StorageGRIDで内部ファイアウォール制御を管理する
変更を提案
PDF
StorageGRID は各ノードに内部ファイアウォールを備えており、ノードへのネットワーク アクセスを制御することでグリッドのセキュリティを強化します。ファイアウォールを使用して、特定のグリッド展開に必要なポートを除くすべてのポートへのネットワーク アクセスを防止します。ファイアウォール制御ページで行った設定変更は、各ノードに展開されます。
ファイアウォール制御ページの3つのタブを使用して、グリッドに必要なアクセス権限をカスタマイズします。
-
特権アドレス一覧：このタブを使用して、閉じられたポートへの特定のアクセスを許可します。「外部アクセス管理」タブを使用して閉じられたポートにアクセスできるIPアドレスまたはCIDR表記のサブネットを追加できます。
-
外部アクセス管理：このタブを使用して、デフォルトで開いているポートを閉じたり、以前に閉じたポートを再度開いたりできます。
-
信頼されていないクライアントネットワーク：このタブを使用して、ノードがクライアントネットワークからの受信トラフィックを信頼するかどうかを指定します。
このタブの設定は、「外部アクセス管理」タブの設定よりも優先されます。
-
信頼できないクライアントネットワークを持つノードは、そのノードに設定されているロードバランサーエンドポイントポート（グローバル、ノードインターフェース、およびノードタイプにバインドされたエンドポイント）での接続のみを受け入れます。
-
ロードバランサーのエンドポイントポートは、外部ネットワークの管理タブの設定に関係なく、信頼されていないクライアントネットワーク上で_唯一開いているポート_です。
-
信頼済みと設定されている場合、「外部アクセス管理」タブで開いているすべてのポート、およびクライアントネットワーク上で開いているロードバランサーのエンドポイントにアクセスできます。
-
|
あるタブで行った設定は、別のタブで行ったアクセス権限の変更に影響を与える可能性があります。ネットワークが期待どおりに動作することを確認するため、すべてのタブの設定を必ず確認してください。 |
内部ファイアウォール制御を設定するには、"ファイアウォール制御を設定する"を参照してください。
外部ファイアウォールとネットワーク セキュリティの詳細については、"外部ファイアウォールでアクセスを制御する"を参照してください。
特権アドレス一覧と外部アクセス管理タブ
「特権アドレスリスト」タブでは、閉じられたグリッドポートへのアクセスを許可する1つまたは複数のIPアドレスを登録できます。「外部アクセス管理」タブでは、選択した外部ポートまたは開いているすべての外部ポートへの外部アクセスを閉じることができます（外部ポートとは、デフォルトでグリッド以外のノードからアクセスできるポートのことです）。これらの2つのタブは、多くの場合、組み合わせて使用することで、グリッドに必要な正確なネットワーク アクセスをカスタマイズできます。
|
|
特権IPアドレスは、デフォルトでは内部グリッドポートへのアクセス権を持ちません。 |
例1：メンテナンス作業にジャンプホストを使用する
ネットワーク管理のためにジャンプホスト（セキュリティ強化されたホスト）を使用したいとします。以下の一般的な手順をご利用ください。
-
特権アドレス一覧タブを使用して、ジャンプホストのIPアドレスを追加します。
-
「外部アクセス管理」タブを使用して、すべてのポートをブロックしてください。
|
ポート443と8443をブロックする前に、特権IPアドレスを追加してください。現在ブロックされたポートに接続しているユーザー（ご自身を含む）は、IPアドレスが特権アドレスリストに追加されていない限り、Grid Managerへのアクセス権を失います。 |
設定を保存すると、グリッド内の管理ノード上のすべての外部ポートは、ジャンプホストを除くすべてのホストに対してブロックされます。その後、ジャンプホストを使用して、グリッド上でより安全にメンテナンス作業を実行できます。
例2：機密性の高いポートをロックダウンする
機密性の高いポートとそのポート上のサービスをロックダウンしたいとします。以下の一般的な手順を使用できます。
-
特権アドレス一覧タブを使用して、サービスへのアクセスが必要なホストのみにアクセス権を付与してください。
-
「外部アクセス管理」タブを使用して、すべてのポートをブロックしてください。
|
|
Grid ManagerおよびTenant Managerへのアクセスに割り当てられたポート（プリセットポートは443と8443）へのアクセスをブロックする前に、特権IPアドレスを追加してください。現在ブロックされているポートに接続しているユーザー（お客様自身を含む）は、IPアドレスが特権アドレスリストに追加されていない限り、Grid Managerへのアクセス権を失います。 |
設定を保存すると、機密性の高いポートとそのポート上のサービスが、特権アドレスリストに登録されているホストから利用可能になります。リクエストの発信元インターフェースに関わらず、その他のホストはすべてサービスへのアクセスを拒否されます。
例3：未使用サービスへのアクセスを無効にする
ネットワークレベルでは、使用しない予定のサービスを無効にすることができます。例えば、HTTP S3クライアントトラフィックをブロックするには、「外部アクセスの管理」タブのトグルを使用してポート18084をブロックします。
信頼できないクライアントネットワークタブ
クライアントネットワークを使用している場合は、明示的に設定されたエンドポイントでのみ受信クライアントトラフィックを受け入れることで、悪意のある攻撃から StorageGRID を保護し、セキュリティを強化することができます。
デフォルトでは、各グリッドノード上のクライアントネットワークは_信頼済み_です。つまり、デフォルトでは、StorageGRID はすべての"利用可能な外部ポート"で各グリッドノードへの受信接続を信頼します。
各ノードのクライアントネットワークを_信頼されていない_と指定することで、StorageGRID システムへの悪意のある攻撃の脅威を軽減できます。ノードのクライアントネットワークが信頼されていない場合、ノードはロードバランサーエンドポイントとして明示的に設定されたポートへの受信接続のみを受け入れます。"ロードバランサーのエンドポイントを設定する"および"ファイアウォール制御を設定する"を参照してください。
例1：ゲートウェイノードはHTTPS S3リクエストのみを受け入れます
ゲートウェイノードが、HTTPS S3リクエストを除くクライアントネットワーク上のすべての受信トラフィックを拒否するようにしたいとします。一般的には、以下の手順を実行します。
-
"ロード バランサ エンドポイント"ページで、ポート443でHTTPS経由のS3用ロードバランサーエンドポイントを設定します。
-
ファイアウォール制御ページから「Untrusted」を選択して、ゲートウェイノード上のクライアントネットワークが信頼されていないことを指定します。
設定を保存すると、ゲートウェイノードのクライアントネットワーク上のすべての受信トラフィックは、ポート 443 の HTTPS S3 リクエストと ICMP エコー（ping）リクエストを除いて破棄されます。
例2：ストレージノードがS3プラットフォームサービスリクエストを送信する
ストレージノードからS3プラットフォームサービスの送信トラフィックを有効にしたいが、クライアントネットワーク上のそのストレージノードへの受信接続はすべて阻止したいとします。一般的な手順は以下のとおりです。
-
ファイアウォール制御ページの「信頼されていないクライアントネットワーク」タブから、ストレージノード上のクライアントネットワークが信頼されていないことを指定します。
設定を保存すると、ストレージノードはクライアントネットワーク上の受信トラフィックを受け付けなくなりますが、設定済みのプラットフォームサービス宛先への送信リクエストは引き続き許可します。
例3：Grid Managerへのアクセスをサブネットに制限する
グリッドマネージャへのアクセスを特定のサブネットのみに制限したいとします。以下の手順を実行してください。
-
管理ノードのクライアントネットワークをサブネットに接続します。
-
「信頼されていないクライアントネットワーク」タブを使用して、クライアントネットワークを信頼されていないものとして設定します。
-
管理インターフェイスのロードバランサーエンドポイントを作成する際は、ポートを入力し、そのポートがアクセスする管理インターフェイスを選択してください。
-
「信頼できないクライアントネットワーク」に対して「はい」を選択します。
-
「外部アクセス管理」タブを使用して、すべての外部ポートをブロックします（そのサブネット外のホストに特権IPアドレスが設定されているかどうかにかかわらず）。
設定を保存すると、指定したサブネット上のホストのみがグリッドマネージャにアクセスできるようになります。その他のホストはすべてブロックされます。