メインコンテンツまでスキップ

ネットワークとクラウドインフラストラクチャのセキュリティ (Network Security)

ステータス

担当者: Tech lead · ステータス: draft · 正式な情報源: flezi.infra.iac/docs/architecture-snapshot-14-08-2026.md

このドキュメントでは、Microsoft Azure cloud 上のシステムにおける network security、virtual network の分割、攻撃対象領域の保護対策を説明します。

Virtual Network の分割 (VNet Segmentation)​

システムは専用 Virtual Network (VNet) 内で稼働し、subnet を明確に論理分離します。

  1. Subnet Ingress: Internet から port 443 経由で到達する public HTTPS traffic のみを受け付け、Traefik Gateway へ転送します。
  2. 内部アプリケーション Subnet: Backend と AI Runtime のサーバーを配置し、public IP を直接割り当てません。
  3. 分離 Sandbox Subnet: execution container を実行する環境です。ユーザーが要求した task に必要な場合を除き、外部 Internet への接続を制限する firewall rule を適用します。
  4. Database & Private Endpoints Subnet: PostgreSQL Flexible Server と Azure Managed Redis 専用で、Internet 外部からは完全に到達できません。

Network security 制御​

  • Network Security Groups (NSG): 「デフォルトですべて拒否」(Default Deny All) のルールを適用し、対応する subnet 間で必要な内部 service port だけを開放します。
  • Public SSH アクセスなし: server の管理は安全な Azure Bastion または企業 VPN 経由で実施し、SSH port (22) を Internet に公開することを完全に禁止します。
  • TLS による通信暗号化: client とシステム間、および PaaS service 間の全接続に TLS 1.2/1.3 を使用します。

現在の対策​

  • 重要な database service は Azure Private Link 経由で接続します。
  • container registry (ACR) の Admin Account 権限を無効にし、Managed Identity による認証だけを許可します。

証跡 (file / config)​

  • flezi.infra.iac/modules/network/
  • flezi.infra.iac/docs/architecture-snapshot-14-08-2026.md

制限事項とロードマップ​

  • Azure Web Application Firewall (WAF) を追加で統合し、アプリケーション層 (Layer 7) の DDoS 攻撃を防止します。