不正アクセス、盗聴を防ぐ――マイクロサービスのセキュリティを向上させる4つのIstio機能：Cloud Nativeチートシート（12）

Kubernetesやクラウドネイティブをより便利に利用する技術やツールの概要、使い方を凝縮して紹介する連載。今回は、Istioのセキュリティ機能に焦点を当て、通信の暗号化、認証／認可の機能を紹介する。

[毛利健太郎, 岡本隆史，株式会社NTTデータ]

　Kubernetesやクラウドネイティブをより便利に利用する技術やツールの概要、使い方を凝縮して紹介する本連載「Cloud Nativeチートシート」。前回、前々回とサービスメッシュ、特にIstioの機能について説明してきましたが、今回も引き続きIstioの機能について紹介していきます。今回はIstioのセキュリティ機能に焦点を当て、通信の暗号化、認証／認可の機能を紹介します。

目次

• マイクロサービス環境に潜むセキュリティリスク
  • 不正アクセスのリスク
  • 盗聴のリスク
• Istioの4つのセキュリティ機能
• Istioのセキュリティの全体像まとめ（セキュリティ機能とリソースの関係）
• 事前準備：サンプルアプリケーションのデプロイ
• セキュリティ機能の実践【1】Ingress GatewayでのTLS終端
• セキュリティ機能の実践【2】相互TLS認証機能
  • 相互TLS認証設定のモード
• コラム　相互TLS認証設定時のパケットキャプチャー
• セキュリティ機能の実践【3】JWT検証
  • 1.事前確認
  • 2.RequestAuthenticationの適用
• セキュリティ機能の実践【4】アクセス制御機能（認可機能）
  • 3.AuthorizationPolicyの適用（JWT検証との組み合わせ）
• その他のAuthorizationPolicyの設定

マイクロサービス環境に潜むセキュリティリスク

　マイクロサービスアーキテクチャでは、アジリティの向上、スケーラビリティの向上、サービスの再利用が可能になるなど、さまざまなメリットが得られます。しかし、複数のサービスが連携して1つのシステムを構成する特徴から、モノリシックアーキテクチャでは考慮する必要のなかった点が課題となります。

　例として、以下のようなリスクが存在します。

不正アクセスのリスク

　モノリシックなアプリケーションでは、サービスは1つのネットワークにあるサーバで動作するので、公開されたエンドポイントに着目したり、サーバのIPアドレスを特定することが可能であったりと、セキュリティ対策が比較的容易でした。

　一方、マイクロサービスでは、サービスが頻繁かつ動的に分散配置されるので、割り当てられるIPアドレスが短期間で変化します。また、サービス間で通信し、サービス単位にエンドポイントを用意するので、不正アクセスされるリスクが高まります。

不正アクセスのリスク

盗聴のリスク

　モノリシックなサービスの場合、プロセス間はメモリを用いて通信することが一般的でした。そのため、公開されたエンドポイントとの通信を暗号化することで一定のセキュリティレベルを保証できます。

　一方マイクロサービスの場合、ネットワーク経由でサービス同士が通信し合うことになります。そのため、仮にマイクロサービス間の通信が暗号化されていない場合、第三者から通信を傍受されるリスクが存在します。

盗聴のリスク

　上記で挙げたセキュティリスクは一部にすぎませんが、確実に対策する必要があります。下表の対策方法が一般的でしょう。

	脅威（被害）	セキュリティ対策
	不正アクセス（情報資産の改ざん／変更、情報資産の破壊／削除、情報資産の流出）	各マイクロサービス間での認証
		外部アクセスユーザーの認証
		サービス／ユーザーの認可（アクセス権の設定）
	盗聴（情報資産／個人情報の流出）	外部からの通信の暗号化
		サービス間通信の暗号化

　これらの最も単純な実現方法には、各サービスを構成するアプリケーションに、サービス間通信を規定するロジックを実装することが考えられます。しかし、全てのサービスで該当ロジックを維持することは困難なので、このアプリケーション層で全て吸収する方法はあまり現実的ではありません。

　そこで本記事では、Istioの機能を活用し、マイクロサービスの課題を解決する方法を解説します。「Istioがどのような仕組みでセキュリティ機能を構成するのか」「どのリソースを使うことで、上記のセキュリティ課題への対策が可能になるのか」を確認します。

Istioの4つのセキュリティ機能

　Istioのセキュリティ機能は主に4つです。

1. TLS（Transport Layer Security）終端
2. 相互TLS認証
3. JWT（JSON Web Token）検証
4. アクセス制御（認可機能）

　各セキュリティ機能は、これまで紹介したリソースと同様にコントロールプレーンの「Istiod」コンポーネントをからデータプレーンに対して関連する設定を伝達、管理するだけで稼働します。つまり、今回もアプリケーションのソースコードを変更する必要はありません。

　以下、4つのセキュリティ機能の概要をします。