目次 目次 はじめに イベント概要とテーマ セッション構成 オープニング & キーノート Datadogの事業展開と日本市場への投資 AI時代における2つの戦略軸 セッション1：ソフトバンク株式会社 講演タイトル 背景と大規模監視の課題 スケールする監視設計（1,000件から32件へ） 失敗からの学びとガードレール AI自律運用とMCPサーバーの活用 所感 セッション2：株式会社プレイド 講演タイトル 導入背景とBits Investigation ハルシネーションへの直面 コンテキスト整備と成果 所感 セッション3：株式会社LayerX 講演タイトル AIエージェント運用特有のSRE課題 3…

はじめに 皆さんこんにちは。エーピーコミュニケーションズ ACS事業部の亀崎です。 開発者ポータル Backstage の認証機能として、GitHub SSOを利用されているところも多いと思います。 そのGitHubとの認証機能のユーザー連携機能のデフォルトが2026年9月のv1.55から変更になりました。 （機能的には v1.48.0ですでに登場していました） デフォルトリゾルバーがユーザー名マッチからユーザーIDマッチへ v1.54までの指定方法 Backstage v1.54 までの指定方法は以下のように指定していました。 auth: # see https://backstage.io…

こんにちは、クラウド事業部の山路です。 近年、CI/CDツールとしてGitHub Actionsを利用するのが当たり前になってきました。それなりの歴史や規模があるプロジェクトに参画すると、Workflowの数が膨大になっており、新しくチームに入ったメンバーが「どのWorkflowが何をしているのか」を追いかけるだけで一苦労…というケースも少なくありません。 今回は、新しい現場やプロジェクトに参画した際、GitHub Actionsの全体像や挙動を効率的にキャッチアップするために、個人的に意識してチェックしているポイントを整理してみました。この記事では、GitHub Actionsそのものを一か…

はじめに 皆さんこんにちは。エーピーコミュニケーションズ ACS事業部の亀崎です。 内部開発者ポータルの代表格であるBackstage、私たちのところでBackstageを稼働させているのですが、 先日APIのカタログでワーニング（エラー）が表示されるようになりました。 その画面キャプチャは取得を忘れてしまったのですが、表示されたワーニング（エラー）内容は次のようなものでした。 Error: Placeholder may only reference files from the same repository as the entity. なにかデータがおかしいのかな、と思い調べた結果が今…

「Securityを強くするなら、できるだけ多くBlockすればよい」 一見すると正しそうです。 しかし、業務で必要なApplicationまで使いにくくなれば、Userは別の方法を探したり、問い合わせが増えたりします。逆に利便性だけを優先して広くAllowすれば、Riskが大きくなる可能性があります。 実務の設計では、Securityだけを最大化するのではなく、User ExperienceとOperationsを含めて成立する形を探す必要があります。 Chapter 6の最後は、そのBalanceを考えます。 まず結論。良い設計はSecurity・UX・Operationsの3つが回る 一…

同じ会社のUserなら、同じZscaler設定をそのまま使えばよいのでしょうか。 OfficeではCorporate Networkを使い、自宅では家庭用Wi-FiとISPを使い、海外では現地のInternet事情や規制の影響を受けます。 利用するApplicationが同じでも、通信が始まる場所と経路が違えば、設計上の前提も変わります。 この回では、Office・Home・Overseasの3場面から、設計条件の違いを整理します。 まず結論。Policyを揃えても、Traffic Pathまで同じとは限らない 一言でいうと、 拠点・在宅・海外では、Internetへの出方、Traffic F…

「いまのVPNをZPAへ置き換える」 「いまのProxyをZIAへ切り替える」 言葉だけなら、とても単純に聞こえます。 しかし既存のVPNやProxyは、長年の運用の中で多くのRule、例外、業務依存を抱えています。 誰も使っていないと思っていたBypassが実は月末処理に必要だった。特定ApplicationだけProxyを経由しない。古いSystemがIPベースの通信を前提にしている。 こうした見えにくい依存関係が、移行を難しくします。 まず結論。難しいのは製品交換ではなく「既存の前提をほどくこと」 一言でいうと、 VPN / ProxyからZscalerへの移行では、既存設定をそのまま新…

「設定もできた。検証環境でも動いた。では来週から全社員へ展開しよう」 一見すると効率的です。 しかし、実際の企業環境には、設計時に見えていなかったApplication、特殊な端末、独自の業務手順、在宅・拠点ごとのNetwork差などがあります。 そこで本番展開の前に使われるのがPilotです。 Pilotは「念のため少人数で試す期間」ではありません。 設計と現実の差を見つけ、次の展開へ反映するための学習フェーズです。 まず結論。Pilotは「合格試験」ではなく「設計を育てる場」 一言でいうと、 Pilotの目的は、少人数で成功を証明することではなく、代表的な利用環境で技術面・業務面の想定外を…

Client Connectorを100台、1,000台、1万台へ入れるとき、単に「Installできれば終わり」でしょうか。 少人数の検証端末では問題なくても、全社にはWindowsとmacOS、異なるOS Version、VPN Client、EDR、拠点Network、在宅勤務、利用Applicationなど、さまざまな条件があります。 そのためClient Connectorの展開は、Installerを配布する作業ではなく、端末・Network・Userへの影響を確認しながら対象を広げる設計として考える必要があります。 まず結論。展開設計は「配り方」より「影響をどう小さく確認するか」…

では、Identity ProviderとSAMLを設定してLoginできれば、Identity設計は終わるのでしょうか。実際には、それだけでは足りません。 ZscalerのPolicyではUser、Group、Device PostureなどをAccess判断に利用できます。元のUser / Group情報が古い、Group粒度が粗い、退職者情報が反映されない状態では、細かなPolicyを作っても期待どおりになりにくくなります。 今回は認証方式そのものではなく、「どのIdentity情報を、どのPolicy判断へ使うか」という設計視点で整理します。 まず結論。Identityは「Loginの…

ZPAを導入するとき、「VPNの代わりにZPAを入れる」と考えるだけでは設計の本質を見失いやすくなります。 ZPAでは、どのUserを、どのPrivate Applicationへ接続させるかをApplication単位で考えます。 そのため、既存VPNのRouteやSubnetをそのまま再現するのではなく、Private App、Application Segment、App Connector、DNS、Access Policy、可用性を一つの設計として組み立てます。 今回はZPAの設定方法ではなく、何を整理してからApplication Accessへ落とし込むのかを見ていきます。 まず…

ZIAを導入するとき、「WebをZscalerへ送れば終わり」ではありません。 インターネットやSaaSへの通信をどのようにZIAへ転送するのか。その通信を誰のものとして識別し、どのような検査やポリシーを適用するのか。 こうした設計項目を関連付けて考えることが、ZIA設計では重要です。 ただし、これらは設計時に検討する項目であり、ZIA内部で実際に通信が処理される順序を示したものではありません。 今回は個別の設定値ではなく、ZIA設計で何を決めなければならないのかを俯瞰します。 まず結論。ZIA設計は「Traffic・Identity・Inspection・Policy・Exception」を…

Zscaler導入では、理想の構成図を描く前にやることがあります。 それがAs-Is（現状）の把握です。 既存のProxy、VPN、Firewall、Identity Provider、端末管理、DNS、Application配置。 これらを十分に確認せず、「これからはZIAとZPAを使う」とTo-Beだけを描いてしまうと、移行時に思わぬ影響が出ることがあります。 たとえば、長年利用されているPACファイルに、特定の業務システムだけプロキシを経由しない設定が残っている場合があります。 また、VPNに接続しなければ社内のDNSサーバーへ問い合わせられないアプリケーションや、既存プロキシの動作を前…

Zscalerを導入すると決まったとき、最初に考えることは何でしょうか。 「ZIAをどう設定するか」 「ZPAのApplication Segmentをどう切るか」 「Client Connectorをどう配布するか」 こうした話から始めたくなります。 しかし、設計の出発点は製品機能ではありません。 何を守りたいのか。誰が、どこから、何を使うのか。今の環境にどんな制約があるのか。 この前提が曖昧なまま設定を決めると、後から「この業務だけ使えない」「海外拠点だけ経路が違う」「認証方式が合わない」といった問題が表面化しやすくなります。 Chapter 6では、設定方法ではなく設計者が何を考えている…

こんにちは、クラウド事業部 CI/CD導入支援サービスチームの西野です。 2026年10月15日にリリースされたGitLab 19.5で、GitLab Secrets Managerが一般提供（GA）されました。 about.gitlab.com 本機能は、GitLab Premium/Ultimateプランで利用が可能です。GitLab.com、GitLab self-managedどちらにも対応しています。 本記事では、GitLab Secrets Managerについての機能紹介、実際に使ってみた検証結果をご紹介します。 目次 目次 これまでのGitLabにおけるシークレット管理の課題 …

目次 目次 はじめに 1. Microsoft FoundryのModelsとは？ 1-1. モデルカタログとは？ 1-2. モデルのデプロイについて 2. モデルのデプロイ方式について 2-1. Global Standard 2-2. Data Zone Standard 2-3. Standard 2-4. Provisioned系 2-5. Batch系 3. モデルを選ぶ際のポイント 3-1. 回答品質・推論性能 3-2. コスト 3-3. レスポンス速度 3-4. 利用できる機能とリージョン 4. モデルのパラメーターについて 4-1. Temperature 4-2. Max O…

目次 はじめに ① 制限力：低 オフにしても自動でオンに戻す ② 制限力：中 オフにする際にパスワードを求める ③ 制限力：高 ログインするまでインターネットアクセスを制限する 3つの機能の使い分け おわりに 参考文献 はじめに こんにちは！iTOC事業部 0-WAN 阿部です。 「通信が遅いから」「サイトにアクセスできないから」と、ユーザーがZscaler Client Connector（以下、ZCC）をオフにしてしまい、対応に頭を悩ませている情シス担当者様も多いのではないでしょうか。 トラブルの切り分けのために一時的にオフにしたつもりが、そのまま戻し忘れてしまうケースもあるかと思います。…

こんにちは。ACS事業部の越川です。 社内で受けた質問 なぜサンドボックスが必要なのか 同じスクリプトで試した 検証の条件 結果 gh だけが通らなかった Windows では既定のままだとコマンドが動かなかった GitHub Copilot を導入するときに設定しておきたいこと 1. サンドボックスを有効にする 2. 外への通信を絞る 3. サンドボックスの外での実行を禁止する 4. macOS で gh を使うなら証明書を信頼させる 5. Windows ではローカルネットワークを許可するか決める Claude Code との違い クラウドで動かすという選択肢 まとめ 参考 ACS 事業部…

「Zscalerを入れてから遅くなった気がする」。 Performanceの問い合わせではこうした声が出ます。 ただし、「Zscalerを経由している」ことと「Zscalerが遅延の原因である」ことは同じではありません。 UserがApplicationを操作して結果が返るまでには、端末、Wi-Fi、LAN、ISP、Internet経路、Zscaler Service Edge、接続先SaaS / Applicationなど、複数の区間があります。 Chapter 5の最後は、「遅い」という一つの症状をEnd-to-Endで分解する考え方を整理します。 まず結論。体感速度はネットワークの遅延だ…

Webサイトや社内アプリにつながらないとき、ファイアウォールやポリシー、接続先サーバーだけでなく、DNSによる名前解決も原因候補になります。 FQDNで接続先を指定する場合、必要な名前解決に失敗すると、接続先のIPアドレスを取得できず、対象サーバーへ接続できないことがあります。 それでも利用者から見える症状は、ほかの接続障害と同じ「つながらない」です。 今回はZIA・ZPAの違いも踏まえ、名前解決と接続先への通信を分けて考えます。 まず結論。名前解決と、接続先への通信を分ける DNSは、接続先の名前からIPアドレスなどの情報を調べる仕組みです。 たとえば、明示プロキシを使わずにWebサイトへ接…

ZPAでPrivate AppへAccessできなくなったとき、Application Serverが正常でも、途中にいるApp Connectorが使えないと接続は成立しません。 では、App Connectorが1台停止したら、ZPA全体が使えなくなるのでしょうか。 答えは、構成次第です。 複数のApp Connectorが同じApplicationへ到達できるように設計されていれば、1台の停止がそのままApplication停止になるとは限りません。 一方、そのApplicationへ到達できるConnectorが実質1台しかなければ、その1台の停止が大きな影響になります。 今回は冗長化…

「ZPA自体は使えている。ほかの社内アプリも開く。でも、このアプリだけつながらない」。 この状況では、Client Connector全体やZPA Service全体が止まっている可能性だけを追い続けても、原因に近づきにくいことがあります。 なぜなら、ほかのZPA Applicationが正常という事実は、User側の共通経路が少なくとも一部では成立していることを示すからです。 そこで視点を、 「ZPA全体」から「そのApplicationだけに関係する要素」 へ移します。 今回はApplication定義、DNS、Access Policy、App ConnectorからApplicatio…

「Client Connectorが赤い」「接続済みにならない」「ZIAやZPAが使えない」。 利用者から見ると、どれも「Client Connectorがつながらない」という一つの症状です。 しかしClient Connectorが正常状態になるまでには、端末そのもの、Internet接続、DNS、Authentication、Zscaler Serviceへの到達性、App Profileなど、複数の要素が関わります。 そのため、アプリだけを見ていても原因を絞れないことがあります。 今回は復旧手順ではなく、Client Connectorの正常状態が何に依存するかを分解します。 まず結論。…

UserがLogin画面で認証する。 成功したように見える。 ところが、また同じLogin画面へ戻される。 もう一度認証しても、また戻る――。 このような「認証ループ」は、利用者から見ると単純に「Loginできない」現象です。 しかし裏側では、Browser、Zscaler、Identity Provider（IdP）、CookieやSessionなど、複数の要素が連携してAuthenticationを成立させています。 どこか一つで状態が正しく引き継がれないと、「まだ認証されていない」と判断され、再びAuthenticationが始まることがあります。 今回は、認証ループを一つの製品の問題と…

「SSL/TLS Inspectionを有効にしたら、今まで使えていたサイトやアプリが動かなくなった」 この現象は、なぜ起きるのでしょうか。 第26回では、HTTPS通信を検査するために、ZIAがTLS通信を途中で復号し、Security Check後に再び暗号化する考え方を学びました。 この仕組みは暗号化されたTrafficを検査するうえで重要です。 一方で、WebサイトやApplicationの一部は、通信の途中にProxyが入ることを想定していないSecurity仕様を持つ場合があります。 その代表例がCertificate Pinningです。 今回は「Inspectionが悪い」「例…

「GoogleもMicrosoft 365も見られるのに、このサイトだけ開かない」 前回の「Webサイトが全部見られない」とは、かなり状況が違います。 ZIA経由で通信していることを確認できた複数のWebサイトが正常なら、その通信に使われた端末のネットワークやZIAへの共通経路は、少なくとも一部では機能していると考えられます。 そのため今度は、そのWebサイトだけに関係する条件へ視点を移します。 URL Category、URL Filtering Policy、SSL/TLS Inspection、Webサイト側のCertificateや通信仕様などです。 今回は、全体障害と個別サイト障害を…

「特定のサイトだけ」ではなく、Webサイトがほぼ全部見られない。 この症状が出ると、「ZIAが止まっているのでは？」と考えたくなります。 しかし、すべてのWebアクセスに共通する部分はZIAだけではありません。 端末のネットワーク、Client Connectorの接続状態、ZIAまでの到達性、必要な名前解決、認証、共通ポリシーなどに問題があると、複数のWebサイトに同時にアクセスできなくなる場合があります。通信を運ぶ経路だけでなく、その通信に必要な処理や設定も確認対象です。 今回は、影響範囲が広いときは共通経路から考えるという切り分けの基本を扱います。 まず結論。「全部NG」なら、各サイトよ…

「Zscalerにつながらないです」 運用をしていると、こうした問い合わせを受けることがあります。 ただし、この一言だけでは原因は分かりません。 端末のインターネット接続が切れているのか、DNSで名前解決できていないのか、Client Connectorが正常に動いていないのか、認証で止まっているのか、ポリシーで拒否されているのか、あるいは接続先のWebサイトやアプリ側に問題があるのか。 同じ「つながらない」でも、原因候補は複数あります。 Chapter 5では、設定手順を覚えるのではなく、通信を分解して原因候補を絞るエンジニアの考え方を身につけます。 まず結論。「Zscalerが悪い」ではな…

Microsoft Entra IDとZIAをSAML連携している環境で、署名証明書を期限前に更新する手順を紹介します。新しい証明書の作成、ZIAへの登録・Activate、Entra IDでの切り替え、再認証による確認方法と切り戻しを解説します。

目次 目次 はじめに SIEM導入はなぜ重かったのか ISOCとは 提供条件 「手軽」の範囲を整理する コスト ISOCのセットアップ 前提条件 ワークスペースの作成 データコネクタの導入 ISOCで使える機能 ケース管理 ワークブック 自動化 Automatic Attack Disruption Content as Code Perceptionエージェント エージェントの一覧 標準のプレイブック 使い方と統制 制限 参考 Defender for Cloudのアラートとの関係 運用の進め方（筆者の見立て） 導入時の注意点 結びに ACS 事業部のご紹介 はじめに こんにちは。ACS事業…