OpenZiti

OpenZiti は、ネットワークサービスを不正ユーザーから不可視にする、オープンソースのゼロトラストネットワーキングプラットフォームです。ユーザー、サービス、デバイス、ワークロードを問わず、すべての接続は暗号化されたアイデンティティで認証され、ポリシーで承認され、エンドツーエンドで暗号化されます。

OpenZiti は、既存のアプリケーション（コード変更不要の軽量トンネラーを使用）と新しいアプリケーション（最も強力なゼロトラストモデルを実現する組み込み SDK を使用）の両方で動作します。そのため、ブラウンフィールド環境とグリーンフィールド開発の両方に実用的です。

NetFoundry によって作成・スポンサーされています。ライセンスは Apache 2.0 です。

目次

• ユースケース
• 主要機能
• 3つの導入モデル
• はじめに
• アーキテクチャ
• ゼロトラスト、ダークサービス、エンドツーエンド暗号化
• SDK
• コミュニティ＆サポート
• コントリビューション
• 採用事例
• マネージドソリューション

ユースケース

OpenZiti を使用すると、複数のネットワークやサードパーティをまたいで、非ヒューマンワークロードやワークフローを含むあらゆるユースケースに対して、どこでもゼロトラストを拡張できます。以下は一般的なユースケースの一部です。

VPN の置き換え

VPN クライアント、スプリットトンネリングの頭痛、コンセントレーターのボトルネックなしに、内部サービスへの安全なアクセスを提供します。各サービスは個別に承認されます。「一度中に入れば、すべてにアクセスできる」という問題はありません。

ダーク API とサービス

API とサービスをインターネットから不可視にします。リッスンポートがゼロであれば、攻撃対象領域もゼロです。承認されたクライアントのみが OpenZiti 経由で接続し、他の誰も何も見えません。

IoT と非ヒューマンアイデンティティ

すべてのデバイス、センサー、マシンに一意の暗号化アイデンティティを付与します。OpenZiti のアイデンティティモデルは、人間のユーザーと同様に非ヒューマンワークロードでも機能し、現代のネットワークトラフィックの大部分を占めるマシン間接続に強力な認証を提供します。

ゼロトラストワークロード

クラウドや環境をまたいだワークロード間通信を保護します。サービスはネットワーク上の位置ではなく、暗号化アイデンティティで相互認証します。共有シークレット、IP 許可リスト、アンビエント権限は不要です。

エージェント AI

すべての AI 参加者に暗号化アイデンティティを付与して、エージェント間およびエージェントとサービスの通信を保護します。MCP サーバー、ツールエンドポイント、プライベート LLM は、リッスンポートや公開 URL を持たずにダーク状態を維持します。エージェントは強力で一意のアイデンティティで認証し、ポリシーで許可されたリソースにのみ到達するため、自律的なワークフローは必要なアクセスを取得しつつ、他のすべてに対するアンビエント権限は持ちません。

マルチクラウドおよびハイブリッド接続

AWS、Azure、GCP、オンプレミスのデータセンター、エッジロケーションをまたいだ単一のオーバーレイネットワークです。クラウド固有のネットワーキングツール、環境間の VPN トンネル、複雑なピアリング設定は不要です。

セルフホスト型サービスアクセス

Nextcloud、Home Assistant、メディアサーバー、開発環境などのホームラボやセルフホスト型サービスにどこからでもアクセスできます。ルーターポートを開放する必要も、動的 DNS も、サードパーティのトンネルサービスへの依存もありません。パス全体を自分で制御します。

Kubernetes およびクラスター間サービス

複雑な Ingress ルール、サービスメッシュサイドカー、クラスター間の VPN トンネルなしに、Kubernetes クラスター間でサービスを接続します。Kubernetes を超えて機能し、k8s サービスと VM、ベアメタル、IoT デバイス、またはオーバーレイ上のその他のものを接続できます。

主要機能

3つの導入モデル

OpenZiti は3つのゼロトラストモデルをサポートしています。単一のネットワーク内でこれらを混在させ、時間をかけて移行することも可能です。

ネットワークアクセス

信頼できるネットワークゾーンに OpenZiti エッジルーターを導入します。トラフィックは認証されたクライアントからオーバーレイに入り、サービスの実行されているプライベートネットワークに出ます。

• コード変更: 不要
• サービスホスト上のエージェント: 不要
• セキュリティモデル: ネットワーク境界でのアイデンティティベースのアクセス。ゲートウェイに似ていますが、暗号化アイデンティティと暗号化トランスポートを備えています。

ホストアクセス

サービスと同じホスト上で OpenZiti トンネラーを実行します。トンネラーがアイデンティティ、認証、暗号化を処理します。サービスは localhost からの接続を受け入れるだけで済みます。

• コード変更: 不要
• セットアップ: トンネラーのインストール、アイデンティティの登録
• セキュリティモデル: ホスト OS における信頼境界。サービスはネットワークからはダークであり、トンネラー経由でのみ到達可能です。

アプリケーションアクセス（最強）

OpenZiti SDK をクライアントアプリケーションやサーバーアプリケーションに直接組み込みます。アプリケーション自体が暗号化アイデンティティを保持し、プロセス内でトラフィックを暗号化します。localhost にもリッスンポートは存在しません。

• コード変更: あり
• セキュリティモデル: 最強。プロセス内でのエンドツーエンド暗号化。完全にダーク。アイデンティティはネットワーク層やホスト層ではなく、アプリケーション層にあります。

どこから始めるか: 多くのチームは既存のサービスに対してホストアクセス（トンネラー）から始めます。コード変更なしで数分で導入できます。新しい開発や高いセキュリティが求められるワークロードには、アプリケーションアクセス（SDK）が最も強力なゼロトラスト体制を提供します。

はじめに

以下のクイックスタートでは、開発、テスト、学習用のローカル OpenZiti ネットワークをセットアップする方法を示します。本番導入については、https://netfoundry.io/docs/openziti/category/deployments/ の製品ドキュメントを参照してください。

Docker を使用したクイックスタート

ローカル OpenZiti ネットワークを最も速く立ち上げる方法:

wget https://get.openziti.io/dock/all-in-one/compose.yml
docker compose up

これにより、コントローラー、エッジルーター、Ziti コンソールが1つのコンポーズスタックで起動します。コンソールは https://localhost:1280/zac/ で利用可能です。ここからアイデンティティの作成、サービスの定義、アクセスポリシーの設定が行えます。

ストレージオプション、環境変数、CLI の使用法など、詳細については all-in-one Docker quickstart を参照してください。

CLI を使用したクイックスタート

GitHub Releases から最新の ziti バイナリをダウンロードし、次のコマンドを実行します:

ziti edge quickstart

これにより、ローカル開発用ネットワーク（コントローラー、ルーター、デフォルトの管理アイデンティティ）が起動します。テストや学習に最適です。

実行中のコントローラーに Ziti Admin Console (ZAC) を追加するには:

ziti ops console download --location /opt/openziti/console
ziti ops console configure /path/to/controller.yml --all --location /opt/openziti/console
# コントローラーを再起動し、https://<controller-address>/zac/ を開きます

または、コントローラーの設定を変更せずに ZAC をローカルで提供するには:

ziti run console --version latest
# https://127.0.0.1:8443 が開きます。ブラウザから任意のコントローラーを指定できます

さらに学ぶ

アーキテクチャ

OpenZiti のオーバーレイネットワークは、既存のインフラ（任意の IP ネットワーク、任意のクラウド、任意の組み合わせ）上で動作します。中核となるコンポーネント:

コントローラー

コントローラーは管理プレーンです。以下を処理します:

• アイデンティティ管理: ネットワーク上のすべての参加者に対して暗号化アイデンティティ（x509 証明書）を発行・検証
• ポリシー適用: どのアイデンティティがどのエッジルーターを経由してどのサービスにアクセスできるかを定義
• ネットワーク状態: ルーター、サービス、トポロジーを追跡し、管理用の REST API と Web ベースの管理コンソールを提供

エッジルーター

エッジルーターはデータプレーンを形成し、エンドポイント間で暗号化トラフィックを運ぶメッシュファブリックです。

• パブリックルーター はインターネットから到達可能で、ネットワークへのエントリーポイントとして機能
• プライベート（「ダーク」）ルーター はプライベートネットワーク内に導入され、アウトバウンド接続のみを行う

ルーターは自動的に相互検出し、メッシュ接続を形成し、レイテンシ、スループット、コストに基づいて最適なパスを選択するスマートルーティングを使用します。

エンドポイント: SDK とトンネラー

エンドポイントは、アプリケーションやユーザーが OpenZiti ネットワークに接続する方法です:

• SDK (Go, C, Python, Node.js, Java, Swift, C#): アプリケーションに直接ゼロトラストを組み込みます。アプリ自体がアイデンティティを保持し、暗号化を処理します。サイドカー、エージェント、リッスンポートは不要。

• トンネラー (Linux, Windows, macOS, iOS, Android): 変更されていないソフトウェアに OpenZiti 接続を提供する軽量アプリ。トラフィックを透過的にインターセプトし、オーバーレイ経由でルーティングします。コード変更は不要。

ゼロトラスト、ダークサービス、エンドツーエンド暗号化

ゼロトラストとアプリケーションセグメンテーション

OpenZiti ネットワーク内のすべての参加者（例：ユーザー、サービス、デバイス、ワークロード）は、x509 証明書に裏打ちされた一意の暗号化アイデンティティを持ちます。接続が試行されると、OpenZiti は以下を検証します:

1. アイデンティティが有効で登録されていること
2. そのアイデンティティに要求されたサービスへのアクセスを許可するポリシーが存在すること
3. 接続が許可されたエッジルーター経由であること

いずれかのチェックが失敗すると、接続は拒否されます。後でアクセスが取り消された場合、アクティブな接続は即座に終了します。ネットワーク上の位置に基づく暗黙の信頼はありません。同じ LAN にいることは、ポリシーで明示的に許可されない限り、インターネットを経由するよりも多くのアクセスを付与しません。

このモデルはゼロトラストアプリケーションセグメンテーションを提供します。各サービスは独立して承認されます。1つのサービスへのアクセスを取得しても、他のサービスへのアクセスは付与されません。

ダークサービス

「ダーク」サービスは、ポートを開放していません。着信接続のためにネットワークインターフェースでリッスンすることはありません。代わりに、サービス（またはその隣のトンネラー）は OpenZiti エッジルーターへのアウトバウンド接続を行い、自身を登録します。クライアントは、認証と承認の後にのみ、OpenZiti ファブリックを介してサービスに到達します。

実際にこれが意味すること:

• ポートスキャンでは何も見つからない: 発見できるリッスンポートはありません
• 攻撃対象領域ゼロ: 到達できないものを悪用することはできません
• DDoS 耐性: 攻撃される公開エンドポイントはありません
• 不正ユーザーから不可視: マッチするポリシーを持つアイデンティティだけがサービスの存在を知ることができます
• NAT とファイアウォールにフレンドリー: すべての接続はアウトバウンドであるため、CG-NAT、ダブル NAT、制限の厳しいファイアウォールも問題になりません

エッジルーターもダークにできます。プライベートルーターはアウトバウンド接続のみを行うため、プライベートネットワーク内にインバウンドファイアウォールルールは不要です。

エンドツーエンド暗号化

OpenZiti SDK を使用すると、トラフィックは送信アプリケーションから受信アプリケーションまで、データパスには libsodium、アイデンティティ認証には mTLS を使用して暗号化されます。ルーターや中間ネットワークが侵害されても、トラフィックを復号化したり改ざんしたりすることはできません。

トンネラーを使用する場合、暗号化はトンネラー間（またはトンネラーから SDK）のパスをカバーし、アプリケーションを変更することなくマシン間の暗号化を提供します。

SDK

アプリケーションに直接ゼロトラストネットワーキングを組み込む:

すべての SDK は OpenZiti GitHub organization にリストされています。

セキュリティ

OpenZiti はセキュリティ重視のプロジェクトです。脆弱性の責任ある開示は、プラットフォームとそのユーザーの安全を守るのに役立ちます。

脆弱性の報告: セキュリティ上の問題を発見した場合は、詳細について 脆弱性開示ポリシー を確認してください。機密性の高い問題は [email protected] に報告してください。機密性の低い問題は、適切なリポジトリで GitHub イシューとして報告できます。7日以内に返信があるはずです。

脆弱性の処理方法: 当社の 製品セキュリティインシデント対応プロセス は、報告された脆弱性がどのようにトリアージ、文書化、解決されるかを説明しています。これには、CVE のリリースが修正とどのように調整されるかも含まれます。

セーフハーバー: OpenZiti および NetFoundry は、脆弱性を誠実に調査・報告する者に対して法的措置をとりません。セキュリティ研究を奨励し、報告された発見をアドバイザリやリリースノートで報告者に帰属させます。

コミュニティ＆サポート

OpenZiti には活発で成長を続けるコミュニティがあります:

• Discourse Forum: 質問、プロジェクトの共有、コミュニティやメンテナーからのヘルプ
• YouTube: チュートリアル、デモ、詳細解説
• Blog: プロジェクトの更新と技術記事
• Twitter/X: ニュースとお知らせ

コントリビューション

OpenZiti プロジェクトは、コード、ドキュメント、バグ報告、フィードバックなど、あらゆるコントリビューションを歓迎します。

主要リポジトリ

ソースからのビルド

ビルド手順については ローカル開発チュートリアル を参照してください。

開発者向けドキュメント

• 開発者概要
• ローカル開発
• ローカル導入
• コントローラー PKI
• リリースノート

採用事例

OpenZiti は、DeltaSecure（管理 SOC）、Resulticks（マーケティング自動化）、Chirp Wireless（IoT/テレコム）、GIGO Dev（クラウド開発環境）、OSMIT（管理 IT/GDPR コンプライアンス）などの組織、および zrok や BlueBubbles などのオープンソースプロジェクトで本番運用されています。

完全なリストは ADOPTERS.md をご覧ください。OpenZiti を使用していますか？ぜひ追加させてください。イシューを開くか、PR を送信してください。

マネージドソリューション

自身のインフラを管理せずにゼロトラストネットワーキングを利用したい場合は、NetFoundry が、SLA、エンタープライズサポート、グローバルなエッジルーターファブリックを備えた、完全マネージドでグローバルに分散された OpenZiti ネットワークをサービスとして提供しています。

OpenZiti は NetFoundry, Inc によって開発・オープンソース化されています。