01/ 04ネットワーク
閉じたネットワーク
隠すことと使えることは両立できる
- 3 本の通り道利用者・保守・外部連携で分ける
- 外から見えない守るのは通り道の入口だけ
- 最奥の DB届くのは内部の許可された相手だけ
閉じたネットワークに、どう出入りするのか
業務システムが扱うお客様情報や受注データは、インターネットにそのまま公開すると世界中からアクセスを試されます。かといって完全にしまい込めば、利用者の操作も開発者の保守も届きません。守ることと届くことは、どうすれば両立するのでしょうか。
各ブロックや矢印をクリックすると、その仕組みの説明がここに表示されます。
この図をテキストで読む
構成図「閉じたネットワークの構成図」。ブロック11個、つながり11本。 枠: 利用者としての端末（ブロック2個）、AWS クラウド（ブロック2個）、VPC（ブロック1個）、プライベートサブネット（ブロック3個）、開発者としての端末（ブロック2個）。 【ブロック】 - ブラウザ: Web ブラウザ - スマホアプリ: iOS / Android - API Gateway: 公開の入口（門） / 認証・流量制御 - Session Manager: 安全な通用口 / AWS マネージドサービス - NAT Gateway: 外への唯一の出口 / 固定IP 203.0.113.45 - アプリケーション: サーバー側アプリ（Lambda 等） / VPC内で稼働 - データベース: 非公開エリアに保管 / Private - 管理用サーバー: VPC内の作業台（踏み台） / Session Manager の常駐ソフト - 外部サービス: SaaS・API・分析ツール / 固定IPを許可登録 - あなた: 開発者 / IAM ユーザ - localhost: ローカルのトンネル入口 / Session Manager の接続ツール 【図の符号】青の枠=人・利用者 / 緑の枠=関門・経由点 / 赤紫の枠=データの置き場 / 破線の枠=外部のサービス / 青の囲み枠=境界の囲み / 橙の囲み枠=守られた内側 / 灰色の囲み枠=外部の領域 【流れ】 - 利用者の流れ: ブラウザ → 〔HTTPS〕 → API Gateway → スマホアプリ → API Gateway → アプリケーション → データベース - 保守の流れ: あなた → localhost → Session Manager → 管理用サーバー → データベース - 外部連携の流れ: アプリケーション → NAT Gateway → 管理用サーバー → NAT Gateway → 〔固定IP〕 → 外部サービス
守りは「壁の枚数」で決まる
この構成には、情報を守る基本原則が随所に埋め込まれています。下の用語集で、図のどの要素がどの原則に対応するかを意識すると、なぜこの形が安全なのかが見えてきます。
押さえておきたい用語
- 最小権限
- 出入口の一本化
- 攻撃面の最小化
- 多層防御
- データの隔離
- 監査（追跡可能性）