必要性やメリット、AWSでの構築方法も解説#AWS#入門編リモートワークやクラウドサービスの普及により、さまざまな場所から社内システムへアクセスする機会が増えました。便利になった一方で、セキュリティリスクもまた増加しています。サーバーが外部から容易にアクセス可能な状態では、不正アクセスのターゲットにされる恐れがあるのです。対策の一つとして、サーバーへのアクセスを中継する踏み台サーバーの利用が効果的です。踏み台サーバーを利用することでサーバーへのアクセスを制御し、セキュアな運用が可能になります。本記事では、踏み台サーバーの概要や必要性、メリット、AWSにおける踏み台サーバーについて解説します。Managerまとめ踏み台サーバーとは踏み台サーバーとは、目的のサーバーにログインするために中継するサーバーのことです。ほかのサーバーに接続するための踏み台となる役割から、踏み台サーバーと呼ばれます。ジャンプサーバーやBastion(要塞)サーバーと呼ばれることもあります。踏み台サーバーの必要性サーバーが外部から直接SSH接続できる環境は不正アクセスのターゲットとなる可能性が高く、セキュリティ上好ましくありません。そこでSSH接続を踏み台サーバーからのみ許可することで、接続元のIPアドレスを制限し不正アクセスのリスクを軽減できます。目的のサーバーにログインするには、まず踏み台サーバーにログインし、踏み台サーバーからSSHやRDPなどの方法で目的のサーバーに接続するという二段階のステップを踏むことになります。不正アクセスは大きなビジネスリスクにつながることから、踏み台サーバーの利用はセキュリティ強化の一環として有効でしょう。踏み台サーバーのメリット踏み台サーバーを利用することで得られる具体的なメリットについて解説します。アクセス元、アクセス時間を制御できる先に紹介したようにサーバーへのアクセスを踏み台サーバーからのみに限定することで、外部から直接アクセスできなくなり、不正に侵入されるリスクを軽減できます。踏み台サーバーへのアクセスはメンテナンス作業などに必要な特定のIPアドレスからのみを許可することで、よりセキュアな環境にすることが可能です。踏み台サーバーを通常は停止させておき、メンテナンスに必要な時間帯だけ起動することで、アクセスできる時間帯を限定することもできます。誰が、いつ、どこから、どのリソースにアクセスしたかというログを取ることができます。そのため万が一事故が起きた場合も調査に役立ちます。踏み台サーバーを経由していないアクセスを確認した場合、不正なアクセスと迅速に判断できることもメリットです。AWSにおける踏み台サーバーAWS環境でも、踏み台サーバーを構築しAWSリソースへ安全にリモートアクセスすることが推奨されています。AWS環境での踏み台サーバーの構築AWS環境では、Linuxベースの踏み台ホストをパブリックサブネット(インターネットからアクセス可)に構築し、メンテナンスに必要な外部IPアドレスからのみアクセスを許可します。外部からアクセスさせたくないサーバーはプライベートサブネット(インターネットからアクセス不可)に置きます。メンテナンスの際はLinux踏み台ホストにリモートアクセスし、そこからプライベートサブネット上のサーバーへ安全にアクセスできます。(2022/7/29確認)セキュリティグループの設定セキュリティグループとはVPC(AWSのネットワーク)上で通信制御をするファイアウォール機能です。インバウンドとアウトバウンドのトラフィックに対し、どこから(インターネットを含むすべての場所・ほかのセキュリティグループ・特定のIPアドレスなど)どのような通信(プロトコル及びポート範囲)を許可するか制御します。インバウンドはこちらに向かう通信、アウトバウンドは外に出ていく通信です。セキュリティグループを正しく設定しないと踏み台サーバーの役割が果たせないため、非常に重要です。パブリックサブネット上に踏み台サーバー、プライベートサブネット上にメンテナンス対象サーバーがある場合、一例ですが以下のようなセキュリティグループを設定します。なしSSHポートフォワーディングメンテナンス対象がWindowsサーバーの場合、踏み台のLinuxホストからRDP通信を行うにはSSHポートフォワーディングという機能を使用します。ポートフォワーディングとは指定ポートにきた通信を、別のサーバーの指定ポートに転送する機能です。Termをはじめ多くのリモートログオンクライアントソフトでポートフォワーディングは可能なため、踏み台サーバーは最小コストのLinuxホストでも問題ありません。Managerというポートフォワーディング機能も提供しています。Managerを利用すれば踏み台サーバーと同様、AWS環境のリソースに安全にアクセスすることが可能です。Managerを利用すれば踏み台サーバーが不要になるため、踏み台サーバーに対する監視運用やセキュリティ対策が不要になるメリットがあり、踏み台サーバーの代わりとして置き換えるケースも多いです。Managerを使用するために新たな設定が必要なことや、管理・運用しなくてはならない事項が増えるため、環境や要件に応じて選択するのがおすすめです。Managerについて詳しくは以下の記事で紹介しています。ベアサポートブログまとめ踏み台サーバーの活用は、社内の重要なリソースを不正アクセスから守るための効果的なセキュリティ対策です。ほかにもログの管理をメリットもあります。AWSをはじめとするクラウド環境でも踏み台サーバーは推奨されているため、自社の環境に合わせた踏み台サーバーの活用を検討してみてはいかがでしょうか。必要性やメリット、AWSでの構築方法も。