Azure上のLinux (Japanese Edition)

章6 AzureにおけるLinuxワークロードのセキュリティ対策

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

組織がクラウドを採用する際に抱える主な懸念の一つはセキュリティだ。結局のところ、クラウドは従来のセキュリティ手法には適さない独自のサービスとアーキテクチャを導入する。単にデータセンターのアーキテクチャとセキュリティ慣行をクラウド上で作成することは、非効率であるだけでなく、セキュリティ目標の達成にも逆効果だ。この章では、Linux ワークロードのセキュリティ確保という観点から、Microsoft Azure で利用可能な様々なセキュリティ機能とサービスを検討する。

Azure：コードからクラウドまでのセキュリティプラットフォーム

Azureでホストするアプリケーションは、複数の層で提供されるセキュリティに依存している。インフラのセキュリティはセキュリティ戦略の重要な構成要素だが、唯一の対策であってはならない。インフラのセキュリティは、アプリケーションセキュリティ（AppSec）と連携して、組織全体を包括的に保護する解決策を提供すべきだ。

本章の範囲外ではあるが、セキュリティにおける「シフトレフト」の実践について簡単に触れておきたい。この実践には3つの主要な構成要素が含まれる：

• 開発プロセスの早い段階でセキュリティチームを関与させる

• 開発者が従うべきゴールデンパスとパターンの確立

• 継続的インテグレーションと継続的デリバリー（CI/CD）プロセスにセキュリティスキャンツールを早期に統合する

Microsoft Azureは、GitHub Advanced SecurityやAzure DevOpsプラットフォームなど、ほとんどのDevOpsおよびセキュリティツールと緊密に統合し、ツールとプロセスの観点からDevSecOpsの実践を確立するのを支援する。実践者として、これらのプロセスとツールをチームに確立し、組織全体での採用を推進する責任は依然としてあなたにある。

セキュリティ確保の責任範囲は、共有責任モデルによって定義される。

責任分担モデル

Microsoft Azureは、他のクラウドプロバイダーと同様に、プラットフォーム上で動作するアプリケーションのセキュリティに関して共有責任モデルを採用している。基本的に、MicrosoftはAzureが提供するサービス（AKS、仮想マシンなど）を支える基盤インフラのセキュリティと、サービス自体のセキュリティに責任を負う。利用するサービスの機能や設定を適切に構成し、テナント向けのベストプラクティスに従い、アプリケーションを駆動するコードのセキュリティを確保するのは、コンシューマの責任である。詳細はMicrosoftのLearnサイトで確認できる。

プラットフォームの責任の重さは、アプリケーションに利用するプラットフォームの種類（インフラストラクチャ・アズ・ア・サービス（IaaS）かプラットフォーム・アズ・ア・サービス（PaaS）か）に大きく依存する。責任と制御レベルの間には本質的なトレードオフがある。IaaSは最高レベルの制御性と設定可能性を提供する一方で、セキュリティ面での負担も最も大きい。オペレーティングシステムの適切なパッチ適用、ネットワークセキュリティグループの正しい設定、アプリケーションの脆弱性排除は、開発者の責任である。

Azure App Serviceのようなより管理された環境を選択すると、設定や制御の選択肢は除去されるが、セキュリティの責任はMicrosoft ...