流れ9の3語目 / 10

踏み台サーバー

クラウド・セキュリティ

「アプリのサーバーやDBはプライベートサブネットに置く」と聞いて、新人が質問しました。「じゃあ、アプリのサーバーにはどうやってログインするんですか?」

「踏み台経由で入って。直接は入れないよ」

「踏み台サーバー」って、何のことだろう…?

踏み台サーバーは、奥にあるサーバーへ入るための「まずここに入る」専用のサーバーです。

入口を1か所に絞って、そこを固く守ります。

このページで分かること読む約3分・問題 3問

プライベートサブネットのサーバーには、インターネットから直接SSHでログインできない
踏み台サーバーは、作業する人が「まずここに入り、ここから奥のサーバーへ入る」ための専用の1台
入口を1か所に絞れるので、守る場所・記録を取る場所も1か所にまとまる
踏み台自体が狙われるので、使う人を絞り、アップデートし、使わないときは止める

身近な例えで理解する

橋のない離島へは、本土の決まった港から出る定期船でしか渡れません。乗り場が1か所なので、そこで乗る人を確かめられます。

離島プライベートサブネットのサーバー
本土の港と定期船踏み台サーバー
橋がないインターネットから直接たどり着く道がない
港で乗る人を確かめる踏み台で入る人を絞り、記録を残す

渡る道があちこちにあると、そのぶん確かめる場所が増えます。1か所に絞るから、しっかり確かめられます。

ちょっと確認

Q1並べ替え

手元のPCから、プライベートサブネットのアプリのサーバーにログインする順番に並べてください。

下のカードを、正しい順にタップしてください。

例えを外して、実際のしくみ

ここからは実際のしくみ

なぜ必要か

プライベートサブネット(→82)のサーバーには、インターネットから直接たどり着く道がありません。でも、作業のためにログイン(→07 SSH)したいことはあります。そこで、パブリック側に入口用の1台を置きます

入る順番

手元のPC →(SSH)→ 踏み台サーバー →(SSH)→ 奥のサーバー(アプリのサーバーなど)の順に入ります。奥のサーバーは、踏み台からの接続だけを受け付けます。なお、マネージドなDB(→30)には、ふつうSSHでログインしません

ルールの絞り方

踏み台は「会社のIPから、22番だけ」を許可します。奥のサーバーは「踏み台から、22番だけ」を許可します。どこからでも22番を許可するのは危険です(→06 ファイアウォール/セキュリティグループ)

踏み台自体を守る・ほかの方法

踏み台は外から届く場所にあるので狙われやすいです。使う人ごとに鍵を分け、アップデートし、使わないときは止めます。最近は、踏み台を自分で用意・管理せずに、クラウドのサービス経由でログインする方法もあります(AWSのSession Manager、AzureのAzure Bastionなど)。この場合、サーバーの受信ポートをインターネットに開けずに済みます

このページのまとめ

踏み台サーバー: 奥のサーバーに入るために、まず入る専用のサーバー
踏み台経由で入る: 手元 → 踏み台 → 奥のサーバー、の順に入ること
入口を絞る: 入れる場所を1か所にして、そこを固く守る考え方
Session Manager / Azure Bastion: 踏み台を自分で置かずにログインできるクラウドのサービス

先輩のひとことの意味

先輩「踏み台経由で入って。直接は入れないよ」

「プライベートサブネットのサーバーには、インターネットから直接たどり着く道はない。まず踏み台サーバーにログインして、そこから奥のサーバーに入って」という意味です。入口が踏み台だけなので、誰がいつ入ったかも踏み台で確かめられます。

練習問題で確かめる

Q24択

踏み台を使う構成で、22番(SSH)を許可するルールとして、いちばん適切な組み合わせは?

Q3先輩のひとこと

先輩「踏み台、チーム全員で同じ鍵を使ってて、ずっと起動しっぱなしなんだよね」

何が問題?

参考資料

ご意見・「これで例えて!」を募集しています

ご意見・ご感想・質問・間違いのご指摘など、何でもお気軽にお寄せください。「この言葉も例えで説明してほしい」「こんな例えなら分かりやすい」という声をもとに、新しいページや例えを作ります。

説明してほしいITの言葉
例えてほしい場面(部活・アルバイト・家事など)
分かりにくかったところ・間違いのご指摘

意見箱は準備中です。