固定アウトバウンドIPの公開とVPC Service Controls対応をドキュメント化

Cloud Intelligence™が、あらゆるクラウドで利用できる固定アウトバウンドIPと、Google Cloud向けVPC Service Controlsの検証済み構成を公開しました。

サードパーティプラットフォームのセキュリティレビューでは、必ず同じ2つの質問に行き着きます。「どのIPアドレスから接続してくるのか」、そして「境界を緩めることなく、どうやって通過を許可すればよいのか」。これまでCloud Intelligence™には、1つ目の質問に対する公式な回答がなく、2つ目は手探りに頼るしかありませんでした。VPC Service Controlsは設計上、境界をまたぐAPI呼び出しをブロックするため、BigQuery Intelligenceのような機能は境界で失敗し、監査ログに違反エントリが残り、それを解きほぐすためのサポートのやり取りが必要になっていました。

この2つの質問への回答を、ネットワークアクセスページ1つにまとめてドキュメント化しました。

あらゆるクラウドで使える固定アウトバウンドIPリスト

このリストの公開は今回が初めてであり、時間がかかったのには理由があります。Cloud Intelligence™は75か国以上、数千のお客様にサービスを提供する大規模な分散システムです。すべてのアウトバウンド接続を、グローバルにルーティングされる10個の固定アドレスに集約し、プラットフォームが成長しても固定のまま維持するには、相応のエンジニアリングが必要でした。

このリストは、実行環境を問わず適用できます。AWSのセキュリティグループ、AzureのNSGルール、ファイアウォールルール、APIアクセスリストなどで送信元IPによるインバウンド制限を行っている場合、許可リストに登録すべき正確なアドレスをすぐに確認できます。

Google Cloud向けのVPC Service Controls対応

サービス境界でGoogle Cloud環境を保護している場合は、ネットワークアクセスページに検証済みの構成が記載されています。内容は、Cloud Intelligence™の両VPCネットワークをカバーする1つのアクセスレベルと、境界での制限内容に応じた2つの方向別ポリシーです。具体的には、IAM Service Account Credentials API向けのegressルールと、BigQuery APIを制限している場合の組織レベルのログシンクライター向けのingressルールです。アクセスレベルが全体の範囲を限定するため、Cloud Intelligence™のネットワークから届いたリクエストだけがルールに合致し、各サービスアカウントのトークンを生成できるユーザーは引き続きIAMで制御されます。

利用開始の手順

1. ネットワークアクセスページに記載のアウトバウンドIPアドレスを、ファイアウォールやAPIアクセスリストの許可リストに登録します。
2. VPC Service Controlsを使用しているGoogle Cloud環境では、同じページの手順に従ってアクセスレベルと方向別ポリシーを構成します。
3. BigQuery Intelligenceをセットアップし、実際のワークロードに対して実行します。

本機能は、本日よりすべてのお客様にご利用いただけます。