ネットワーク分離と通信制御

イントロ

公開するものと閉じるものを分ける

VPC内の設計では、外部に見せる入口と内部だけで使う資源を分けます。通信ルールを重ねることで、必要な経路だけを通します。

定義

教科書では: AWS上のリソースをサブネットや通信ルールで区切り、不要な到達経路を減らす設計。
言いかえると: VPCは仮想ネットワーク、サブネットは配置場所です。外から受けるものと内部だけのものを分け、セキュリティグループで通信を絞ります。

比較

要素public subnet

要素private subnet

要素Security Group

要素Network ACL

同じVPC内でも、置き場所と通信ルールの役割は違います。

要点

問題文では、外に見せる入口か、内部に閉じる資源か、通信をどこで絞るかを見る。

例

場面: 注文サイトでDBを直接インターネットに出したくない。
順に考えると: ALBとWebは入口側に置き、DBはprivate subnetに置きます。DBのセキュリティグループはWebからの必要な通信だけを許可します。
ここが結論: 公開範囲と通信元を分けると、安全な構成を選びやすくなります。

注意

確認

Q1

DBを直接公開しない設計として最も自然なのはどれですか。

まとめ

AWSのデータ保護では、保存されているデータと通信中のデータを分けて暗号化を考える。KMSは暗号化に使うキーを管理する中心的なサービスである。