ネットワークセキュリティ
VeloDB Cloudウェアハウスは、IP許可リストを使用してパブリックネットワーク経由で、またはPrivateLink経由でプライベートにアクセスできます。本ガイドでは、各アクセス方法の背後にあるセキュリティモデルを説明し、アプリケーションやクライアントにウェアハウスを公開する方法を決定できるようにします。
ステップバイステップの接続ワークフローについては、Connectionを使用してください。
アクセス方法
VeloDB Cloudウェアハウスは、2つのネットワークパス経由でアクセスできます：
| アクセス方法 | 使用する場合 | 主要なセキュリティ制御 | 運用ページ |
|---|---|---|---|
| パブリックネットワーク | クイックスタート、開発、アドホックアクセス、またはVPCのない環境。 | IP許可リスト。 | Connection |
| PrivateLink | 自身のVPC内からの本番アクセス。 | クラウドプロバイダーのプライベートネットワーキング経由のプライベートエンドポイント接続。 | Connection |
ほとんどの本番ワークロードはPrivateLinkを使用します。Public Linkはよりシンプルなアクセスパターンに利用でき、IP許可リストで制限すべきです。
Public LinkとIP許可リスト
ウェアハウスのConnectionページで、Public Linkタブに切り替えてパブリックネットワーク接続を管理します。
パブリックネットワーク経由でウェアハウスにアクセスするには、送信元のパブリックIPアドレスまたはCIDRブロックを許可リストに追加します。許可リストエントリはいつでも追加、無効化、または削除できます。
デフォルトの許可リストエントリは0.0.0.0/0で、これによりウェアハウスがパブリックインターネット全体に開放されます。セキュリティリスクを軽減するため、実際の送信元IPを追加したらすぐにこれを削除してください。
送信元IPが許可リストに登録された後、ユーザーはConnectionページに表示される例を使用して、WebUI Login、MySQL、JDBC、またはHTTP経由で接続できます。
PrivateLink
PrivateLinkにより、自身のVPC内のアプリケーションがプライベートネットワーク経由でVPC境界を越えてVeloDB Cloudにアクセスできます。これによりネットワークアーキテクチャが簡素化され、ウェアハウスアクセスをパブリックインターネットに公開することを避けられます。
PrivateLink接続には2つの端点があります：Endpoint ServiceとEndpointです。
| 方向 | VeloDB Cloudが所有 | 顧客が所有 | 使用例 |
|---|---|---|---|
| VPCからVeloDBへのアクセス | Endpoint Service。 | VPC内のEndpoint。 | BIツール、アプリケーション、レポートジョブ、ウェアハウスに接続するログ分析ジョブ。 |
| VeloDBから顧客VPCへのアクセス | VeloDB Cloudによって作成されたEndpoint。 | VPC内のEndpoint Service。 | VeloDBがVPC内のリソースから読み取る場合、例えばインポート用のデータソース。 |
PrivateLinkセットアップはリージョンスコープです。クラウドプロバイダーのリージョンはVeloDBウェアハウスリージョンと一致する必要があります。セキュリティグループ、サブネット、エンドポイントDNS名は、Connectionで説明されているようにクラウドプロバイダーコンソールで設定されます。
BYOCネットワーク配置
BYOC展開では、ウェアハウスコンピュートと顧客ウェアハウスストレージがお客様のクラウド環境に展開されます。BYOC作成ページでは、VPCまたはサブネットの準備やクラウドリソースオーケストレーションを含む、AWS、Google Cloud、Azureのプロバイダー固有のセットアップが文書化されています。
BYOCセキュリティ運用については、BYOC Securityを参照してください。プロバイダー固有のセットアップについては、Create BYOC Warehouseを参照してください。
セキュリティ機能ソース
Security Featuresでは、VeloDB Cloudネットワークセキュリティモデルをまとめています：
- 外部ネットワークアクセスはゲートウェイ経由である必要があります。
- 運用保守アクセスはVPN経由である必要があります。
- 組織は相互に分離されています。
- パブリックネットワークアクセスはIP許可リストによって制限されます。
- プライベートネットワーク接続は、クラウドプロバイダーのプライベートネットワーキングを通じてアクセスソースを制限します。