ZscalerのClient Connectorにおけるデバイスポスチャフレームワークは、証明書の信頼、クライアント証明書、ファイアウォールのステータス、フルディスク暗号化、ドメイン参加、複数のEDR検出など、WindowsとmacOSの両方で幅広いポスチャチェックをサポートしています。これらは、Zscalerの技術トレーニング資料に「WindowsとmacOS」の共通機能として記載されています。しかし、ZscalerとCrowdStrikeの高度な統合により、ゼロトラストアセスメント（ZTA）に基づく追加のポスチャシグナルが導入されています。同じ資料では、CrowdStrike ZTAスコアにWindows固有の最小バージョン（「CrowdStrike ZTAスコア（Win v.3.4.0+）」）が明示的に注釈付けされており、このZTAベースのポスチャは現在のリリースではWindowsのみに実装されている一方、macOSの共有リストには独自のZTAバージョンが含まれていないことが強調されています。
新しいZTE/EDU-202エンジニア教材では、ZTAデバイスOSとセンサーのスコアを個別に記述することでこれを基盤としており、試験ではこのWindows限定のZTA適用がCrowdStrike ZTAセンサー設定スコアオプションにマッピングされています。一方、クライアント証明書、フルディスク暗号化、ドメイン参加は、Windowsに限定されず、クロスプラットフォームのポスチャタイプとして文書化されています。

Zscalerの高度なデータ保護スタックには、Exact Data Match（EDM）、Indexed Document Match（IDM）、辞書、そして事前定義されたDLPエンジンが含まれています。ZscalerはEDMを、構造化データソース（データベースやスプレッドシート）からPIIなどの機密性の高い値を「フィンガープリント」する技術と説明しています。これにより、プラットフォームはそれらの値と完全に一致するものを検出してブロックし、誤検知を大幅に削減できます。
EDMでは、オンプレミスのインデックスツールが機密フィールド（名前、ID、その他のPIIなど）をハッシュ化し、読み取り可能なPII自体ではなく、ハッシュのみをZscalerクラウドにアップロードします。Zscalerのドキュメントでは、ハッシュ化されたフィンガープリントのみが送信されることが強調されているため、組織は「データを平文のままクラウドに転送することなく」内部データを保護できます。これは、侵害を恐れることなく内部PIIの流出をブロックするという要件に直接対応しています。
辞書やコアDLPエンジンは、内部データセットからのレコードの正確な照合ではなく、パターンまたはキーワードベースの検出（一般的なPIIパターンなど）に重点を置いています。一方、IDMは、行レベルのPIIレコードではなく、ドキュメント全体またはフォーム全体（テンプレートや高価値ドキュメントなど）のフィンガープリントを作成します。したがって、組織固有のPIIをプライバシー保護されたハッシュ形式でアップロードして正確なブロックを実現するには、EDMが適切なテクノロジーです。
フォームの上部
フォームの下部

Zscaler Private Access (ZPA) の導入では、ユーザーから Active Directory ドメインコントローラおよび SCCM サーバーへのトラフィックは、App Connector を介してプロキシされます。ZPA はこれらの接続に対して DNS プロキシとソース NAT (SNAT) を実行します。つまり、ドメインコントローラは「クライアント」がどの AD サイトに属するかを判断する際に、エンドユーザーの IP アドレスではなく、App Connector の IP アドレスを参照することがよくあります。
ZscalerのActive Directory統合ガイダンスでは、ADサイトの選択はApp ConnectorのIPに基づいて行われると説明されており、これらのコネクタIPを適切なActive Directoryサイトおよびサービス構成に追加することが推奨されています。これにより、認証、グループポリシー、DFS、またはSCCMトラフィックがZPA経由で到着した際に、ドメインコントローラまたはSCCMインフラストラクチャが接続を正しいサイトにマッピングし、ユーザーを最も近い、または最も適切なDC/SCCMサーバにルーティングすることで、効率的なログオンパフォーマンスとコンテンツ配信が維持されます。
この構成は、BGPルーティング設計（オプションA）、IPアドレスによるDCへの直接管理者アクセス（オプションB）、またはZPAのAD ID管理機能（オプションC）とは一切関係ありません。ZPAはサイトやサービスがなくてもADと統合できますが、どのDC/SCCMサーバを使用するかを最適化するには、App ConnectorのIPアドレスがADサイトに正しく関連付けられている必要があります。したがって、ユーザーが最も近いドメインコントローラまたはSCCMサーバに接続できるようにするためというのが正しい理由です。

Zscalerクライアントコネクタ管理ポータルでは、アプリプロファイルによって、特定のユーザーまたはデバイスに対するクライアントの動作が定義されます。アプリプロファイルの重要な要素は、関連付けられた転送プロファイルです。転送プロファイルは、Zscalerクライアントコネクタに対し、さまざまなネットワーク状況におけるトラフィックの処理方法を指示します。
たとえば、トラフィックを Z-Tunnel 2.0 経由で ZIA や ZPA に送信するか、PAC ファイルに依存するか、信頼できるネットワーク上では Zscaler をバイパスするかなどです。
アプリプロファイルを作成または編集する際には、転送プロファイルの選択が必須です。これは、ユーザートラフィックがZscalerクラウドに実際に到達する方法を決定するためです。転送プロファイルがないと、アプリプロファイルはどの転送モードを使用するべきかを判断できず、クライアントはトラフィックをいつどのようにトンネリングまたはバイパスするかについて一貫した指示を得ることができません。実際には、お客様は複数の転送プロファイルを定義することがよくあります（例：
複数のアプリ プロファイル（「ZIA のみ」、「ZPA のみ」、または「ZIA と ZPA」）を作成し、異なるユーザー グループまたはデバイス タイプごとに異なるアプリ プロファイルにバインドします。
「バイパス」、「認証」、または「例外」プロファイルは、ZCCポリシーモデルにおいて別個の必須プロファイルオブジェクトではありません。バイパスまたは例外の動作は、独立した必須プロファイルとしてではなく、転送プロファイルとアプリプロファイルのロジック内で定義されます。したがって、転送プロファイルは、すべてのZCCアプリプロファイルに必須の要素です。

ZPAのドメイン参加ポスチャ要素は、デバイスが特定のActive Directoryドメインに属しているかどうかを評価します。ZPAは、Zscaler Client Connectorポスチャエンジン、またはZPA Browser Accessで使用されるブラウザベースのポスチャ評価フレームワークを介して、デバイスのローカルポスチャ信号を使用してこの評価を実行します。ユーザーがBrowser Access経由で接続する場合でも、ZPAはエンドポイントから提供される許可されたブラウザポスチャ属性を検査することでドメインメンバーシップを判断できるため、Client Connectorを完全にインストールすることなく、デバイスベースのゼロトラスト制御が可能になります。
Linuxエンドポイントはドメイン参加ポスチャ検証をサポートしていないため、オプションAは誤りです。ドメイン参加検証は、IDプロバイダではなくデバイスレベルで実行されます。これは、IdPがデバイスのドメインステータスではなくユーザを検証するためです。そのため、オプションDは無効です。ZPAのポスチャ設定では、単一のポスチャプロファイル内で複数のドメインを定義できるため、2つ目のポスチャプロファイルを作成する必要はありません。そのため、オプションCは誤りです。
したがって、正しい記述は、ZPA ブラウザ アクセスは、デバイスが指定されたドメインに参加しているかどうかを判断できるというもので、これはドメイン参加ポスチャ要素の予想される動作と一致しています。