Formation Zscaler Private Access (ZPA)

Programme de notre formation Zscaler Private Access (ZPA)

[Jour 1 – Matin]

Architecture Zero Trust et préparation du déploiement

• Principes du ZTNA, accès applicatif et différences avec un VPN donnant accès au réseau
• Architecture ZPA, rôles des Public Service Edges, des App Connectors et de Client Connector
• Chemin d’une connexion privée, microtunnels et résolution DNS avec adresses synthétiques
• Préparation du tenant, rôles d’administration et inventaire des applications privées et de leurs dépendances
• Prérequis de déploiement des App Connectors, plateformes, connectivité sortante, DNS et placement réseau
• Atelier pratique : Cartographier une architecture de laboratoire et contrôler les prérequis réseau et DNS avant le déploiement.

[Jour 1 – Après-midi]

Déploiement des connecteurs et segmentation applicative

• Installation et enrôlement des App Connectors, jetons OAuth et clés de provisioning selon la méthode retenue
• Organisation des App Connector Groups, redondance et vérification de la disponibilité des connecteurs
• Définition des Application Segments par noms de domaine, adresses et ports nécessaires
• Association des Server Groups aux groupes de connecteurs et découverte dynamique des serveurs
• Organisation des Segment Groups, granularité de segmentation et maîtrise des recouvrements entre segments
• Atelier pratique : Déployer deux App Connectors, créer leurs groupes et définir les segments de deux applications avec leurs Server Groups.

[Jour 2 – Matin]

Identité et accès depuis les postes utilisateurs

• Intégration du fournisseur d’identité avec SAML 2.0, métadonnées, certificats et attributs utilisateurs
• Provisioning des utilisateurs et groupes avec SCIM, distinction entre synchronisation et authentification
• Installation et enrôlement de Zscaler Client Connector sur les postes de test
• Profils applicatifs, profils de transfert et Client Forwarding Policy pour orienter les demandes vers ZPA
• Premières politiques d’accès par groupe utilisateur et application, validation des autorisations et des refus
• Atelier pratique : Intégrer un fournisseur d’identité de test, enrôler un poste et vérifier les accès de deux profils utilisateurs.

[Jour 2 – Après-midi]

Politiques contextuelles et Browser Access

• Construction de politiques d’accès contextuelles combinant identité, groupes, applications et type de client
• Contrôles de posture des terminaux et critères de réseaux de confiance dans les règles d’accès
• Évaluation des règles du haut vers le bas, première correspondance et sélection du segment applicatif le plus précis
• Application du moindre privilège, réduction des segments trop larges et tests de non-régression
• Publication avec Browser Access, accès web sans agent, domaines, certificats et contraintes de compatibilité applicative
• Atelier pratique : Appliquer une règle de posture, tester les accès autorisés et refusés puis publier une application web avec Browser Access.

[Jour 3 – Matin]

Private Service Edge et migration depuis le VPN

• Usages du Private Service Edge, différences avec les Public Service Edges et responsabilités d’exploitation
• Prérequis de déploiement, dimensionnement, groupes, enrôlement et flux entrants et sortants du Private Service Edge
• Préférence de chemin avec les politiques de redirection, disponibilité et scénarios de repli à valider
• Administration sécurisée des composants, mises à jour et contrôle de la résilience des accès applicatifs
• Migration VPN vers ZPA, inventaire des dépendances, cohorte pilote, coexistence contrôlée et critères de retour arrière
• Atelier pratique : Configurer un Private Service Edge préparé, vérifier le chemin d’accès puis réaliser la bascule pilote d’une application avec test de retour arrière.

[Jour 3 – Après-midi]

Exploitation et résolution des incidents

• Méthode de troubleshooting par étapes, identification du périmètre et reproduction d’un incident
• Lecture des diagnostics d’activité utilisateur, événements de connexion, refus de politique et erreurs applicatives
• Diagnostic des incidents Client Connector, authentification, attributs d’identité et posture du terminal
• Vérification des App Connectors, résolution DNS, ports applicatifs et associations entre segments et groupes
• Collecte des journaux, principes du Log Streaming Service, intégration SIEM et constitution d’un dossier d’escalade
• Atelier pratique : Résoudre des incidents injectés de DNS, de politique et de connecteur, vérifier le rétablissement des accès et documenter les actions correctives.