 172.30.1.1 ipv4.dns 172.30.1.254 ipv4.dns-search company.com
      1. 変更を適用するため、接続IDをオンに戻します。例えば、次の通りです。
      [admin@zpa-service-edge ~]$ sudo nmcli connection up LAN
      1. IPアドレスを検証します。
      [admin@zpa-service-edge ~]$ ip addr show
      1. デフォルト ゲートウェイを検証します。
      [admin@zpa-service-edge ~]$ ip route show default
      1. DNS設定を検証します。
      [admin@zpa-service-edge ~]$ sudo cat /etc/resolv.conf
      閉じる

    • 必要に応じて、nmcli connection add con-nameを使用して新しいインタフェースを設定するか、nmcli connection modifyを使用して既存のインタフェースの名前を変更することで、インタフェースに追加の変更を加えることができます。

      1. 管理者資格情報を使用してZPA Private Service Edgeコンソールにログインします。
      2. IPアドレスを表示します。
      [admin@zpa-service-edge ~]$ ip addr show
      1. 現在の接続プロファイルを表示します。
      [admin@zpa-service-edge ~]$ nmcli connection show
      1. 動的または静的イーサネット構成を使用して、インターフェイスのIPネットワークを構成します。

      動的の場合は、接続プロファイルを変更します。例：

      [admin@zpa-service-edge ~]$ sudo nmcli connection modify "Profile 1" ipv4.method auto

      静的の場合は、接続プロファイルを変更し、次の形式を使用してIPアドレスとゲートウェイを識別します。<プロファイル名> ipv4.method manual ipv4.addresses <アドレス> ipv4.gateway <アドレス>。例えば：

      [admin@zpa-service-edge ~]$ sudo nmcli connection modify "Profile 1" ipv4.method manual ipv4.addresses 192.168.2.241/24 ipv4.gateway 192.168.2.254
      1. 変更を適用するには、接続プロファイルのバックアップに戻します。例：
      [admin@zpa-service-edge ~]$ sudo nmcli connection up "Profile 1"
      1. IPアドレスを再確認してください。
      [admin@zpa-service-edge ~]$ ip addr show
      1. 新しい接続を再確認します。
      [admin@zpa-service-edge ~]$ nmcli connection show
      閉じる

    • ZPA Private Service Edge用のインターフェイス コントロール ファイルに静的ルートを追加するには、次の手順を実行します。

      1. 管理者資格情報を使用してZPA Private Service Edgeコンソールにログインします。
      2. 次の形式を使用して、既存のイーサネット接続の静的ルートを編集します。<プロファイル名> ipv4.routes <アドレスとゲートウェイ>。例えば：
      [admin@zpa-service-edge ~]$ sudo nmcli connection modify "Profile 1" +ipv4.routes "192.168.2.241/24 10.10.10.1"
      1. 変更を適用するには、接続プロファイルを停止してからバックアップします。例：
      [admin@zpa-service-edge ~]$ sudo nmcli connection down "Profile 1"
       [admin@zpa-service-edge ~]$ sudo nmcli connection up "Profile 1"
      1. 新しいルートが追加されたことを確認します。
      [admin@zpa-service-edge ~]$ ip route
      閉じる

    • DNS解決は、ZPAPrivate Service Edgeの正常な作動に不可欠です。ZPA Private Service Edgeは、ZPAクラウド インフラストラクチャーなどの外部DNS名も解決できる必要があります。

      1. 管理者資格情報を使用してZPA Private Service Edgeコンソールにログインします。
      2. 現在の接続プロファイルを表示します。
      [admin@zpa-service-edge ~]$ nmcli connection show
      1. 次の形式を使用して、DNS設定を変更します。<プロファイル名> ipv4.dns <ネームサーバーIP>。例えば：
      [admin@zpa-service-edge ~]$ sudo nmcli connection modify "Profile 1" +ipv4.dns 192.168.2.241
      1. 変更を適用するには、接続プロファイルを停止してからバックアップします。例：
      [admin@zpa-service-edge ~]$ sudo nmcli connection down "Profile 1"
      [admin@zpa-service-edge ~]$ sudo nmcli connection up "Profile 1"
      1. ネームサーバー レコードが追加されたことを確認します。
      [admin@zpa-service-edge ~]$ sudo cat /etc/resolv.conf
      閉じる

    • ZPA Private Service Edgeで内部NTPサーバーを使用するように設定するには、次の手順を実行します。

      1. 管理者資格情報を使用してZPA Private Service Edgeコンソールにログインします。
      2. /etc/chrony.confファイルを編集します。viなどのエディターを使用します。
      [admin@zpa-service-edge ~]$sudo vi /etc/chrony.conf

      社内のNTPサーバーをリストに追加します。次に例を示します。

      server 0.zscaler.pool.ntp.org iburst
server 1.zscaler.pool.ntp.org iburst
server 2.zscaler.pool.ntp.org iburst
server 3.zscaler.pool.ntp.org iburst
      1. 変更を適用するには、以下のコマンドでchrony daemonを再起動します。
      [admin@zpa-service-edge ~]$ systemctl restart chronyd
      閉じる

    • トラフィックがプロキシを経由する場合は、そのプロキシを経由するようにPrivate Service Edgeを手動で設定する必要があります。以下の手順により、ZPA Private Service Edgeは、標準のHTTPプロキシー サーバーを通じてCONNECTリクエストを使用してブローカーと通信できます。

      ZPA Private Service Edgeで明示的なプロキシを経由して動作するように設定するには、次の手順を実行します。

      1. 管理者資格情報を使用してZPA Private Service Edgeコンソールにログインします。
      2. /opt/zscaler/var/service-edge/proxyという名前のファイルを作成します。viなどのエディターを使用します。
      [admin@zpa-service-edge ~]$ sudo vi /opt/zscaler/var/service-edge/proxy

      以下の形式を使用してプロキシ情報を入力します：<プロキシ ホスト名またはIPアドレス>:<プロキシ ポート>(例、192.0.2.0:0)。

      1. 変更を適用するには、次のコマンドを使用して、ZPA Private Service Edgeを再起動します。
      [admin@zpa-service-edge ~]$ sudo systemctl restart zpa-service-edge

      ZPA Private Service Edgeは、前に指定したプロキシーを介してTLSセッションの作成を試みます。

      閉じる

    • HTTPプロキシサーバーを介して通信するようにyumを設定する場合は、CentOSおよびRed Hatのドキュメントを参照してください。CentOS 7.x、RHEL 7.x、および Oracle Linux 7.x のサポートの詳細は、CentOS 7.x、RHEL 7.xおよびOracle Linux 7.xのサポート終了を参照してください。

      閉じる

  • ステップ5:展開済みPrivate Service Edgeが正常に実行されていることを確認します。また、サイジング要件を満たしていることを確認します。

展開を確認したら、システムを維持するための追加タスクを実行できます(つまり、Private Service Edgeコンソール管理者資格情報の変更やシステム ソフトウェア更新の実行)。詳細は、展開済みZPA Private Service Edgeの管理を参照してください。

Private Service Edgeが展開されたら、次のことができます。

関連記事s
ZPA Private Service Edgeの展開についてプラットフォーム別のZPA Private Service EdgeソフトウェアZPA Private Service Edgeの展開の前提条件Amazon Web Services用Private Service Edgeの展開ガイドDocker用のPrivate Service Edgeの展開ガイドGoogle Cloud PlatformのPrivate Service Edge展開ガイドLinux用のPrivate Service Edgeの展開ガイドMicrosoft Azure用Private Service Edge展開ガイドVMwareプラットフォーム用のPrivate Service Edge展開ガイドPrivate Service Edge用Red Hat Enterprise Linux 9の移行Disabling Password Expiration for STIG-Hardened ZPA Private Service Edge Images展開済みZPA Private Service Edgeのネットワーク設定