Zenith Live '23 Keynote: Streamlining & up-leveling the Zscaler administrative experience | ZSLogin

Summary

このビデオスクリプトでは、昨年発表されたアイデンティティの統一に関する目標について話し、新たにリリースされたZsログインサービスの詳細を説明しています。Zsログインは、管理者と不久の将来のエンドユーザーのためのアイデンティティ管理と認証を簡素化するサービスです。これにより、ゼロトラストアーキテクチャのための新しいアイデンティティユースケースが解き放たれます。管理者は、Zscalerの全製品への中央ポイントとしてZsログインを使用し、SAML IDPからのSSOをサポートしています。パスワーレスでフィッシング耐性のマルチファクター認証をサポートし、管理者はUSBキーや指紋リーダーを使用して認証できます。また、管理者の自動プロビジョニングとプロビジョニング解除もサポートされています。エンドユーザーのサポートも進んでおり、一つのアイデンティティレコードとサービスへのアクセス権を管理することができます。これにより、ユーザーのリスクプロファイルや認証の異常を検出するためのコンテキストデータがZscalerの全サービスで共有され、ポリシーの設定が簡単になります。

Takeaways

• 🔐 Zsログインは、管理者とエンドユーザーのアイデンティティ管理と認証を簡素化するZscalerのアイデンティティサービスです。
• 🔑 管理者はZscalerのホストされた資格情報を使用して、すべてのZscaler製品への中央ポイントのエントリーポイントになります。
• 🔗 SSO（Single Sign-On）を使用している場合、管理者はSAML IDPとの単一接続を維持するだけで済みます。
• 📲 パスワーレスで多要素認証をサポートしており、FIDOセキュリティキーを使用して認証できます。
• 👁 管理者は、デバイスの指紋リーダーやUSBキーを使用して、パスワードなしで認証を行うことができます。
• 📈 Zsログインを使用すると、管理者の自動プロビジョニングとプロビジョニング解除をサポートできます。
• 👤 エンドユーザーのサポートにも進展があり、一つのアイデンティティレコードとサービスへのアクセス権が確保されます。
• 🔍 Zscalerのサービス全体で、ユーザーのリスクプロファイルや認証の異常を検出するためのコンテキストデータが共有されます。
• 🚫 リスクのあるユーザーを検出し、機密データのアップロードやアクセスを制限するポリシーを簡単に定義できます。
• 🔧 Zsログインを使用して、ユーザーに関するすべてのコンテキストデータをリアルタイムで中央で確認できます。
• 🔄 ポリシーの定義を簡素化するために、コンテキストシグナルとその閾値を中央で定義し、ポリシーから参照できるようにしています。

Q & A

Zsログインとは何ですか？

Zsログインは、管理者とエンドユーザーのためのアイデンティティ管理と認証を簡素化するZscalerのアイデンティティサービスです。

Zsログインの初期リリースではどのような機能が重点づけられていますか？

初期リリースでは、管理者のZsログインが重点づけられており、Zscalerの全製品への中央ポイントのエントリーポイントとなります。

管理者がZsログインを使用するとどのような利点がありますか？

管理者はZscalerのホストされた資格情報を使用して認証し、一つの資格情報セットだけを管理する必要があります。SAML IDPからのSSOがある場合、そのIDPとの一つの接続を維持するだけです。

Zsログインはどのようにしてパスワードレス認証をサポートしていますか？

ZsログインはFIDOという業界標準を使用して、パスワードレスでフィッシングに抵抗力のある多要素認証をサポートしています。

FIDO認証の2要素は何ですか？

FIDO認証の2要素は、デバイス上のプライベートキーと指紋のような生体認証の2つの要素から成り立っています。

Zsログインで管理者がサービスにアクセスする方法はどのようになるのでしょうか？

管理者は、サービスのタイルをクリックして、その管理者コンソールにシームレスにアクセスできます。

Zsログインは管理者のプロビジョニングとプロビジョニング解除をどのようにサポートしていますか？

Zsログインは、管理者のアイデンティティプロバイダーからの自動プロビジョニングとプロビジョニング解除をサポートしています。

エンドユーザーをサポートするためのZscalerの原則は何ですか？

エンドユーザーをサポートするための原則は、サービスへのアクセス権を持つ一つのアイデンティティレコードを持つユーザーに対して同じです。

Zscalerのサービス間でユーザーのコンテキストデータが共有される方法はどのようになるのでしょうか？

Zscalerのサービス間でユーザーのリスクプロファイルや認証の異常を検出したデリュージョンなど、コンテキストデータが共有されます。

Zsログインを使用してリスクのあるユーザーを検出し、そのアクセスを制限する方法はどのようになるのでしょうか？

Zsログインを使用すると、ユーザーリスクプロファイルやエンドポイントのセキュリティ、認証やデリュージョンで検出された活動の異常など、さまざまな情報源からのシグナルを使用してポリシーの条件を定義することができます。

Zscalerでポリシーを一貫して管理する方法はどのようなものですか？

Zscalerでは、中央で接触シグナルとその閾値を定義し、Zscalerの全サービスのポリシーから参照することができます。これにより、ポリシーの管理が容易になり、一貫性があります。

Outlines

00:00

🔐 Zsログインの紹介と機能

この段落では、Zscalerの製品全体でアイデンティティを統一する目標と、Zsログインのアイデンティティサービスの紹介が行われています。管理者とエンドユーザーのアイデンティティ管理と認証を簡素化し、新しいアイデンティティユースケースをゼロトラストアーキテクチャに提供します。最初のリリースでは、管理者のZsログインがZscaler製品への中央入り口となり、SAML IDPとのSSOを使用可能にします。パスワーレスでフィッシング耐性のマルチファクター認証を示し、Fidoセキュリティキーと指紋認証を使用します。また、管理者の自動プロビジョニングとプロビジョニング解除、エンドユーザーのサポート、一元的なコンテキストデータの共有、リスクユーザーの検出とアクセス制限の設定などについても説明されています。

05:01

📋 ポリシーの定義とコンテキストデータの共有

この段落では、Zscalerのポリシー定義とコンテキストデータの共有について説明されています。同じコンテキストデータを使用して、Zscalerの全サービスでポリシーを定義できます。100以上の異なるタイプのコンテキストデータがあり、一元的に定義してポリシーから参照できるようにすることで、使いやすさと一貫性を確保します。ユーザーリスクプロファイル、エンドポイントセキュリティ、認証やデシジョンによって検出された異常活動など、さまざまな情報源からのシグナルを使用してポリシーを定義することができます。

Keywords

💡Zs login

Zs loginは、ビデオの中心となるアイデンティティサービスです。これは管理者とエンドユーザーのアイデンティティ管理と認証を簡素化するものです。ビデオでは、Zs loginがどのように管理者とエンドユーザーのアイデンティティを統一化し、ゼロトラストアーキテクチャに新たなアイデンティティユースケースを提供するかについて説明されています。

💡アイデンティティ管理

アイデンティティ管理は、組織内の個人やリソースの認証と権限の管理を指します。ビデオでは、Zs loginがアイデンティティ管理をどのように簡素化し、管理者が資格情報を一元的に管理できるようにするのかが強調されています。

💡ゼロトラストアーキテクチャ

ゼロトラストアーキテクチャは、ネットワーク内の全てのエンティティが信頼されていないと仮定するセキュリティモデルです。ビデオでは、Zs loginがゼロトラストアーキテクチャにどのように新しいアイデンティティユースケースを提供するかが説明されています。

💡パスワーレス認証

パスワーレス認証は、パスワードを必要としない認証方法です。ビデオでは、Fidoセキュリティキーを使用したパスワーレス認証がデモンストレーションされており、これはフィッシングに対する抵抗力がある多要素認証です。

💡多要素認証

多要素認証は、2つ以上の認証要素を組み合わせた認証方法です。これにより、セキュリティが向上し、不正アクセスを防ぐことができます。ビデオでは、Fidoキーと指紋の組み合わせが例として使用されています。

💡自動プロビジョニング

自動プロビジョニングは、ユーザーのアカウントやアクセス権限を自動的に設定するプロセスです。ビデオでは、Zs loginがアイデンティティプロバイダーから管理者のプロビジョニングとプロビジョニングの解除を自動化する機能が強調されています。

💡エンタイトルメント

エンタイトルメントは、ユーザーが特定のサービスやリソースにアクセスする権限を指します。ビデオでは、Zs loginが管理者とエンドユーザーのエンタイトルメントを管理し、サービスへのアクセスを制御する方法が説明されています。

💡コンテキストデータ共有

コンテキストデータ共有は、ユーザーのリスクプロファイルや認証の異常を検出した情報を、Zscalerのサービス間や第三者と共有するプロセスです。ビデオでは、Zs loginがこの情報を共有し、組織のセキュリティを向上させる方法が説明されています。

💡ポリシー定義

ポリシー定義は、組織のセキュリティ要件に基づいて、アクセス制御や行動制限を設定するプロセスです。ビデオでは、Zs loginがポリシー定義を簡素化し、一元的にコンテキストデータを使用する方法が説明されています。

💡中央定義

中央定義は、ポリシーの設定を一元的に管理し、組織全体で一貫性を保つ方法です。ビデオでは、Zs loginが中央定義を使用して、ポリシーの管理を簡素化する方法が強調されています。

Highlights

Zscaler introduces Zs login for unified identity management and authentication.

Administrators only need to maintain a single set of credentials with Zs login.

Single connection maintenance for SSO from SAML identity providers.

Support for passwordless, phishing-resistant multi-factor authentication with FIDO security keys.

Dynamic service display in the admin console based on organization's usage and admin entitlements.

Automatic provisioning and de-provisioning of administrators from identity providers.

One identity record for end-users with entitlements to services.

Guaranteed unique identity for users, facilitating sharing of contextual data.

Sharing user risk profiles and detecting anomalies in user authentication and activity.

Integration with third-party identity providers for information sharing and protection.

Defining policies based on context criteria from various sources.

Consistent access policies across Zscaler services using the same set of criteria.

Over 100 types of contextual data for policy definition.

Central definition of context signals and thresholds for policy consistency.

Transcripts

foreign

[Music]

so last year you heard about our goals

to unify identity across our products

today I'm happy to discuss what we've

released

Zs login is the identity service for all

of zscaler it simplifies identity

management and authentication for

administrators and soon for end users

this service unlocks new identity use

cases for your zero trust architecture

in the first release we focused on the

administrator Zs login is the central

point of entry for administrators to all

z-scaler products if your administrators

authenticate who has zscaler hosted

credentials they only need to maintain a

single set of credentials

if your administrator is SSO from a saml

identity provider you only need to

maintain a single connection with that

IDP

there's a lot more I could get into but

let me demonstrate a couple of things

that we've built

the uh the demo I'm going to give here

we're going to authenticate as a as a

administrator with hosted credentials

and I want to show off the host and

credential experience so I can show off

our support for passwordless

multi-factor Authentication

what you see here is The One and Only

One login screen to z-scaler but I want

to draw your attention to the second

checkbox

in this case I'm going to authenticate

with a Fido security key

Fido is an industry standard that

enables a passwordless multi-factor

authentication that is phishing

resistant in this case the two factors

consist of what I have a private key on

this device and what I am my fingerprint

biometric so two factors of

authentication and I won't need to use a

password now I'm using this USB key but

you could also use the fingerprint

reader on your device the difference

being that this USB key is considered a

roaming authenticator I can go to other

devices to authenticate with it

so I click next on the login screen

and my browser prompts to me for my

registered Fido Authenticator

I insert my USB key

and put my finger on the fingerprint

reader

and with that then I am authenticated to

Z scaler what you see here are the list

of services that I'm entitled to

administer each tile is dynamically

displayed based on the services your

organization uses

and the services that each admin is

entitled to by clicking on a tile the

admin is seamlessly brought into that

admin console

so I can click the private access tile

and seamlessly access zpa

or I can click the internet access tile

and I'm in Zia

the last thing I want to mention about

the administrator use case is that with

Zs login we can support automatic

provisioning and de-provisioning of

Administrators from your identity

providers by using skim and this also

applies to the entitlements that the

that the administrator will receive

so support for administrators is

available but we've also made a lot of

progress in our support for end users

the core principles for supporting end

users are the same there's one identity

record with entitlements to the services

in which that user should be enrolled

and just like for administrators you

only need to maintain a single

connection with your identity provider

now whenever multiple services are

referring to a particular user we will

know absolutely whether that's the same

user or a different user

so now we'll have this guaranteed unique

identity and that's going to make it

much easier for us to share all

contextual data about a user throughout

the z-scaler ecosystem

so for example it'll make it very easy

for us to share things like the user

risk profile whether deception has

detected any nefarious activity whether

Zs login is detected any anomalies to

the way a user authenticated

and not only will we be able to share

these signals across z-scaler services

but amongst third parties as well

maybe a third party identity provider

has detected a risky user based on some

activity that occurred outside a

z-scaler and wants to share that

information with zscaler to help protect

your organization

policies at z-scaler could then be

defined to limit this user's access or

even send the user back to the identity

provider to re-authenticate

what you're looking at here is a user

record in Zs login and with the work

that we're doing it's going to make it

very easy for us to provide a way for

you to centrally review all contextual

data about a user in real time

in this case we're showing examples from

Zia client connector Zs login and Azure

active directory

great so let's say you want to use this

information to protect your organization

let's say you want to detect risky users

and limit their ability to upload

sensitive data or access sensitive

resources

with the work that we're doing it's

going to make it very easy for you to

define context criteria for policies

that taken signals from a bunch of

different sources such as the user risk

profile endpoint security any anomalies

from authentication or activity detected

by deception

likewise it'll make it just as easy for

us to Define access policies using that

exact same set of criteria

so this means that any policy on any

service throughout zscaler will have

access to the exact same context data

and ultimately you could Define the

exact same criteria for those policies

now we already have well over 100

different types of contextual data so

making this easy to use is going to be

the next trick so we're also looking at

ways to enable you to centrally Define a

range of contact signals and their

thresholds and therefore rather than

maintaining long list of granular

criteria in every one of your policies

throughout z-scaler you can use the

central definition and refer to it from

your policies this will make it easier

to use and ensure that your policies are

more consistent

foreign