GCE 踏み台から Cloud SQL へ安全に入る
管理用の GCE を踏み台として置き、SSH、Cloud SQL Auth Proxy、ポートフォワーディングを使って限定的に DB へ接続する章。
TL;DR
- 踏み台は管理経路を集約するための一時的・限定的な入口である。
- GCE のサービス アカウントに Cloud SQL 接続権限を持たせ、Proxy が DB 接続を中継する。
- SSH の送信元制限、自動停止、必要時だけの起動で攻撃面とコストを抑える。
01管理経路を一本化する
ローカルから DB へ直結せず、SSH で踏み台へ入る経路を作る。
踏み台は管理経路を集約するための一時的・限定的な入口である。
02Proxy を踏み台で動かす
起動スクリプトなどで Auth Proxy を開始し、GCE から Cloud SQL へ接続する。
GCE のサービス アカウントに Cloud SQL 接続権限を持たせ、Proxy が DB 接続を中継する。
03ポートを一時転送する
SSH ポートフォワーディングでローカルクライアントの接続を限定的に通す。
SSH の送信元制限、自動停止、必要時だけの起動で攻撃面とコストを抑える。
結論
- 踏み台は管理経路を集約するための一時的・限定的な入口である。
- GCE のサービス アカウントに Cloud SQL 接続権限を持たせ、Proxy が DB 接続を中継する。
- SSH の送信元制限、自動停止、必要時だけの起動で攻撃面とコストを抑える。