firebirdテックトーク

1
2
3
4

証明書 = 公開鍵 + メタデータ + CA署名
- 公開鍵: 暗号化に使用される鍵
- メタデータ: ドメイン名、有効期限、発行者情報
- CA署名: 認証局によるデジタル署名

1

クライアント → "example.comに接続したい" → サーバー

1

サーバー → "私の証明書です（公開鍵含む）" → クライアント

1
2

クライアント → "共通鍵候補をサーバーの公開鍵で暗号化" → サーバー
サーバー → "秘密鍵で復号して共通鍵を取得" → 暗号化通信開始

1

クライアント ←→ [暗号化通信] ←→ サーバー

1

クライアント ←→ [暗号化A] ←→ プロキシ ←→ [暗号化B] ←→ サーバー

1

プロキシ → 外部サイトに接続 → 本物の証明書取得

1

Private CA → 外部サイト名義の証明書生成 → クライアントに送信

1
2

接続A: クライアント ←→ プロキシ（偽証明書使用）
接続B: プロキシ ←→ 外部サイト（本物証明書使用）

1

暗号化されたデータ → プロキシで復号 → 平文で検査 → 再暗号化して転送

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

# Private CA Pool作成
resource "google_privateca_ca_pool" "tls_inspection" {
  tier = "DEVOPS"  # 個別証明書追跡不要
  publishing_options {
    publish_ca_cert = false
    publish_crl     = false
  }
}

# 自己署名CA作成
resource "google_privateca_certificate_authority" "main" {
  type = "SELF_SIGNED"
  config {
    subject {
      organization = "Enterprise Security CA"
      common_name  = "tls-inspection-ca"
    }
    x509_config {
      ca_options {
        is_ca = true  # CA権限有効
      }
    }
  }
}

# TLSインスペクション用ポリシー
resource "google_network_security_tls_inspection_policy" "main" {
  ca_pool = google_privateca_ca_pool.tls_inspection.id
}

1
2
3
4
5
6
7
8

# 推奨設定（小規模環境）
keep_alive_timeout = "600s"    # 10分
max_connections    = "unlimited"

# 理由
# - 同時接続数: 5-20人程度
# - リソース影響: 最小限
# - セッション再利用効果: 大幅なパフォーマンス向上

1
2
3
4
5
6
7

# 初回接続: 遅い（証明書生成 + ハンドシェイク）
git fetch  # 3-5秒

# 以降: 高速（Keep-Alive活用）
git status  # 0.1秒
git pull    # 0.2秒
git push    # 0.3秒

1
2
3
4
5
6
7

# Private CA証明書をクライアントに配布
# 方法1: 手動インストール
sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain ca.crt

# 方法2: Dockerイメージに埋め込み
COPY ca.crt /usr/local/share/ca-certificates/
RUN update-ca-certificates

1

VPCネットワーク = ファイアウォールルールの管理単位

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

resource "google_compute_firewall" "web_servers" {
  network = google_compute_network.main.name  # VPCに設定
  target_tags = ["web-server"]                # タグで適用対象指定
  
  allow {
    protocol = "tcp"
    ports    = ["80", "443"]
  }
}

resource "google_compute_instance" "web1" {
  network_interface {
    network = google_compute_network.main.name  # 同じVPC
  }
  tags = ["web-server"]  # ファイアウォールルール適用
}

1

Security Group = 独立したファイアウォール設定リソース

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

resource "aws_security_group" "web_servers" {
  name_prefix = "web-servers"  # 独立したリソース
  
  ingress {
    from_port   = 80
    to_port     = 443
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

resource "aws_instance" "web1" {
  security_groups = [aws_security_group.web_servers.id]  # 直接アタッチ
}

1

VPC作成 → ファイアウォールルール定義 → タグでインスタンス選択

1

Security Group作成 → インスタンスに直接アタッチ

1
2
3
4
5
6

# 複数VPCに同一Security Groupを適用
resource "aws_security_group" "common_rules" {
  # VPC-Aのインスタンス
  # VPC-Bのインスタンス（VPC Peering経由）
  # VPC-Cのインスタンス（Transit Gateway経由）
}

1
2
3
4
5
6
7
8

# VPCごとに個別のファイアウォールルールが必要
resource "google_compute_firewall" "vpc_a_rules" {
  network = google_compute_network.vpc_a.name
}

resource "google_compute_firewall" "vpc_b_rules" {
  network = google_compute_network.vpc_b.name
}

1
2

利点: ネットワーク設計の整合性強制
課題: VPC設計の変更が困難

1
2

利点: 柔軟なリソース配置・管理
課題: 複雑な構成での一元管理難易

1
2
3
4
5
6
7
8
9

resource "google_compute_firewall" "workstation_control_plane" {
  network = google_compute_network.main.name
  target_tags = ["cloud-workstations-instance"]  # Google Cloudが自動付与
  
  allow {
    protocol = "tcp"
    ports    = ["443", "980"]
  }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

resource "aws_security_group" "workstation_sg" {
  ingress {
    from_port = 443
    to_port   = 980
    protocol  = "tcp"
  }
}

resource "aws_instance" "workstation" {
  security_groups = [aws_security_group.workstation_sg.id]
  tags = {
    Service = "workstation"  # 管理用タグ（ファイアウォールとは独立）
  }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

# 高優先度: 特定通信許可
resource "google_compute_firewall" "allow_management" {
  priority = 1000
  target_tags = ["management"]
}

# 中優先度: 基本通信許可  
resource "google_compute_firewall" "allow_basic" {
  priority = 60000
}

# 低優先度: デフォルト拒否
resource "google_compute_firewall" "deny_all" {
  priority = 65535
  deny {
    protocol = "all"
  }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

# インスタンスレベル: Security Group
resource "aws_security_group" "instance_sg" {
  # 許可ルールのみ
}

# サブネットレベル: Network ACL
resource "aws_network_acl" "subnet_nacl" {
  # 許可・拒否ルール
  ingress {
    rule_no = 100
    action  = "allow"
  }
  
  ingress {
    rule_no = 200
    action  = "deny"
  }
}