ZTXGate 導入ガイド
このガイドでは ZTXGate の初期導入手順を製品レベルで説明します。リリースによって変化するインストールコマンドやセットアップ時の具体的な入力項目は扱いません。
システム要件
ZTXGate は軽量な単一ノード構成です。
| 項目 | 最小要件・対応基準 |
|---|---|
| OS | Ubuntu 24 以降 |
| CPU | 2 コア以上 |
| メモリ | RAM 2 GB 以上 |
| 導入モデル | 単一ノード |
| ソフトウェア | ZTXGate Debian (.deb) パッケージ 1 つ |
実運用のサイジングには同時接続者数、通信量、クライアントレスプロキシの利用、連携先、ログ要件を反映してください。
事前準備
セットアップ前に、導入先の FQDN/IP アドレス、待受ポート、TLS 証明書、利用するアクセス方式と外部連携先へのネットワーク到達性を確認します。
管理対象端末には WireGuard 通信経路が必要です。IdP、MDM/EDR、SMTP などの外部サービスを有効化する場合、それらとの通信も必要です。
初期セットアップでのライセンスファイル（任意）
ライセンスファイルをすでに取得している場合、インストールまたは初期セットアップ前に /tmp に配置できます。パッケージ導入処理とセットアップスクリプトはそのファイルを読み込めます。
以後のライセンス更新では /tmp に依存せず、管理ポータルから更新します。
1. ZTXGate パッケージをインストール
準備した Ubuntu ホストに提供された .deb パッケージをインストールします。この段階では必要なコンポーネントのみが配置され、導入先固有のネットワーク・証明書設定は次の手順で初期化します。
2. 初期セットアップスクリプトを実行
パッケージ導入後、セットアップスクリプトを実行し、FQDN/IP、待受ポート、証明書、ネットワーク設定を入力します。この段階で WireGuard 設定および 初期管理者の認証情報が生成されます。初期管理者の認証情報は厳重に保護してください。
3. 管理ポータルへサインイン
セットアップで作成された初期管理者の認証情報を使用します。以後、セキュリティ設定と運用設定の大部分はポータルで管理します。
4. 上位レベルの設定を完了
必要に応じて、認証方式、追加認証、SMTP、OIDC、SCIM、SSF、MDM/EDR 端末状態連携、ライセンス更新を構成します。
最初の評価ですべての連携を有効化する必要はありません。テストするアクセス経路に必要なものから開始し、後から拡張できます。
5. 最初のユーザーを作成または同期
アクセス検証に使用するユーザー ID を管理画面で作成するか、適切な ID ライフサイクル連携を通じて同期します。メールによる登録フローを使う場合は、登録トークン発行前に SMTP を設定してください。
6. 最初の端末を登録
ユーザーの登録トークンを生成し、エンドポイントで登録を完了します。管理対象アクセスでは、端末がユーザーと関連付けられ、ZTXGate を通じた WireGuard 接続の準備が整います。端末は独立したポリシー評価対象にもなります。
7. 最初の保護対象リソースを定義
保護したいアプリ、ホストまたはサービスに対応するリソースを作成します。最初は接続性と使用プロトコルを簡単に確認できる、範囲の狭いリソースを選びます。
8. 最初のアクセスポリシーを作成
テストユーザーと登録端末にリソースへのアクセスを認める単純なポリシーを作成します。基本接続の確認後に端末状態、時間、接続元、期限付きアクセス、追加認証などを増やしてください。
可能であれば、組み込みのポリシーシミュレーターを使って (user, device, resource) の判断を事前に検証します。
9. 最初の接続を検証
登録済み端末から接続し、認可されたリソースに到達できることを確認します。さらに管理ポータルでアクセス・認証・ポリシー記録を調べ、期待した判断が実際に記録されていることを確認します。
クライアントレス HTTP/HTTPS の評価
対応するライセンスがある場合、Web アプリは WireGuard をインストールせずにブラウザー経由のプロキシで評価できます。リソースおよびポリシーの概念は共通ですが、接続方式は異なります。
エアギャップ環境での導入
分離環境でも基本的な導入手順は同じです。外部 IdP、MDM、EDR、SIEM、SMTP やクラウド認証を利用する場合は、そのサービスへの到達性が必要です。外部 CoreZT サービスが利用できない場合は、ライセンスと更新を手動で管理できます。