非公式の教育用シミュレーターです。 Zscaler, Inc. とは無関係であり、実際の管理コンソール・設定項目・製品挙動とは異なる場合があります。登場する企業・人物・IPアドレス・数値はすべて架空のものです。
KAIWAI.TECH / ZSCALER LAB
← EXPERIMENTS一覧へ戻る
正常稼働
会社名KAIWAI AIR SYSTEMS
従業員数2,400
本社／拠点Tokyo / Osaka
リモートユーザー1,000
クラウドAWS (ap-northeast-1)
IdPMicrosoft Entra ID
エンドポイントWindows
導入状況PHASE 0 — 現状調査
KAIWAI.TECH × NETWORK OPERATIONS CENTER × SECURITY LAB

ZSCALER LAB —
ZERO TRUST を、触って理解する。

架空企業「KAIWAI AIR SYSTEMS」への Zscaler 導入を、設計 → 構築 → 移行 → 障害対応まで、ブラウザの中だけで追体験するシミュレーターです。
説明を読むだけのページではありません。全13ステージ、すべて操作できます。

まずこれだけ理解する
ZIA

Zscaler Internet Access

Internet / SaaSへのアクセスを制御する。

ZPA

Zscaler Private Access

社内アプリへのアクセスを制御する。

CC

Client Connector

端末からZIA / ZPAへ通信を振り分ける。

ID

SAML

ログイン時の認証を行う。

ID

SCIM

ユーザー・グループ情報を同期する。

初心者が迷いやすい違い

ZIA と ZPA

ZIAInternet / SaaSへの通信を検査・制御する。
ZPA許可された社内アプリ(Private Application)へだけ到達させる。

SAML と SCIM

SAMLログイン時の本人確認＝認証。
SCIMユーザー・グループの作成/更新/削除の自動同期。

Client Connector と App Connector

Client
Connectorユーザー端末側にインストールし、通信をZIA/ZPAへ転送する。
App
ConnectorPrivate Application側に置き、ZPA Serviceへ接続する。
STAGE 00 / BEFORE ZSCALER

レガシーネットワーク

VPN集中型のアーキテクチャ。すべての通信が本社を経由するため、拠点・リモート双方の体験と運用負荷を圧迫している。

構成図A — Internetアクセス TOPOLOGY A
🧑‍💻リモートユーザー
🔒既存VPN
🏢社内ネットワーク
🧱Proxy / Firewall
🌐Internet
構成図B — 社内アプリアクセス TOPOLOGY B
🧑‍💻リモートユーザー
🔒既存VPN
🗄️社内アプリ
規模が大きくなると起きる課題
01

VPN集中

全ユーザーが同じVPNゲートウェイに集まり、単一障害点になりやすい。

02

Internet Backhaul

SaaS向けの通信まで一度本社を経由してから出ていく、遠回りな経路になる。

03

Remote User Latency

拠点から遠いリモートユーザーほど、体感速度が悪化しやすい。

04

Appliance依存

VPN機器・Proxy機器のサイジングと保守が、常に運用の制約になる。

05

運用の複雑性

拠点ごと・機器ごとにポリシーが分散し、統一した可視化がしづらい。

STAGE 01 / IDENTITY

認証・ユーザー連携

Microsoft Entra ID を IdP として、ユーザー・グループを Zscaler へ連携する。「認証(SAML)」と「払い出し(SCIM)」は別の仕組み。

構成図 TOPOLOGY
🪪Microsoft
Entra ID
SAML · AUTHENTICATION
🛡️Zscaler
🪪Microsoft
Entra ID
SCIM · PROVISIONING
🛡️Zscaler
ユーザー一覧 (架空)
役割ユーザーグループ同期状態
一般社員[email protected]EMP-ALL未同期
管理者[email protected]IT-ADMIN未同期
委託先[email protected]VENDOR-EXT未同期
同期ログ SYNC LOG
SYNC USERS を押すと、SCIM同期ログがここに表示されます。
SAML と SCIM の違い

SAML

概要ログイン時にIdPがユーザー本人確認を行う、認証のための仕組み。
目的パスワードをZscaler側に持たせず、Entra IDへ認証を一元化する。
流れUser → Zscalerへログイン試行 → Entra IDへリダイレクト → 認証 → アサーション返却。
注意点アサーションの設定ミスなどにより、ログインできても権限が反映されないことがある。

SCIM

概要ユーザー・グループの作成/更新/削除をIdPからZscalerへ自動反映する仕組み。
目的入社・異動・退職のたびに手作業でアカウントを作らない・消し忘れない。
流れEntra ID側の変更 → SCIMで自動push → Zscaler側のユーザー/グループが更新。
注意点SCIM同期が止まっていると、Entra ID側で作成したユーザーがZscalerに存在しない。
STAGE 02 / ZIA

ZIAへの通信切替

インターネット・SaaS向けの通信を Zscaler Internet Access (ZIA) へ寄せる。拠点は GRE / IPSec、リモート端末は Client Connector を使う。

経路 ROUTE
拠点の通信 — 東京本社／大阪 (GRE, 冗長構成) SITE TRAFFIC
🏢HQ Tokyo /
Osaka Router
📡待機系 GRE203.0.113.12
🛡️ZIA
🌐Internet
主系GRE（PRIMARY）をクリックすると障害/復旧を切り替えられます
リモート端末の通信 — Client Connector REMOTE TRAFFIC
💻リモート端末
🧩Client Connector
🛡️ZIA
🌐Internet
用語解説 CONCEPTS

GRE / IPSec Tunnel

概要拠点のルーターからZscalerまで、インターネット向け通信をトンネルで転送する方式。
目的拠点ごとに機器を増やさず、既存回線からZIAへ経路をまとめられる。
流れ拠点ルーター → GRE/IPSecトンネル → ZIA → Internet。Primary/Secondaryで冗長化。
注意点Primaryがダウンすると、Secondaryへフェイルオーバーする(本ステージで再現可能)。

Zscaler Client Connector

概要端末にインストールするエージェント。通信をZscalerへ転送する。
目的拠点を経由しないリモート端末でも、同じセキュリティポリシーを適用できる。
流れ端末 → Client Connector → ZIA(Internet) / ZPA(Private App)。
注意点Forwarding設定の誤りにより、意図せず直接インターネットへ抜けることがある。
STAGE 03 / POLICY

セキュリティポリシー

簡易 Admin Console。左でポリシーを変更すると、右の通信シミュレーション結果がリアルタイムに変わる。

URLフィルタリング URL FILTERING
業務利用Business · 業務関連サイト
SNSSocial Media
マルウェアMalware · 既知の悪性カテゴリ(変更不可)
未分類Unknown · 未分類カテゴリ
クラウドファイアウォール CLOUD FIREWALL
HTTP
HTTPS
SSH
RDP
SSL通信の検査 SSL INSPECTION
TLS通信を検査する全ステージで共有される設定
通信シミュレーター TRAFFIC SIMULATOR

上のシナリオを選ぶと、通信結果がここに表示されます。

STAGE 04 / TLS

SSL通信の検査

Zscaler が TLS 通信をどう扱うかを可視化する。ON / OFF は STAGE 03 と共通の設定。

TLS通信を検査するここで切り替えても STAGE 03 に反映されます
TLS通信の流れ TLS FLOW
💻PC
🔒 TLS (PC ↔ Zscaler)
🔍Zscaler
(検査中)
🔒 TLS (Zscaler ↔ Webサイト)
🖥️Webサイト
用語解説 CONCEPT

SSL Inspection

概要TLSで暗号化された通信をZscaler上で一度復号し、検査したうえで再暗号化して転送する仕組み。
目的暗号化トンネルの中に隠れたマルウェアやポリシー違反も検査対象にできる。
流れClient-Zscaler間・Zscaler-Destination間、それぞれ別のTLSセッションとして成立する。
注意点証明書ピン留めなど一部のアプリはInspectionと相性が悪く、通信エラーになることがある(STAGE 09で再現)。
NOTE — 銀行・医療などの機微カテゴリをインスペクション対象にするかどうかは、組織のポリシー・法令・契約等によって判断されます。本シミュレーターは仕組みの一般的な理解を目的としており、実運用上の可否を判断するものではありません。
STAGE 05 / ZPA

ZPAによる社内アプリ接続

VPNを使わずに、許可された内部アプリケーションへだけ到達させる。アプリを選んでから、通信を流してみる。

社内アプリを選ぶ PRIVATE APPLICATION
🧑‍💻ユーザー
🧩Client Connector
☁️ZPA Service
🔌App Connector
🗄️erp.internal.example
管理オブジェクト MANAGEMENT OBJECTS — クリックすると上の図がハイライトされます
カードを選ぶと、対応するコンポーネントがここに説明されます。
STAGE 06 / ACCESS

ゼロトラストアクセス制御

ユーザーとアプリの組み合わせごとに、アクセス可否が決まる。「ネットワークに接続する」のではなく「許可されたアプリにだけ到達する」。

ユーザー ＼ アプリERP社内Wiki管理画面
一般社員許可許可ブロック
管理者許可許可許可
委託先ブロック許可ブロック
アクセスをテスト TEST ACCESS
🧑‍💻一般社員
🧩Client Connector
☁️ZPA Service
⚖️Access Policy
判定
🔌App Connector
🗄️ERP
NOTE — 従来のVPNは接続すると同じネットワークセグメント全体に到達できてしまうことが多いのに対し、ZPAはユーザーごとに許可された個々のアプリケーションにしか到達させません。
STAGE 07 / ENDPOINT

端末からの通信制御

端末側のエージェント。今いるネットワークの状態(Trusted Networkかどうか)によって、通信の転送先(Forwarding Profile)が変わる。

ZSCALER CLIENT CONNECTOR — SIMULATED UI
KAIWAI AIR SYSTEMS
Internet & SaaS 通信有効
社内アプリ (Private Access)有効
現在のネットワーク自宅
転送結果 FORWARDING RESULT
通信の種類信頼済みネットワーク？経路
Internet向け (ZIA対象)いいえZIA
社内アプリ向け (ZPA対象)—ZPA
ローカル/プリンター等 (Zscaler対象外・除外リスト)—直接通信
用語解説 CONCEPTS

Forwarding Profile

概要Client Connectorが通信をどこへ・どう転送するかを決める設定。
目的ユーザーやチームごとに異なる転送方針(ZIAのみ/ZPAも含む等)を適用できる。
注意点設定ミスがあると、意図せず直接インターネットへ抜けてしまうことがある(STAGE 09参照)。

Trusted Network

概要社内ネットワークかどうかを判定するための条件(DNSサーバーやゲートウェイ等)。
目的すでに社内経路でZIAへ到達している場合など、状況に応じて挙動を切り替えられる。
注意点条件が誤っていると、社内にいるのに社外判定されてしまうことがある。
STAGE 08 / ROLLOUT

Zscalerへの段階移行

PHASE 0〜5の導入プロジェクトを進める。ユーザー数はすべて架空の数値です。

PHASE 0現状調査現状棚卸し。トラフィック・アプリ・ユーザーを可視化する。
PHASE 1設計ポリシー・転送方式・アクセス制御を設計する。
PHASE 2パイロットIT部門など小規模グループで先行検証する。
PHASE 3限定展開部門単位で段階的に展開する。
PHASE 4本番展開全社の過半数へ展開する。
PHASE 5既存VPN縮小Legacy VPNを縮退し、ZIA/ZPAへ収束する。
ZIA / ZPA 移行済みユーザー(架空)0
残存 Legacy VPN ユーザー(架空)2,400
現在フェーズPHASE 0

※ ユーザー数・比率は説明のための架空の数値であり、実際の導入計画を示すものではありません。

STAGE 09 / TROUBLESHOOTING

障害対応シミュレーション

「障害を発生させる」を押すと、ランダムに障害が発生する。症状 → 確認 → 原因 → 対応 の順に調査してください。最初から答えは出ません。

まだ障害は発生していません。「障害を発生させる」を押してください。
調査する INVESTIGATE
障害発生後、上のボタンで調査を進めてください。
根本原因が判明

—

—

対応 — —
STAGE 10 / TRACE

通信経路を追う

1つの通信がノードを1つずつ通過する様子を、止めながら見る。各ノードで AUTH / ROUTE / POLICY / INSPECTION / ACCESS の判定を確認できる。

STAGE 11 / COMPARISON

導入前後を比較

スライダーを動かして、導入前後の構成を比較する。

導入前 BEFORE

VPN / Proxy /
Backhaul

  • 拠点集中型のVPN・Proxy
  • SaaS通信も一度本社を経由
  • リモートユーザーの遅延
  • アプライアンス依存の運用
導入後 AFTER

ZIA / ZPA /
Client Connector

  • クラウド上のセキュリティ検査
  • 最寄りのZscalerへ直接接続
  • アプリ単位のゼロトラストアクセス
  • 拠点・リモートで一貫したポリシー

※ 本サイトで使用する架空の構成例であり、Zscaler導入後の構成を保証するものではありません。

STAGE 12 / QUIZ

理解度チェック

全10問。スコアはこのブラウザのlocalStorageにのみ保存され、サーバーへは送信されません。

問 1 / 10 スコア 0

参考資料・技術情報 SOURCES / VERIFIED

技術情報確認日: 2026-08-16 — Zscaler公式Help Portal (help.zscaler.com) を一次情報として参照しています。本サイトはZscaler, Inc.とは無関係の非公式教育コンテンツです。