OCIベースのワークロードの保護: OCI Network Firewallを使用したエンド・カスタマからのコア環境の保護 (2025/06/30)

OCIベースのワークロードの保護: OCI Network Firewallを使用したエンド・カスタマからのコア環境の保護 (2025/06/30)

https://blogs.oracle.com/ateam/post/securing-ocibased-workloads-using-oci-network-firewall-to-shield-your-core-environment-from-end-customers

投稿者：Arvind Bassan | Principal Cloud Architect

クラウド上でセキュアなプラットフォームを運用する場合、コアインフラストラクチャをエンドユーザーの環境から分離することが重要です。顧客は特定のサービスやAPIにアクセスする必要があるかもしれませんが、だからといって社内ネットワークを見られるべきではありません。あるSaaSプロバイダーは、Oracle Cloud Infrastructure（OCI）を使用して、バックエンドサービスをセキュアにしつつ、顧客環境への接続を限定的に許可するという、まさにその課題に直面していました。

このブログでは、OCI ネットワーク ファイアウォールとプライベート - ソース ネットワーク アドレス変換 (SNAT)を使用してこれをどのように実現したかについて説明します。

課題: 内部ネットワークを公開せずに顧客の接続を保護する

このSaaSプロバイダーはバックエンドをOCIにホストし、企業顧客がリモートピアリング接続（RPC）を介して安全に接続できるようにしています。RPCはOCIのバックボーンを介したプライベート接続を提供しますが、同時に内部IPアドレスが顧客ネットワークに公開される可能性も伴います。

プロバイダーには、次のようなセキュリティとコンプライアンスのニーズがありました。

  • 顧客から内部（プライベート）IPアドレスを隠す
  • 許可されるトラフィックを制御および制限する
  • バックエンドサービスに出入りするすべてのトラフィックを検査する

 

解決策: OCI ネットワーク ファイアウォールの新しいプライベート SNAT 機能

OCIネットワークファイアウォールは長年にわたり、ディープパケットインスペクションとポリシーベースのトラフィック制御を提供してきました。最近導入されたプライベート - ソースネットワークアドレス変換（SNAT）により、動的IPマスキングもサポートされるようになりました。これは、多くのマルチテナント環境や統合環境にとって大きなメリットとなります。

この新しいプライベート SNAT 機能を使用することで、プロバイダーは次のことを実現できました。

  • トラフィックが顧客の VCN に到達する前に、内部 IP を NAT IP に自動的に変換します。
  • バックエンドネットワークの匿名性を維持しながらアクセス制御を実施する
  • すべての顧客向けトラフィックを集中検査ポイントにルーティングします

これにより、顧客の構成を変更することなく、リスクが大幅に軽減されました。

 

ソリューションの実装

1. NATとセキュリティルールを含むネットワークファイアウォールポリシーを作成する

  • OCIコンソール > アイデンティティとセキュリティ > ネットワークファイアウォールポリシーに移動します
  • 「ネットワークファイアウォールポリシーの作成」をクリックし、名前とコンパートメントを入力します。
  • ポリシーリソースで、NATルール > NATルールの作成をクリックします。
  • 名前、説明、一致条件（送信元、宛先、サービス）を入力し、「NATルールの作成」をクリックします。

1

2

 

2. ネットワークファイアウォールをプロビジョニングする

  • OCIコンソール > アイデンティティとセキュリティ > ネットワークファイアウォールに移動します
  • 「ネットワークファイアウォールの作成」をクリックし、名前とコンパートメントを指定して、先ほど作成したポリシーを選択します。
  • ファイアウォールを展開するには、VCN とサブネット（重複しないもの）を選択します。
  • NATルールは自動的に検出され、作成時にNATが有効になります。

3

 

3. NAT IPプールの割り当てを確認する

  • 同じコンソールセクションで、新しく作成したネットワークファイアウォールを開きます。
  • ポリシーリソースでNAT IPアドレスをチェックします
  • OCIは、4Gbpsファイアウォールの場合は4つのNAT IPを、25Gbpsファイアウォールの場合は少なくとも5つのNAT IPを自動的に割り当てます。

5

 

4. トランジットルーティングを構成する

  • ターゲットタイプをファイアウォールプライベートIPに設定してトランジットルーティングを追加します
  • これにより、2つの環境間のすべてのトラフィックがOCIネットワークファイアウォールを通過するようになります。

 

テストと検証
2つの顧客環境間でTCP（ポート3389）とICMPを使用してトラフィックを生成しました。OCIネットワークファイアウォールのトラフィックログを確認したところ、割り当てられたNAT IPプールを使用してSNAT/PATが正常に適用されていることを確認しました。

5

66

 

まとめ

OCI ネットワーク ファイアウォールの新しいプライベート SNAT サポートにより、お客様はバックエンド環境のセキュリティ保護に向けて大きな前進を遂げることができます。

この機能強化により、追加のインフラストラクチャや複雑さを伴わずに、IP マスキングが簡素化され、コンプライアンスが強化され、内部サービスと外部向けトラフィック フローが明確に分離されます。

OCI 上の SaaS プロバイダーの場合、これはセキュリティとネットワーク設計戦略の一部として検討すべき強力な機能です。

コメント

コメントを投稿

このブログの人気の投稿

Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20)

イメージ
Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20) https://mikedietrichde.com/2024/11/20/important-update-to-oracle-database-19c-support-timelines/ 長い沈黙は、私が隠れているという意味ではありません。つまり、今はとても忙しいということです。そして、より少ない旅行で、私はあなたのコメントにもブログと返信するより多くの時間を持っていることを願っています。それでも、Oracle Database 19cサポート・タイムラインの非常に重要な更新について説明します。 * 更新された内容 2024年11月19日現在、Oracle Database 19cのサポート・タイムラインが調整されています。 MOSノート: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールを見ると、新しい日付が表示されます。 Premier Support、2029年12月31日まで 2030年1月1日から2032年12月31日までの拡張サポート 2033年1月1日から2034年12月31日までのアップグレード・サポート これは知ることがとても大切です。 他のリリースの更新はありますか。 MOSノートの終わりにある変更ログ: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールでは、Oracle Database 21cの最新の更新も確認できます。このリリースのPremier Support期間は、2027年7月31日まで延長されました。 また、Oracle Database 23aiのパッチ適用終了日は2032年12月31日に設定されています。 Lifetime Support Policy 更新は、Oracle Technology Productsの Oracle Lifetime Support Policy (6ページ)でも確認できます。 From: Oracle Lifetime Support Policy for Oracle Technology Product s – page 6 – Nov 19, 2024 特に、次の表に示す制限事項に注意してください。 Oracle Database 1...
続きを読む

ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13)

イメージ
ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13) https://blogs.oracle.com/cloud-infrastructure/post/milliseconds-matter-bcc-group-and-oci-vs-aws 投稿者： Steven Riley | Senior Cloud Architect William Bierds | Business Analyst and Systems Engineer - BCC Group International Travis Liles | Master Principal Cloud Architect Puru Patel | Cloud Architect - FSI これは、BCC グループと Oracle Cloud Infrastructure (OCI) 間の市場データ パートナーシップを紹介するブログ シリーズの第 2 部です。   はじめに 金融市場データアプリケーションは、トレーダー、金融機関、そして市場参加者が情報に基づいた意思決定を行えるよう、リアルタイムデータを提供することで、取引エコシステムにおいて重要な役割を果たしています。 前回のブログ で述べたように、取引環境において最適なパフォーマンスを確保するには、市場データを超低レイテンシかつ高い信頼性で配信する必要があります。 今日の急速に変化する金融市場において、クラウドは市場データ・アプリケーションにとって強力な推進力として台頭しています。適切なネットワークとインフラストラクチャがあれば、企業は実行時間の短縮、可用性の向上、そして堅牢なセキュリティを実現できます。しかし、企業によるクラウド導入は遅れており、ワークロードのクラウド移行計画を中止しているケースもあります。そこで、BCCグループとOracle Cloud Infrastructure（OCI）のパートナーシップが注目されています。 BCCグループは、主力市場データアプリケーションであるONE PlatformをOCI上に導入しました。このブログでは、以下の点について説明します。 このパートナーシップがなぜこれほど相乗効果をもたらすのかを探る OC...
続きを読む

Oracle Enterprise Manager 24aiの概要 (2024/12/18)

イメージ
Oracle Enterprise Manager 24aiの概要 (2024/12/18) https://blogs.oracle.com/observability/post/oracle-enterprise-manager-24 投稿者： David Le Roy | Senior Director of Product Management 本日、Oracle Enterprise Manager 24ai(EM 24ai)を発表します。これは、最新のAIを活用した管理テクノロジのパワーを活用して、データ・センターとクラウド全体にOracle Databaseとエンジニアド・システムをさらに充実させる画期的なリリースです。ソフトウェアの ダウンロード が可能になりました。この新しいリリースについてさらに学習するには、2024年12月17日から19日に開催されるOracle Enterprise Manager Technology Forumの年次開催にご 参加 ください。 図1: Oracle Enterprise Manager 24aiの概要 この新しいリリースについてさらに学習するには、2024年12月17日から19日に開催されるOracle Enterprise Manager Technology Forumの年次開催にご参加ください。12月17日午前9時に、エンジニアリング担当エグゼクティブ・バイスプレジデントのWim Coekaerts氏と製品管理担当シニア・バイスプレジデントのMughees Minhas氏が率いるイベント基調講演をご覧ください。基調講演に続き、データベース・パフォーマンス、エンジニアド・システム管理、可用性、セキュリティ、コンプライアンスなどに関するベストプラクティスと新製品機能をカバーする25のテクニカル・セッションが追加されました。オラクルのセッションでは、Oracle製品のエキスパートがお客様の技術的な質問にお答えできるよう、Oracle製品マネージャーや主要なお客様が主導しています。 本日 登録 ! Oracle Enterprise Manager 24aiの新機能 EM 24aiリリースは、お客様がオンプレミスおよびクラウドにデプロイされたOracle DatabaseおよびOracle Exadataフ...
続きを読む