メインコンテンツまでスキップ

ネットワークセキュリティ

このガイドでは、VeloDB Cloud SaaSウェアハウスのネットワークセキュリティと、SaaSおよびBYOCウェアハウスの両方で使用されるEndpoint Serviceについて説明します。SaaSのバックエンドウェアハウスサービスには、IP許可リストを設定したPublic Link、またはウェアハウスへのプライベート接続を使用できます。ウェアハウス固有のConsoleエンドポイントとMetrics APIでは、サポートされる各リージョンで公開されるプライベートエンドポイントを使用できます。BYOC固有のネットワーク配置とアクセス制御については、BYOCネットワークセキュリティを参照してください。

ウェアハウス接続の詳しい手順については、接続を参照してください。

アクセス方法​

アクセスパスに合った制御を選択してください。

アクセス方法対象主なセキュリティ制御操作ガイド
Public Link（SaaS）パブリックネットワーク経由のウェアハウス接続とウェアハウス固有のConsoleトラフィック。IP許可リスト。Public Link
ウェアハウスへのプライベート接続（SaaS）VPC内のアプリケーションから、特定のウェアハウスのバックエンドサービスへのプライベート接続。VeloDB CloudがEndpoint Serviceを公開します。お客様がプライベートエンドポイントを作成し、クラウドネットワークからのアクセスを制御します。IP許可リストは適用されません。VPCからVeloDBにアクセス
ウェアハウスからVPCへのプライベート接続（SaaS）ウェアハウスからVPC内のデータソースへのプライベート接続。お客様がEndpoint Serviceを公開します。VeloDB Cloudがプライベートエンドポイントを作成します。VeloDBにVPCへのアクセスを許可

Public Linkとウェアハウスへのプライベート接続は、独立したアクセス方法です。本番ワークロードのPublic Linkアクセスを削除する前に、プライベートエンドポイントを検証してください。IP許可リストは、対象となるパブリックアクセスパスの送信元IPアドレスを制限しますが、トラフィックを暗号化するものではありません。VeloDB Consoleへの接続にはHTTPSが使用されます。プロトコルとネットワークパスごとの転送暗号化については、転送中の暗号化を参照してください。

ウェアハウスのConnectionページでPublic Linkタブに切り替え、パブリックネットワークアクセスを管理します。IP許可リストは、パブリックネットワーク経由のConsoleデータプレーン操作とウェアハウス接続を制御します。プライベートエンドポイント経由の接続には適用されません。

パブリックネットワークからウェアハウスにアクセスするには、送信元のパブリックIPアドレスまたはCIDRブロックを許可リストに追加します。許可リストのエントリはいつでも追加、無効化、削除できます。

注記

デフォルトの許可リストエントリは0.0.0.0/0で、インターネット上のすべての送信元からアクセスできます。実際の送信元IPを追加したら、セキュリティリスクを減らすため、すぐにこのエントリを削除してください。

許可された送信元IPのクライアントは、Connectionページに表示されるMySQL、JDBC、HTTPなどのパブリック接続方法を使用できます。

ウェアハウスへのプライベート接続​

これは、特定のウェアハウスのバックエンドサービスへのプライベートアクセスパスです。VeloDB Cloudは、SaaSウェアハウスごとにEndpoint Serviceを自動的に作成して公開します。お客様はVPCまたはVNet内にプライベートEndpointを作成し、公開されたサービスに接続します。

プライベートネットワーク内のアプリケーションは、パブリックインターネットを経由せずにウェアハウスへ接続できます。IP許可リストはこのパスには適用されません。プライベートエンドポイント、セキュリティグループ、サブネット、その他のクラウドネットワーク制御を使用してアクセスを管理してください。

このエンドポイントは、フロントエンドのConsole UIからのデータプレーンリクエストを処理するウェアハウス固有のConsoleプライベートエンドポイントとは異なります。

Endpoint Serviceとお客様のプライベートEndpointは、ウェアハウスと同じリージョンに配置する必要があります。設定手順については、VPCからVeloDBにアクセスを参照してください。

ウェアハウスからVPCへのプライベート接続​

ウェアハウスからVPC内のデータソースにアクセスする場合は、別の接続モデルを使用します。お客様がVPC内にEndpoint Serviceを作成して公開し、VeloDB Cloudが接続用のEndpointを作成して管理します。

設定手順については、VeloDBにVPCへのアクセスを許可を参照してください。

Endpoint Servicesへのプライベート接続​

VeloDB Cloudは、ウェアハウス固有のConsoleエンドポイントやMetrics APIなど、サポートされるアクセスパス向けにリージョン単位のEndpoint Serviceを公開します。同じリージョンにプライベートエンドポイントを作成し、ホスト名ごとのプライベートDNSレコードを設定してトラフィックをルーティングします。

サービスモデル、サポートされるアクセスパス、DNSの考慮事項、およびクラウドプロバイダー別のリファレンスについては、Endpoint Servicesを参照してください。

SaaSセキュリティの概要​

セキュリティ機能では、VeloDB Cloudのネットワークセキュリティモデルをまとめています。

  • 外部ネットワークアクセスはgatewayを経由する必要があります。
  • 運用保守アクセスはVPNを経由する必要があります。
  • 組織は相互に分離されます。
  • パブリックネットワークアクセスはIP許可リストで制限されます。
  • プライベートネットワーク接続では、クラウドプロバイダーのプライベートネットワークを使用してアクセス元を制限します。