Azure PaaS とのよりセキュアな接続 - 初級編

Slide 1

Slide 1 text

Azure PaaS とのよりセキュアな接続 - 初級編 VNet サービスエンドポイント、Private Link、VNet 統合株式会社 pnop / Cloudlive 株式会社浅見城輝 2020/02/12 @Azure のセキュリティ勉強会と・クラフトビール #01

Slide 2

Slide 2 text

Slide 3

Slide 3 text

© 2020 pnop はじめに Azure の PaaS サービスは、その多くがインターネットとの接続を担うパブリックエンドポイントを持っています。しかし、インターネットにさらされているエンドポイントでの通信を許容することなく、特定の Azure VNet あるいは、VPN や ExpressRoute の先のネットワークといった、自身が管理しているネットワークとのみ通信をしたいというセキュリティ要件があります。ここでは、それを実現する Azure の機能を紹介します。 ※ 2020/02/12 時点の情報がベースとなります ※ Preview 機能もありますが Preview であることは明記していません

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

© 2020 pnop App Service や多くの Azure PaaS は通常、VNet には所属していない。そのため通常はインターネットとの通信となるが、 “VNet サービスエンドポイント” や “Private Link” を利用することで、 VNet からの通信に限定することが可能となる Azure PaaS への通信経路サービスエンドポイント VNet Private Link + Private Endpoint VNet インターネット Azure ExpressRoute (Microsoft Peering) Azure

Slide 8

Slide 8 text

© 2020 pnop サービスエンドポイント VNet VNet サービスエンドポイント VNet のサブネットにサービスエンドポイントを作成することで、 Azure PaaS はそのサブネットからの接続を許可、それ以外を拒否する設定が可能になるすなわち、Azure PaaS への接続元となるネットワークを特定の VNet サブネットに限定可能となる VNet と Azure PaaS 間のトラフィックは Azure バックボーンのみ VNet 内のリソースにとって Azure PaaS の IP アドレスはグローバル IP になる PaaS にとって接続元の IP アドレスは VNet 内の IP になるサブネットに割り当てたルートテーブルよりも優先される対応する Azure PaaS App Service Data Lake Storage Gen 1 Storage Cosmos DB Azure DB for MariaDB Azure DB for MySQL Azure DB for PostgreSQL SQL Database Synapse Analytics Key Vault Container Registry Service Bus Event Hubs

Slide 9

Slide 9 text

© 2020 pnop サービスエンドポイントポリシーをサブネットに割り当てることで、そのサブネットからアクセスできる Azure PaaS を制限するこれを設定しないと、 Azure Firewall などでインターネットへの OutBound を遮断しているにもかかわらず、どの Azure PaaS にもアクセスすることができてしまう該当サブネット内のリソースにアクセスできる悪意のあるユーザーがデータを想定外のAzure PaaS に持ち出すことを防ぐ現時点(2020/02/12)では、Azure Storage のみが対象サービスエンドポイントサービスエンドポイントポリシー VNet

Slide 10

Slide 10 text

© 2020 pnop Azure Private Link Azure Private Link を使用すると、VNet 内のプライベートエンドポイント経由で Azure PaaS にアクセスできる VNet と Azure PaaS 間のトラフィックは Azure バックボーンのみ VNet 内のリソースにとって PaaS の IP アドレスはプライベートエンドポイントに割り当てられた IP になる PaaS にとって接続元の IP アドレスは VNet 内の IP になる現時点(2020/02/12)では、NSG や IP アドレスで接続元を制限することはできない対応する Azure PaaS Storage SQL Database Synapse Analytics Azure DB for PostgreSQL Azure DB for MySQL Azure DB for MariaDB Cosmos DB Data Lake Storage Gen2 Key Vault Private Link + Private Endpoint VNet Private Endpoint

Slide 11

Slide 11 text

© 2020 pnop Customer#A HQ Customer#B subnet1 subnet2 vnet1 Azure 22.22.22.22 11.11.11.11 99.99.99.99 アクセス制限（例） vnet2 10.2.0.0/24 10.1.0.0/24 VNet サービスエンドポイント 10.0.0.0/24 優先度名前ソースアクション 100 Allow HQ 11.11.11.11/32 Allow 110 Allow Customer#A 22.22.22.22/32 Allow 200 Allow vnet1/subnet1 vnet1/subnet1 Allow 2147483647 Deny all Any Deny 優先度名前ソースアクション 100 DenyFrom10.2.0.0 10.2.0.0/24 Deny 65000 AllowVnetInBound VirtualNetwork Allow 65500 DenyAllInBound Any Deny ■ データベースに対するアクセス制限 ■ vnet2 10.0.0.0/24 NSG 受信規則効かない

Slide 12

Slide 12 text

Slide 13

Slide 13 text

© 2020 pnop Azure App Service から Azure VNet への通信経路 App Service は通常、VNet には属していない（ASE を除く）。そのため、App Service から Azure VNet 内の Virtual Machine などのリソースにアクセスしたい場合は、その道を作る必要がある。インターネット VNet Public IP App Service リージョン VNet 統合 Delegated Subnet VNet App Service VNet 統合 VPN Gateway VNet App Service VPN

Slide 14

Slide 14 text

© 2020 pnop VNet 統合 VNet に設置された VPN Gateway に対して App Service から Point to Site VPN 接続をすることにより VNet 内のリソースにアクセスする App Service と VNet が異なるリージョンにあっても通信できる DNS は VNet のものが利用されるただし、Private DNS Zone は参照できない Windows の App Service のみ対応 VNet 統合 VPN Gateway VNet App Service VPN

Slide 15

Slide 15 text

© 2020 pnop リージョン VNet 統合 App Service が VNet 内のサブネットに足を延ばし、そこから VNet 内のリソースにアクセスするイメージ App Service と同じリージョンの VNet と通信する DNS は VNet のものが利用されるただし、Private DNS Zone は参照できない VNet 内のリソースにとって接続元となる App Service の IP アドレスは委任されたサブネット内の IP になるサービスエンドポイントの先の PaaS や、 ExpressRoute の先のネットワークにアクセス可能リージョン VNet 統合 Delegated Subnet VNet App Service

Slide 16

Slide 16 text

Slide 17

Slide 17 text

© 2020 pnop VNet には所属していない App Service と Azure PaaS 間は通常はインターネットでの通信となるが、(リージョン) VNet 統合と Azure PaaS への VNet サービスエンドポイントか Private Link を組み合わせることで、通信経路を VNet に制限することができる。 Azure App Service から Azure PaaS への通信 (リージョン) VNet 統合 + Private Link インターネットリージョン VNet 統合 + サービスエンドポイント VNet 11.11.11.11 22.22.22.22 VNet

Slide 18

Slide 18 text

Slide 19

Slide 19 text

© 2020 pnop オンプレミスから Azure PaaS への通信オンプレミスのネットワークから ExpressRoute や Azure VPN を通して Azure PaaS にアクセスするには、”Express Route (Microsoft Peering)” か、 “Private Link と ExpressRoute (Private Peering) や Azure VPN” を利用する。 VNet サービスエンドポイントは利用できないインターネット Azure ExpressRoute (Microsoft Peering) Azure ExpressRoute (Private Peering) or VPN Gateway + Private Link VNet VPN Azure