VPC ファイアウォール ルールの設計
Google Cloud の VPC レベルで ingress / egress を制御し、Cloud SQL へ必要な通信だけを通す考え方を学ぶ章。
TL;DR
- ファイアウォール ルールは VPC 内外の通信を方向・対象・プロトコル・送信元/先で評価する。
- Ingress の許可は、通信元を IP 範囲やサービス アカウントなどで狭く指定する。
- ネットワーク許可だけでなく、DB ユーザー・Secret・IAM も別途必要である。
01方向を決める
外から入る ingress と外へ出る egress を、通信の起点で区別する。
ファイアウォール ルールは VPC 内外の通信を方向・対象・プロトコル・送信元/先で評価する。
02対象を限定する
対象リソース、送信元、ポートを必要最小限にして広い許可を避ける。
Ingress の許可は、通信元を IP 範囲やサービス アカウントなどで狭く指定する。
03設計を検証する
Cloud SQL へ接続する経路を列挙し、不要な経路がないか確認する。
ネットワーク許可だけでなく、DB ユーザー・Secret・IAM も別途必要である。
結論
- ファイアウォール ルールは VPC 内外の通信を方向・対象・プロトコル・送信元/先で評価する。
- Ingress の許可は、通信元を IP 範囲やサービス アカウントなどで狭く指定する。
- ネットワーク許可だけでなく、DB ユーザー・Secret・IAM も別途必要である。