国内企業において、SASEを導入済みもしくは導入中の割合が15%を超えてきています[i]が、当社でもPoCや導入支援のお話を引き続き多くいただいています。当社ではSASEのMSSとして、Prisma Access、Zscaler、Netskopeの3サービスを扱っていますが、本ブログでは、Palo Alto Networks（以下、PA社）が提供するPrisma Accessの2種類の管理方法、「Panorama管理」と「クラウド管理（Strata Cloud Manager（以下、SCM））管理」について、実際に構築・運用を行った経験をもとに、ライセンスの違いや管理画面の操作性、提供される機能の観点で差異を紹介します。
Prisma Accessとは
Prisma AccessはPA社が提供するSASEであり、拠点や端末からインターネットに対する安全な通信を実現するための多くの機能を備えています。PA社は以前より、オンプレミスの次世代FWを提供していましたが、Prisma Accessはそれらの機能をクラウド型で提供することで、「基盤などの物理的な運用を行う必要がない」、「柔軟に拡張することができる」など、クラウドサービスとしての特徴を有するサービスとなっています。Prisma Accessの構成イメージを以下に示します。
Prisma Accessの構成イメージ[ii]
Prisma Accessでは、セキュリティ機能を利用する際に、2種類の接続方法が提供されています。
- Remote Networks：事業所などの拠点に設置したルーターとPrisma AccessをVPNで接続する方式（図中のRemote Site）
- Mobile Users：端末にインストールしたGlobal ProtectというエージェントとPrisma AccessをVPNで接続する方式
Prisma Accessの管理方式
Prisma Accessでは2種類の管理方式が提供されています。各管理方式について、概要を紹介します。
Panorama管理
Panoramaという製品を用いて管理する方式です。PanoramaはPrisma Accessがリリースされる以前より、PA社の複数の次世代FWを統一的に管理する目的で展開されていた製品です。Panorama上で専用のPluginを適用することで、Prisma Accessを管理することができるようになります。
Panorama管理においても、多くの可視化・監視機能でSCMを利用します。
クラウド管理
クラウド管理方式は、インターネット上に用意されたSCM を管理コンソールとして利用する方式です。この方式では、管理用に特別なコンポーネントを用意する必要はありません。
Panoramaには実装されていなかったベストプラクティスに基づいた各種ポリシーが事前定義されており、利用開始までの作業を簡略化できる機能が備わっています（この機能を「スニペット」といいます）。
管理方式ごとの差異
ここから、私の経験を基に管理方式ごとの差異について、いくつかピックアップして紹介します。
ライセンス
Panorama：Panorama自体を利用するためのライセンスと、メンテナンスを行うためのサポート契約が必要な製品です。
SCM：個別のライセンスは不要で、Prisma Accessのライセンスを購入することで、利用できます。
比較：すでに次世代FWを管理するためにPanoramaを導入済みの環境では、Panorama管理に利点があります。一方、これからPA社の製品導入を検討していく環境では、ライセンス費用がかからないことや、クラウド型で提供されるため基盤を運用する必要がないなどの観点から、SCM管理に利点があると考えます。
管理画面
Panorama：IaaS基盤上に構築するケースを含む、オンプレミスで構築したPanoramaにHTTP/HTTPSやSSHなどを用いてアクセスし、設定などを管理します。Panoramaの管理画面は次世代FWと同様の構成になっていることが特徴です。サポートポータルであるCustomer Support Portal（以下、CSP）や一部の機能は、クラウド型で提供されるため、Panorama管理の場合、利用する機能に応じて異なる管理画面にアクセスする必要があります。
Panoramaの管理画面イメージ
SCM：クラウド型で提供される管理画面にHTTPSでアクセスします。CSPからの導線も用意されており、全ての作業をシームレスに完結できるという特徴があります。管理画面は直感的なナビゲーションとなっており、目的の機能などを見つけやすくなっています。
SCMの管理画面イメージ
比較：Panoramaの管理画面の構成は次世代FWと同様であるため、Panoramaを導入済みの環境のみならず、未導入であるものの、次世代FWを活用している環境では、扱いやすいものとなっているため、SCMに対する学習コストをかけることなく導入できるメリットがあります。一方、SCMは近年のクラウドサービスと同様に、利用経験が少ない方でも直感的なナビゲーションによりどの機能がどこにあるのかがわかりやすくなっているため、PA社の製品を利用していなくても扱いやすくなっています。
機能
それぞれの管理方式でPrisma Accessを構築した際に認識した違いについて、Panoramaでは利用可能だったもののSCMでは利用できない機能をピックアップします（2025年11月現在）[iii]
・WildFire Signature Action
-
WildFireとは？
-
WildFireは、マルウェア防御エンジンであり、Prisma Accessを通過した際に通信に添付されたファイルが悪性であるかどうかを検査するためのサンドボックスです。WildFireで検査した結果、悪性であると判断された場合、WildFire Signatureとして、同一ファイルを遮断するためのAntivirus（以下、AV）のシグネチャが配信されます。
Panorama：AV Profileでシグネチャの動作を指定する際に、AVシグネチャとWildFireシグネチャの動作をそれぞれ指定することができるため、WildFireシグネチャによる誤遮断などを考慮して動作を分離するなどの設計をすることが可能となっています。
SCM：WildFire and Antivirus profileで指定するシグネチャの動作は、AVシグネチャとWildFireシグネチャで共通となっているため、一貫した動作を実現できますが、細かい制御ができない仕様となっています。
・User-ID（Remote Networks）
本項では、ADサーバで端末のユーザー認証を行っている環境における機能差異について解説します。
-
User-IDとは？
-
User-IDは、Prisma Accessを通過した通信の送信元端末を利用しているユーザーを特定する機能です。通常、ログに出力される送信元を特定するための情報はIPアドレスのみですが、User-IDを利用することによって、誰がその通信を行ったかを特定することができ、セキュリティインシデントなどが発生した際に調査の一助となります。
Panorama：Remote Networksで接続している端末の送信元ユーザーを特定する際に、主に2種類の特定方式が提供されています。
1.エージェント方式：User-ID AgentというADサーバの認証情報を収集するためのエージェントを環境内に配置し、エージェントが定期的にADサーバから認証情報を収集してPrisma Accessに連携する方式
2.WinRM（Windows Remote Management）方式：Prisma AccessがADサーバに対して、定期的に認証情報を取得しにいく方式
SCM：Panoramaで挙げた2種類のユーザー特定方式の内、2. WinRM方式は提供されていません。そのため、次世代FWを導入済みであり、その環境のUser-IDの特定方式としてWinRMを利用していたとしても、Prisma Accessをクラウド管理で導入する場合は、新たにエージェント方式で設計する必要があります。
・Configuration Management
Panorama：設定内容をXML形式で出力することができます。本機能を活用することで、現在の設定情報をXMLファイルとして出力し、必要な変更内容を反映した上でPanoramaにアップロードし、設定ファイルとして読み込むことで設定変更を実施できます。多数の設定変更を実施する際にこの方式を用いることで、効率的に作業を実施できます。
SCM：設定情報はSCM内でバージョン管理されており、任意のバージョンに復元できますが、その内容を出力する機能は提供されていません。多数の設定変更を効率的に実施する際は、APIを利用するなど、Panorama管理とは別の方式を利用する必要があります。
管理方法ごとの差異のまとめ
全体を通して、シンプルに管理したいケースではクラウド管理が適しており、Prisma Access未導入環境や、導入済みであるものの細かい要件がない環境では、価格や管理画面の一貫性などの観点でメリットを享受できる管理方法であると考えています。
一方、Panorama管理は、既存で次世代FWを利用している環境や、細かい制御・調整をしたい環境に適しています。私の経験上、クラウドサービスはオンプレミスの製品より、大まかな設定粒度となっているケースが多いですが、Panorama管理ではオンプレミスと同様の粒度で設定を管理することができるため、より導入環境に即した設計が可能であると感じています。
Panorama管理からクラウド管理への移行
ここまでPanorama管理とクラウド管理の差異について紹介してきましたが、最後に管理方法の移行に関する注意点を紹介します。
Prisma Accessでは、管理方式の移行がPanorama管理からクラウド管理の一方通行となっています。そのため、最初にSCM管理を選択した環境もしくはPanoramaからクラウド管理へ移行した環境から、Panorama管理へ移行することはできないので、方式の選択や移行は慎重に実施する必要があります。
なお、Panorama管理からクラウド管理へ移行する際は、PA社が提供しているワークフローを利用することで移行できるようになっています。
おわりに
今回は、当社がMSSとしてサービス提供しているPrisma Accessにおける2種類の管理方式の主な差異を、私の経験を基に紹介しました。
また、当社ではSASE製品として、Prisma Access以外にもZscaler、NetskopeのMSSを提供しています。
SASE製品の導入などを検討される際は、お気軽にお問い合わせください。
＜関連サービス＞
マネージドセキュリティサービス powered by Prisma Access from Palo Alto Networks
[i] https://www.scsk.jp/news/2025/pdf/20251113.pdf
[ii] https://docs.paloaltonetworks.com/prisma-access/administration/prisma-access-overview
[iii] わかりやすくするために、一部簡略化や実際の機能名とは異なる用語を用いています。
