Wat is een ZPA-Microtenant?
Een ZPA-Microtenant is een afgebakend beheergebied binnen een tenant van Zscaler Private Access. Het wordt gedefinieerd via een authenticatiedomein en gedelegeerd aan beheerders, doorgaans per land, afdeling of dochteronderneming. De Microtenant-Admin beheert App-Segments, connectors en beleid van zijn gebied zelfstandig en ziet dashboards en logs alleen voor de eigen gebruikers. Standaard blijven de resources van verschillende Microtenants van elkaar gescheiden; afzonderlijke App-Segments zijn gericht te delen. Microtenants lossen daarmee een organisatorisch probleem op: gedecentraliseerde verantwoordelijkheid, zonder daarvoor aparte Zscaler-tenants te moeten beheren.
ZPA-Microtenant in detail
De verantwoordelijkheidsgrenzen zijn duidelijk getrokken. Binnen zijn gebied beheert de gedelegeerde beheerder, volgens de Zscaler-documentatie, App-Segments en segmentgroepen, servers en servergroepen, App Connectors met bijbehorende groepen en het beleid voor de eigen gebruikers. Centrale basiszaken blijven voorbehouden aan de Default-Microtenant: IdP-configuratie, SAML-attributen, enrollment-certificaten en het beheer van de Microtenants zelf; voor gedelegeerde beheerders zijn deze gebieden alleen leesbaar.
De functie wordt geactiveerd via de Zscaler-support. Tot de gedocumenteerde grenzen behoren: geen ondersteuning bij geactiveerde disaster-recoveryfunctie, afzonderlijke functies zoals AppProtection alleen voor reguliere tenants, en bij het verwijderen van een Microtenant worden ook de bijbehorende Log Receivers verwijderd. Voor toegang over gebiedsgrenzen heen deelt de beheerder expliciet App-Segments; scheiding blijft de standaardsituatie.
Waarom tellen Microtenants in de Zscaler-praktijk?
Microtenants geven antwoord op een vraag die in concerns en bij dienstverleners steeds terugkeert: hoe krijgt elke eenheid verantwoordelijkheid voor haar eigen gebied, zonder dat iemand het overzicht over het geheel verliest? Gedelegeerd beheer verkort de lijnen, omdat de dochteronderneming haar App-Segments zelf onderhoudt in plaats van elke wijziging centraal aan te vragen. Tegelijk beperkt de gebiedsgrens de schade van fouten en de zichtbaarheid van logs tot de eigen eenheid.
De prijs is coördinatie-inspanning: wie beheert wat, welke segmenten zijn gedeeld, welke basiszaken liggen centraal? Zonder gedocumenteerd antwoord ontstaan pingpongtickets tussen centrale IT en gebiedsbeheerders. En wie daarnaast meerdere echte tenants beheert, bijvoorbeeld als dienstverlener voor veel klanten, heeft daar nog een niveau bovenop nodig: het geconsolideerde overzicht over alle tenants en hun Microtenants heen.
Veelvoorkomende foutbronnen
- Microtenant verward met tenant: verwachtingen over contract-, licentie- of datascheiding horen op tenantniveau thuis, niet op de beheergrens.
- Verantwoordelijkheden onduidelijk: voor IdP, SAML-attributen en certificaten is de Default-Microtenant verantwoordelijk; anders wachten gebiedsbeheerders op rechten die ze nooit krijgen.
- Gedeelde App-Segments zonder inventaris: na reorganisaties weet niemand meer welk gebied welke segmenten met wie deelt.
- Disaster-recoveryplanning zonder blik in de documentatie: de combinatie met Microtenants wordt volgens Zscaler niet ondersteund en hoort vroeg thuis in de architectuurreview.
Microtenants in de praktijk: wat CentaurNexus bijdraagt
CentaurNexus beheert meerdere ZPA-Microtenants multitenant vanuit één interface: de functie Microtenants toont de gebieden naast elkaar, terwijl de structurele scheiding behouden blijft. Gecombineerd met RBAC-domain-scoping ziet elk team alleen zijn eigen verantwoordelijkheidsgebied, van concern-helpdesk tot gebiedsbeheerder van de dochteronderneming, zonder Zscaler-beheerdersaccount. Voor dienstverleners komt daar de cross-tenant-weergave bij, die meerdere klanttenants onder één dak bedienbaar maakt. Hoe die samenwerking er in de praktijk uitziet, laat het artikel zien Meerdere Zscaler-tenants vanuit één interface beheren.
Verwante begrippen
Veelgestelde vragen over de ZPA-Microtenant
De tenant is de hoogste instantie van een bedrijf binnen de Zscaler-dienst, met een eigen configuratie en eigen contract. Een Microtenant is een beheergebied binnen een ZPA-tenant: het wordt afgebakend via een authenticatiedomein en gedelegeerd aan beheerders, bijvoorbeeld per land, afdeling of dochteronderneming. Er ontstaat geen tweede tenant, maar een verantwoordelijkheidsgrens binnen de bestaande.
Volgens de Zscaler-documentatie beheert hij zelfstandig de configuratie van zijn gebied: App-Segments en segmentgroepen, servers en servergroepen, App Connectors met bijbehorende groepen en het beleid voor de eigen gebruikers. Dashboards en logs tonen uitsluitend het eigen gebied. App-Segments zijn indien nodig te delen met andere Microtenants.
Centrale basiszaken beheert alleen de beheerder van de Default-Microtenant: de IdP-configuratie, SAML-attributen, enrollment-certificaten en het aanmaken van de Microtenants zelf. Voor Custom-Microtenant-beheerders zijn deze gebieden alleen leesbaar. Deze taakverdeling voorkomt dat gedelegeerde gebieden de gedeelde authenticatiebasis van de tenant wijzigen.
Standaard niet: gebruikers bereiken de resources van hun eigen Microtenant en die van het globale gebied, maar niet die van andere Microtenants. Waar toegang gewenst is, deelt de beheerder gericht afzonderlijke App-Segments met andere Microtenants. Zo blijft scheiding de standaardsituatie en delen de gedocumenteerde uitzondering.
Volgens de documentatie wordt de functie voor de organisatie vrijgeschakeld via de Zscaler-support. Let op de gedocumenteerde grenzen: bij geactiveerde disaster-recoveryfunctie worden Microtenants niet ondersteund, afzonderlijke functies zoals AppProtection blijven voorbehouden aan reguliere tenants, en het verwijderen van een Microtenant verwijdert ook de bijbehorende Log Receiver.
- Zscaler Help Portal: About Microtenants - help.zscaler.com
- Zscaler Help Portal: Configuring Microtenants - help.zscaler.com
Let op: CentaurNexus is een onafhankelijk product van SourcingBlox GmbH en geen aanbod van Zscaler, Inc. Product- en merknamen behoren toe aan hun respectieve eigenaren.