今回のブログは、Professional Cloud Network Engineer認定取得講座２回目です！今回は、「セクション２：Virtual Private Cloud（VPC）インスタンスの実装」についての概要を説明します！
今回のブログで、VPCの全体像を説明します。
是非、最後までご覧いただけると嬉しいです。
VPCを構成する
Google Cloud VPCのリソース（例: ネットワーク、サブネット、ファイアウォール ルールなど）
Google Cloud VPC のリソース（例: ネットワーク、サブネット、ファイアウォールルールなど）について説明します。
- ネットワーク：ネットワークは、VPC内のリソースを相互に接続するための論理的な境界です。ネットワークには、IPアドレス範囲、サブネット、ファイアウォール ルールなどのリソースが含まれます。
- サブネット：サブネットは、ネットワーク内のIPアドレス範囲です。サブネットは、ゾーンに関連付けられています。
- ファイアウォールルール：ファイアウォールルールは、ネットワークへのトラフィックを許可または拒否するために使用されます。
ネットワークを作成したら、Compute Engineインスタンス、App Engineアプリケーション、BigtableデータベースなどのGCPリソースをネットワークに接続することができます。サブネットを作成したら、Compute Engineインスタンスをサブネットに割り当てることができます。ファイアウォールルールを作成したら、ネットワークへのトラフィックを制御することができます。
VPCの構成により、GCPリソースを相互に接続し、インターネットから隔離することができます。これにより、機密データやアプリケーションを保護することができます。
VPCネットワークピアリング
VPCネットワークピアリングについて説明します。
VPCネットワークピアリングは、2 つのVPCネットワークをプライベートに接続する方法です。VPCネットワークピアリングを使用すると、2つのVPCネットワーク内のリソースが相互に通信できます。
VPCネットワークピアリングを使用すると、次のメリットがあります。
- インターネットを経由せずに、2 つの VPC ネットワーク内のリソースを相互に接続できます。
- 2 つのVPCネットワーク間のトラフィックを制御できます。
- 2 つのVPCネットワークをプライベートに接続できます。
VPCネットワークピアリングは、GCPでVPCの構成を行う際に、よく使用される機能です。
共有VPCネットワークの作成と他のプロジェクトとのサブネットの共有
共有VPCネットワークの作成と他のプロジェクトとのサブネットの共有について説明します。
共有VPCネットワークとは、同じ組織内の複数のプロジェクトで共有できるネットワークです。共有VPCネットワークを使用すると、プロジェクト間でリソースを簡単に共有することができます。
サブネットが共有されると、指定されたプロジェクトのユーザーまたはグループは、サブネット上のインスタンスを作成したり、サブネット上のインスタンスにアクセスしたりできるようになります。
GoogleサービスへのAPIアクセス（例: 限定公開の Google アクセス、公開インターフェースなど）
GoogleサービスへのAPIアクセス（例：限定公開のGoogleアクセス、公開インターフェースなど）について説明します。
- 限定公開のGoogleアクセス：限定公開のGoogleアクセスは、Google CloudのAPIとサービスの外部IPアドレスにアクセスするために使用できるネットワーク機能です。この機能を使用すると、インターネットに接続せずに、Google CloudのAPIとサービスを使用することができます。
- 公開インターフェース：公開インターフェースは、インターネットからアクセスできるネットワーク機能です。この機能を使用すると、Google CloudのAPIとサービスをインターネットから使用することができます。
限定公開のGoogleアクセスを使用すると、次の利点があります。
- インターネットへの露出を減らすことができます。
- セキュリティを向上させることができます。
- パフォーマンスを向上させることができます。
公開インターフェースを使用すると、次の利点があります。
- インターネットからGoogle CloudのAPIとサービスを使用することができます。
- プロビジョニングが簡単です。
- 管理が簡単です。
限定公開のGoogleアクセスと公開インターフェースは、どちらもGoogle CloudのAPIとサービスを使用するための有効な方法です。どちらの方法を使用するかは、特定のニーズと要件によって異なります。
作成後のVPCサブネット範囲の拡大
作成後のVPCサブネット範囲の拡大について説明します。
サブネットの範囲が拡大されると、新しい範囲内のIPアドレスを使用できるようになります。
サブネットの範囲を拡大する際には、次の点に注意してください。
- サブネットの範囲は、VPCネットワークのCIDRブロックと重複してはいけません。
- サブネットの範囲は、既存のインスタンスまたはネットワークサービスと重複してはいけません。
- サブネットの範囲を拡大するには、少なくとも1時間待つ必要があります。
サブネットの範囲を拡大することで、より多くのIPアドレスを使用できるようになり、ネットワークの柔軟性を向上させることができます。
ルーティングを構成する
静的ルーティングと動的ルーティング
静的ルーティングと動的ルーティングについて説明します。
- 静的ルーティング：静的ルーティングは、特定の宛先IPアドレスまたは範囲に特定のルーターをマッピングする手動プロセスです。静的ルーティングを使用すると、ネットワークトラフィックを特定のルーター経由に送信するように明示的に指定できます。
- 動的ルーティング：動的ルーティングは、ネットワークトラフィックを最適な経路に送信するために、ダイナミックルーティングプロトコルを使用するプロセスです。動的ルーティングを使用すると、ネットワークトラフィックを自動的にルーティングできるため、管理が簡単になります。
静的ルーティングと動的ルーティングのどちらを使用するかは、特定のニーズと要件によって異なります。静的ルーティングは、ネットワークトラフィックを特定のルーター経由に送信する必要がある場合に適しています。動的ルーティングは、ネットワークトラフィックを自動的にルーティングする必要がある場合に適しています。
静的ルーティングと動的ルーティングの両方を使用することもできます。たとえば、一部のトラフィックを特定のルーター経由に送信し、残りのトラフィックを自動的にルーティングするように設定することができます。
グローバルとリージョン範囲での動的ルーティング
グローバルとリージョン範囲での動的ルーティングについて説明します。
- グローバル動的ルーティング：グローバル動的ルーティングは、すべてのリージョンで有効な動的ルーティングモードです。このモードでは、Cloud Routerは、各リージョンの VPC サブネットからインターネットへのデフォルトルートをアドバタイズします。
- リージョン範囲での動的ルーティング：リージョン範囲での動的ルーティングは、特定のリージョンでのみ有効な動的ルーティングモードです。このモードでは、Cloud Routerは、指定されたリージョンのVPCサブネットからインターネットへのデフォルトルートをアドバタイズします。
グローバル動的ルーティングとリージョン範囲での動的ルーティングのどちらを使用するかは、特定のニーズと要件によって異なります。グローバル動的ルーティングは、すべてのリージョンでネットワークを接続する必要がある場合に適しています。リージョン範囲での動的ルーティングは、特定のリージョンでのみネットワークを接続する必要がある場合に適しています。
グローバル動的ルーティングとリージョン範囲での動的ルーティングの両方を使用することもできます。たとえば、一部のネットワークをすべてのリージョンで接続し、残りのネットワークを特定のリージョンでのみ接続するように設定することができます。
タグと優先度を使用したルーティングポリシー
タグと優先度を使用して、VPCのルーティングポリシーを構成することができます。タグと優先度を使用すると、特定のインスタンスまたはサブネットからのトラフィックを特定の宛先に送信するように設定することができます。
ルーティングポリシーが作成されると、指定された送信元タグまたはサブネットからのトラフィックを指定された宛先に送信するように設定されます。
タグと優先度を使用すると、より細かくルーティングポリシーを構成することができます。これにより、ネットワークトラフィックをより効率的に管理することができます。
ネクストホップとしての内部ロードバランサ
ネクストホップとしての内部ロードバランサについて説明します。
内部ロードバランサは、同じVPCネットワーク内の複数のVMインスタンスにトラフィックを分散するために使用できるネットワーク機器です。内部ロードバランサを使用すると、VMインスタンスに直接アクセスせずに、トラフィックを分散することができます。
内部ロードバランサが作成されると、指定されたポートでトラフィックを受信し、バックエンドサービスに接続します。
内部ロードバランサを使用すると、VMインスタンスに直接アクセスせずに、トラフィックを分散することができます。これにより、VMインスタンスの負荷を分散したり、VMインスタンスの可用性を向上させたりするのに役立ちます。
VPC ネットワークピアリングを介したカスタムルートのインポートとエクスポート
VPCネットワークピアリングを介したカスタムルートのインポートとエクスポートについて説明します。
VPCネットワークピアリングは、同じプロジェクトまたは組織内の2つのVPCネットワークを接続する方法です。VPCネットワークピアリングにより、2つのVPCネットワーク内のリソースが、プライベートIPアドレスを使用して相互に通信することができます。
VPCネットワークピアリングを構成したら、VPCネットワークピアリングを介したカスタムルートのインポートとエクスポートを有効にすることができます。これにより、VPCネットワークピアリングを介して、2つのVPCネットワーク間でカスタムルートを共有することができます。
カスタムルートをインポートおよびエクスポートすることで、2 つのネットワーク間でトラフィックをより柔軟にルーティングできます。たとえば、1 つのネットワークにロードバランサがあり、もう 1 つのネットワークに Cloud NAT がある場合、ピアリング接続を介してカスタムルートをインポートすることで、2 つのネットワーク間でトラフィックをロードバランスしたり、NAT を有効にしたりすることができます。
カスタムルートのインポートとエクスポートは、VPC ネットワークピアリングをより柔軟に使用するための強力な機能です。この機能を活用することで、2 つのネットワーク間でトラフィックをより効率的にルーティングできます。
エイリアスIPを使用したVPCネイティブクラスタ
エイリアスIPを使用したVPCネイティブクラスタについて説明します。
VPCネイティブクラスタとは、VPCネットワーク内の仮想マシン（VM）インスタンスで構成されるクラスタです。VPCネイティブクラスタを使用すると、VMインスタンスがプライベートIPアドレスを使用して通信することができます。これにより、インターネットからVMインスタンスにアクセスできなくなり、セキュリティを向上させることができます。
クラスタの作成が完了すると、クラスタにエイリアスIPアドレスが割り当てられます。クラスタにエイリアスIPアドレスが割り当てられると、クラスタにアクセスするためにエイリアスIPアドレスを使用できます。
エイリアスIPアドレスを使用すると、クラスタにアクセスする際に、インターネットからクラスタにアクセスする必要がなくなります。これにより、セキュリティを向上させることができます。
共有VPCを使用したクラスタ
共有VPCを使用したクラスタについて説明します。
異なるプロジェクト間でネットワークを共有するための機能です。共有VPCを使用することで、異なるGCPプロジェクト間のリソースを安全に接続し、ネットワークの管理とセキュリティを統合することができます。共有VPCを使用したクラスタは、複数のプロジェクトで同じVPCネットワークを共有するKubernetesクラスタのことを指します。
以下に、共有VPCを使用したクラスタの主な特徴と利点を説明します：
- リソースの共有: 共有VPCを使用することで、複数のプロジェクトで同じVPCネットワークを共有できます。これにより、異なるプロジェクト間のリソースを容易に接続し、相互にコミュニケーションを行うことができます。
- ネットワークの統合: 共有VPCを使用することで、異なるプロジェクト間のネットワークを一元管理できます。ネットワークのセキュリティルールやサブネットの設定などを一箇所で管理できるため、管理の手間を軽減できます。
- セキュリティ: 共有VPCでは、プロジェクト間のトラフィックは同じVPCネットワーク内でルーティングされるため、インターネットを経由せずに直接接続されます。これにより、より安全なネットワーク通信が実現されます。
- コスト削減: 共有VPCを使用することで、異なるプロジェクト間で同じネットワークリソースを再利用できるため、冗長性を排除し、コストを削減することができます。
共有VPCを使用したKubernetesクラスタは、異なるプロジェクトのチームやアプリケーション間での連携やリソースの効率的な利用を実現するのに役立ちます。これにより、リソースの管理を簡素化することができます。
Kubernetesネットワークポリシーの作成
Kubernetesネットワークポリシーの作成について説明します。
Kubernetesネットワークポリシーは、Kubernetesクラスタ内のPod間のネットワークトラフィックを制御するために使用できるリソースです。ネットワークポリシーを使用すると、特定のPodからのトラフィックのみ許可したり、特定のポートからのトラフィックのみ許可したりすることができます。
ネットワークポリシーの作成が完了すると、ネットワークポリシーがクラスタに追加されます。ネットワークポリシーがクラスタに追加されると、ネットワークポリシーのルールに従って、Pod間のネットワークトラフィックが制御されます。
Kubernetesネットワークポリシーを使用すると、Kubernetesクラスタ内のPod間のネットワークトラフィックを制御することができます。これにより、クラスタ内のネットワークトラフィックのセキュリティを向上させることができます。
限定公開クラスタとコントロールプレーンのプライベートエンドポイント
限定公開クラスタとコントロールプレーンのプライベートエンドポイントについて説明します。
- 限定公開クラスタとは、インターネットに公開されていないKubernetesクラスタです。限定公開クラスタを使用すると、クラスタへのアクセスを制限することができます。
クラスタの作成が完了すると、クラスタがVPCネットワークに作成されます。クラスタがVPCネットワークに作成されると、クラスタへのアクセスを制限することができます。
- コントロールプレーンのプライベートエンドポイントとは、インターネットに公開されていないKubernetesコントロールプレーンにアクセスするために使用できるネットワークサービスです。コントロールプレーンのプライベートエンドポイントを使用すると、コントロールプレーンにアクセスする際のセキュリティを向上させることができます。
コントロールプレーンのプライベートエンドポイントの作成が完了すると、コントロールプレーンにアクセスするために使用できるプライベートIPアドレスがクラスタに追加されます。
限定公開クラスタとコントロールプレーンのプライベートエンドポイントを使用すると、クラスタへのアクセスを制限し、コントロールプレーンにアクセスする際のセキュリティを向上させることができます。
クラスタコントロールプレーンエンドポイント用の承認済みネットワークの追加
クラスタコントロールプレーンエンドポイント用の承認済みネットワークの追加について説明します。
GKEコントロールプレーンエンドポイントとは、Kubernetes APIサーバー、ノードコントローラー、ポッドコントローラーなどのコントロールプレーンコンポーネントへのアクセスを提供します。コントロールプレーンエンドポイントは、プライベート IP アドレスまたはパブリック IP アドレスを持つことができます。プライベート IP アドレスを使用すると、コントロールプレーンエンドポイントはクラスタ内のポッドのみからアクセスできます。パブリック IP アドレスを使用すると、コントロールプレーンエンドポイントはインターネットからアクセスできます。
承認済みネットワークは、Google Kubernetes Engine (GKE) クラスタのコントロールプレーンエンドポイントへのアクセスを制限するために使用できるネットワークです。
承認済みネットワークを追加すると、そのネットワークからのみがコントロールプレーンエンドポイントにアクセスできるようになります。他のネットワークからのアクセスはブロックされます。
承認済みネットワークを追加する理由はいくつかあります。
- セキュリティを向上させるため：承認済みネットワークを追加することで、コントロールプレーンエンドポイントへのアクセスを制限し、不正アクセスを防ぐことができます。
- パフォーマンスを向上させるため： 承認済みネットワークを追加することで、コントロールプレーンエンドポイントへのアクセスを制限し、ネットワーク帯域幅を節約することができます。
- コストを削減するため：承認済みネットワークを追加することで、コントロールプレーンエンドポイントへのアクセスを制限し、ネットワーク料金を削減することができます。
ファイアウォールルールを構成、管理する
ターゲットネットワークタグとサービスアカウント
ターゲットネットワークタグとサービスアカウントについて説明します。
- ターゲットネットワークタグとは、サービスアカウントに割り当てられるタグです。ターゲットネットワークタグを使用すると、サービスアカウントがアクセスできるネットワークを制限することができます。
ターゲットネットワークタグを割り当てると、サービスアカウントがアクセスできるネットワークが制限されます。
- サービスアカウントとは、アプリケーションやリソースに代わってGoogle Cloud Platform（GCP）サービスにアクセスできる認証されたアカウントです。サービスアカウントを使用すると、アプリケーションやプロセスをGCPサービスに安全に接続することができます。
サービスアカウントが作成されると、サービスアカウントに割り当てられるキーペアが生成されます。キーペアを使用すると、サービス アカウントにアクセスして、GCPサービスにアクセスすることができます。
ターゲットネットワークタグとサービスアカウントを使用すると、サービスアカウントがアクセスできるネットワークを制限し、GCPサービスにアクセスする際のセキュリティを向上させることができます。
ルールの優先度
ルールの優先度について説明します。
- セキュリティ：VPCは、ネットワークトラフィックを制御して、ネットワークを保護するために使用できます。VPCを使用すると、ネットワークトラフィックを許可するIPアドレス範囲、ポート、プロトコルを指定できます。また、VPCを使用すると、ネットワークトラフィックを暗号化することもできます。
- パフォーマンス：VPCは、ネットワークトラフィックを最適化するために使用できます。VPCを使用すると、ネットワークトラフィックをルーティングする方法、ネットワークトラフィックを転送する方法、ネットワークトラフィックをキャッシュする方法などを指定できます。
- スケーラビリティ：VPCは、ネットワークをスケーリングするために使用できます。VPCを使用すると、ネットワークに新しいサブネットを追加したり、ネットワークに新しいルーターやゲートウェイを追加したりできます。
これらの優先度は、プロジェクトのニーズによって異なります。たとえば、セキュリティが重要なプロジェクトでは、VPCのセキュリティ機能を優先する必要があります。パフォーマンスが重要なプロジェクトでは、VPCのパフォーマンス機能を優先する必要があります。スケーラビリティが重要なプロジェクトでは、VPCのスケーラビリティ機能を優先する必要があります。
VPCを使用すると、プロジェクトのニーズに合わせて、ネットワークを構成することができます。
ネットワークプロトコル
ネットワーク プロトコルについて説明します。
- TCP：TCP（Transmission Control Protocol）は、データの送受信を制御するプロトコルです。TCPを使用すると、データの送受信を正確かつ確実に行うことができます。
- UDP：UDP（User Datagram Protocol）は、データの送受信を制御しないプロトコルです。UDPを使用すると、データの送受信を高速に行うことができます。
- ICMP：ICMP（Internet Control Message Protocol）は、エラーメッセージの送受信を制御するプロトコルです。ICMPを使用すると、ネットワークの状態を監視したり、ネットワークの障害を検出したりすることができます。
- IPSec：IPSec（Internet Protocol Security）は、IPパケットを暗号化するためのプロトコルです。IPSecを使用すると、IPパケットを盗聴や改ざんから保護することができます。
これらのプロトコルは、プロジェクトのニーズに合わせて、ネットワークを構成するために使用できます。たとえば、セキュリティが重要なプロジェクトでは、IPSecプロトコルを使用すると、IPパケットを盗聴や改ざんから保護することができます。パフォーマンスが重要なプロジェクトでは、TCPプロトコルを使用すると、データの送受信を正確かつ確実に行うことができます。
上り / 下りルール
上り/下りルールについて説明します。
- アップリンク：アップリンクとは、VPC内のノードからインターネットへのトラフィックです。
- ダウンリンク：ダウンリンクとは、インターネットからVPC内のノードへのトラフィックです。
アップリンクとダウンリンクのルールは、VPC内のノードのセキュリティを保護するために使用できます。たとえば、アップリンクのルールを使用して、VPC内のノードがインターネットにアクセスできるポートを制限することができます。また、ダウンリンクのルールを使用して、インターネットからVPC内のノードにアクセスできるポートを制限することができます。
アップリンクとダウンリンクのルールは、プロジェクトのニーズに合わせて、ネットワークを構成するために使用できます。たとえば、セキュリティが重要なプロジェクトでは、アップリンクとダウンリンクのルールを使用して、VPC内のノードをインターネットから完全に隔離することができます。パフォーマンスが重要なプロジェクトでは、アップリンクとダウンリンクのルールを使用して、VPC内のノードのネットワークトラフィックを最適化することができます。
アップリンクとダウンリンクのルールは、VPCのセキュリティとパフォーマンスを向上させるために使用できます。
ファイアウォールルールのロギング
ファイアウォールルールのロギングについて説明します。
GCPは、ファイアウォール ルールのロギングをサポートしています。ファイアウォールルールのロギングを使用すると、ファイアウォールルールによって許可または拒否されたすべてのトラフィックを記録することができます。
ファイアウォールルールのロギングは、次の目的で使用できます。
- ネットワークのセキュリティを監視する
- ネットワークのパフォーマンスを分析する
- ネットワークのトラフィックをトラブルシューティングする
ファイアウォールルールのロギングは、有効にすると、ファイアウォールルールによって許可または拒否されたすべてのトラフィックがCloud Loggingに記録されます。Cloud Loggingから、ファイアウォールルールのログをダウンロードしたり、分析したりすることができます。
ファイアウォールインサイト
ファイアウォールインサイトについて説明します。
ファイアウォールインサイトは、ファイアウォールルールがどのように使用されているかを追跡し、セキュリティの懸念やパフォーマンスの問題を特定するのに役立つツールです。ファイアウォールインサイトは、次の目的で使用できます。
- ファイアウォールルールの使用状況を監視する
- ファイアウォールルールのパフォーマンスを分析する
- ファイアウォールルールのセキュリティを向上させる
ファイアウォールインサイトを有効にすると、ファイアウォールルールの使用状況、パフォーマンス、セキュリティに関する情報がCloud Loggingに記録されます。Cloud Loggingから、ファイアウォール インサイトのデータをダウンロードしたり、分析したりすることができます。
階層型ファイアウォール
階層型ファイアウォールは、ネットワークトラフィックを制御するためのセキュリティ機能です。階層型ファイアウォールは、次の3つの層で構成されます。
- 外部ファイアウォール：外部ファイアウォールは、VPCへのネットワークトラフィックを制御します。
- 内部ファイアウォール：内部ファイアウォールは、VPC内のネットワークトラフィックを制御します。
- アプリケーションファイアウォール：アプリケーションファイアウォールは、アプリケーションレベルのネットワークトラフィックを制御します。
外部ファイアウォールは、インターネットからVPCへのネットワークトラフィックを制御します。外部ファイアウォールは、次のことができます。
- 特定のIPアドレスまたはIPアドレス範囲からのトラフィックを許可または拒否する。
- 特定のポートからのトラフィックを許可または拒否する。
- 特定のアプリケーションからのトラフィックを許可または拒否する。
内部ファイアウォールは、VPC内のネットワークトラフィックを制御します。内部ファイアウォールは、次のことができます。
- 特定のVMインスタンスからのトラフィックを許可または拒否する。
- 特定のポートからのトラフィックを許可または拒否する。
- 特定のアプリケーションからのトラフィックを許可または拒否する。
アプリケーションファイアウォールは、アプリケーションレベルのネットワークトラフィックを制御します。アプリケーションファイアウォールは、次のことができます。
- 特定のHTTPリクエストを許可または拒否する。
- 特定のHTTPヘッダーを許可または拒否する。
- 特定のHTTPボディを許可または拒否する。
階層型ファイアウォールは、ネットワークトラフィックを複数の層で制御することで、ネットワークを保護します。外部ファイアウォールは、インターネットからの攻撃を防ぎます。内部ファイアウォールは、VPC内のVMインスタンス間の攻撃を防ぎます。アプリケーションファイアウォールは、アプリケーションを標的とした攻撃を防ぎます。
階層型ファイアウォールは、ネットワークを保護するために重要なセキュリティ機能です。階層型ファイアウォールを使用すると、ネットワークのセキュリティを向上させることができます。
VPC Service Controlsを実装する
アクセスレベルとサービス境界の作成および構成
VPC（Virtual Private Cloud）のアクセスレベルとサービス境界を作成および構成することができます。アクセスレベルは、VPC内のリソースへのアクセスを制御するために使用されます。サービス境界は、VPC内のリソースを外部リソースから隔離するために使用されます。
アクセスレベルとサービス境界は、VPCのセキュリティを向上させるために重要なセキュリティ機能です。アクセスレベルとサービス境界を使用すると、VPC内のリソースへのアクセスを制御し、VPC内のリソースを外部リソースから隔離することができます。
VPCのアクセス可能なサービス
Google Cloud Platform（GCP）のVPC（Virtual Private Cloud）は、インターネットから隔離されたプライベートネットワークです。VPC内のリソースは、インターネットからアクセスできないため、セキュリティが向上します。
VPC内のリソースは、次のサービスにアクセスできます。
- Compute Engine
- App Engine
- Kubernetes Engine
- Cloud SQL
- Cloud Spanner
- Cloud Bigtable
- Cloud Storage
- Cloud CDN
- Cloud Load Balancing
- Cloud DNS
- Cloud Monitoring
- Cloud Logging
- Cloud Security Command Center
これらのサービスは、VPC内のリソースとインターネットを相互に接続するために使用できます。たとえば、Compute Engineを使用してVPC内にVMインスタンスを作成し、App Engineを使用してWebアプリケーションをデプロイし、Kubernetes Engineを使用してコンテナを実行することができます。
VPC内のリソースは、これらのサービスにアクセスすることで、インターネットから隔離された安全な環境で実行することができます。
境界ブリッジ
境界ブリッジは、Google Cloud Platform（GCP）のVPC（Virtual Private Cloud）で使用できるネットワーク機能です。境界ブリッジを使用すると、VPC内のリソースを、別のVPC内のリソースまたはインターネットに接続することができます。
境界ブリッジを使用すると、次のことができます。
- 異なるVPC内のリソースを接続する。
- VPC内のリソースをインターネットに接続する。
- 異なるネットワークプロトコルを使用するリソースを接続する。
境界ブリッジは、VPCのネットワークの柔軟性を向上させるために使用できます。境界ブリッジを使用すると、VPC内のリソースを、さまざまなネットワークに接続することができます。これにより、VPC内のリソースを、より効率的に管理することができます。
境界ブリッジは、作成されると、すぐに使用できます。境界ブリッジを使用すると、VPC内のリソースを、さまざまなネットワークに接続することができます。これにより、VPC内のリソースを、より効率的に管理することができます。
監査ロギング
Google Cloud Platform（GCP）では、VPC（Virtual Private Cloud）の監査ロギングを有効にして、VPC内のリソースへのアクセスを記録することができます。監査ロギングは、次の目的で使用できます。
- ネットワークのセキュリティを監視する
- ネットワークのパフォーマンスを分析する
- ネットワークのトラフィックをトラブルシューティングする
監査ロギングを有効にすると、VPC内のリソースへのアクセスがCloud Loggingに記録されます。Cloud Loggingから、監査ログをダウンロードしたり、分析したりすることができます。
監査ロギングは、VPCのセキュリティとパフォーマンスを向上させるために使用できます。監査ロギングを使用すると、VPC内のリソースへのアクセスを記録し、ネットワークのセキュリティを監視することができます。また、監査ロギングを使用すると、ネットワークのパフォーマンスを分析し、ネットワークのトラフィックをトラブルシューティングすることができます。
ドライランモード
VPC（Virtual Private Cloud）の構成に関する、ドライラン モードを有効にして、変更を実行する前に、変更の実行をシミュレーションすることができます。ドライラン モードは、次の目的で使用できます。
- 変更の潜在的な問題を特定する
- 変更の影響を評価する
- 変更を実行する前に、変更をテストする
ドライランモードを有効にすると、変更を実行する前に、変更がシミュレーションされます。シミュレーションの結果は、Cloud Loggingに記録されます。Cloud Loggingから、シミュレーションの結果をダウンロードしたり、分析したりすることができます。
ドライランモードは、VPCの構成を変更する前に、変更の潜在的な問題を特定し、変更の影響を評価するために使用できます。また、ドライランモードは、変更を実行する前に、変更をテストするために使用できます。
まとめ
本日は下記5点について説明しました。
- VPC を構成する
- ルーティングを構成する
- Google Kubernetes Engine クラスタの構成と保守を行う
- ファイアウォールルールを構成、管理する
- VPC Service Controls を実装する
今回説明した「セクション 2：Virtual Private Cloud（VPC）インスタンスの実装」は、VPCインスタンスの概要になります。今後のブログでより詳細に説明を行うので、まずは概要をしっかり抑えてください。
これからも、Macのシステムエンジニアとして、日々、習得した知識や経験を発信していきますので、是非、ブックマーク登録してくれると嬉しいです！
それでは、次回のブログで！
