アプリのセキュリティの概要

セキュリティは Google Cloudの中核機能ですが、App Engine アプリの保護や脆弱性の特定には、他にも行うべきことがいくつかあります。

以下の機能を使用して、App Engine アプリのセキュリティを確保します。Google セキュリティ モデルの詳細と Google Cloud プロジェクトを保護する手順については、Google Cloud Platform のセキュリティをご覧ください。

HTTPS リクエスト

App Engine アプリ�����全にアクセスするには HTTPS リクエストを使用します。アプリの構成に応じて、次のオプションがあります。

appspot.com のドメイン

• Google Cloud プロジェクトの default サービスに HTTPS リクエストを送信するには、https の URL 接頭辞を使用します。次に例を示します。
  https://PROJECT_ID.REGION_ID.r.appspot.com

• App Engine アプリで特定のリソースを対象とするには、-dot- 構文を使用して対象とする各リソースを区切ります。次に例を示します。
  https://VERSION-dot-SERVICE-dot-PROJECT_ID.REGION_ID.r.appspot.com

• HTTP URL を HTTPS URL に変換するには、各リソース間のピリオドを -dot- に置き換えます。次に例を示します。
  http://SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com
https://SERVICE_ID-dot-PROJECT_ID.REGION_ID.r.appspot.com

HTTPS URL と対象とするリソースの詳細については、リクエストのルーティング方法をご覧ください。

カスタム ドメイン

カスタム ドメインで HTTPS リクエストを送信する場合は、App Engine によってプロビジョニングされたマネージド SSL 証明書を使用します。詳細については、SSL によるカスタム ドメインの保護をご覧ください。

アクセス制御

各 Google Cloud プロジェクトで、プロジェクト内のサービス（App Engine を含む）にアクセスできるユーザーを決定するアクセス制御を設定します。アカウントごとに異なるロールを割り当てて、各アカウントにアプリをサポートするために必要な権限のみを付与できます。詳細については、アクセス制御の設定をご覧ください。

App Engine ファイアウォール

App Engine ファイアウォールでは、指定した範囲の IP アドレスからのリクエストを許可または拒否する一連のルールを使用して、App Engine アプリへのアクセスを制御できます。ファイアウォールでブロックされたトラフィックまたは帯域幅に対しては課金されません。ファイアウォールを作成すると、次の���とを行うことができます。

特定のネットワーク内のトラフィックのみを許可する

特定のネットワークの特定の IP アドレス範囲にのみアプリへのアクセスを許可します。たとえば、アプリのテスト段階で、会社のプライベート ネットワーク内の IP アドレス範囲のみを許可するルールを作成します。その後アプリのリリース プロセスが一般公開に向けて進む過程でファイアウォール ルールを随時作成、変更し、社内または外部の特定の組織にのみアプリへのアクセスを許可できます。

特定のサービスからのトラフィックのみを許可する

App Engine アプリに対するすべてのトラフィックが特定のサービス経由でプロキシ送信されるように設定します。たとえば、サードパーティのウェブ アプリケーション ファイアウォール（WAF）を使用してアプリに対するリクエストをプロキシ処理する場合、WAF から転送されてきたリクエスト以外をすべて拒否するようなファイアウォール ルールを作成できます。

不正な IP アドレスをブロックする

Google Cloud には攻撃を防ぐさまざまなメカニズムが用意されています。App Engine ファイアウォールを使用すると、悪意のある行動を示す IP アドレスからアプリに向けられたトラフィックをブロックできます。サービス拒否攻撃などの不正行為からアプリを保護することもできます。IP アドレスまたはサブネットワークを拒否リストに追加すると、それらのアドレスやサブネットワークからルーティングされたリクエストを App Engine アプリに到達する前に拒否できます。

ルールの作成とファイアウォールの構成の詳細については、ファイアウォールによるアクセスの制御をご覧ください。

上り（内向き）制御

このセクションでは、上り（内向き）設定を使用して、App Engine アプリへのネットワーク アクセスを制限する方法について説明します。ネットワーク レベルのデフォルトでは、インターネット上のリソースは appspot URL または App Engine で設定されたカスタム ドメインの App Engine アプリにアクセスできます。たとえば、appspot.com の URL の形式は SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com です。

このデフォルトを変更するには、上り（内向き）に別の設定を指定します。デフォルトの appspot.com URL を含むすべての上り（内向き）パスは、上り（内向き）設定の対象となります。上り（内向き）はサービスレベルで設定されます。

使用可能な上り（内向き）設定

次の設定を使用できます。

内部サービスへのアクセス

次のことに注意してください。

• 共有 VPC からのリクエストの場合、App Engine アプリが共有 VPC ホスト プロジェクトにデプロイされている場合にのみ、トラフィックは内部とみなされます。App Engine アプリが共有 VPC サービス プロジェクトにデプロイされている場合は、アプリ自身のプロジェクトが所有するネットワークからのトラフィックのみが内部とみなされます。他のすべてのトラフィック（他の共有 VPC からのトラフィックを含む）は外部となります。

• 内部サービスにアクセスする場合は、公開 URL（デフォルトの appspot.com URL または App Engine で設定されたカスタム ドメイン）を使用して、通常どおりに呼び出します。

• Compute Engine VM インスタンスからのリクエストの場合や、同じプロジェクトの VPC ネットワーク内で実行されている他のリソースからのリクエストの場合、さらなる設定は必要ありません。

• 他の App Engine サービスからのリクエストの場合や、同じプロジェクトの Cloud Run または Cloud Run functions からのリクエストの場合は、共有 VPC ネットワークへの接続の説明にあるように、サービスまたは関数を VPC ネットワークに接続して、すべての下り（外向き）をコネクタ経由でルーティングします。

• 同じプロジェクトの VPC ネットワーク内のリソースからのリクエストは、送信元のリソースがパブリック IP アドレスを持っていても、内部に分類されます。

• Cloud VPN 経由で VPC ネットワークに接続されているオンプレミス リソースからのリクエストは、internal とみなされます。

上り（内向き）設定を表示する

gcloud app services describe SERVICE

gcloud app services describe default

上り（内向き）設定を編集する

gcloud app services update SERVICE --ingress=INGRESS

下り（外向き）設定

サーバーレス VPC アクセスを使用している場合は、App Engine サービスの下り（外向き）設定を指定できます。

デフォルトでは、内部 IP アドレスと内部 DNS 名へのリクエストのみが、サーバーレス VPC アクセス コネクタ経由で転送されます。app.yaml ファイルで、サービスの下り（外向き）設定を指定できます。

下り（外向き）設定には URL 取得サービスとの互換性がありません。まだ行っていない場合は、URL 取得のデフォルトを無効にし、urlfetch ライブラリの明示的な使用を中止します。urlfetch ライブラリを使用すると、下り（外向き）設定は無視され、リクエストはサーバーレス VPC アクセス コネクタ経由でルーティングされません。

App Engine サービスの下り（外向き）動作を構成するには:

1. サービスの app.yaml ファイルの vpc_access_connector フィールドに egress_setting 属性を追加します。

   vpc_access_connector:
     name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
     egress_setting: EGRESS_SETTING

   次のように置き換えます。

   • PROJECT_ID は、使用する Google Cloud プロジェクト ID に置き換えます。
   • REGION は、コネクタが存在するリージョンに置き換えます。
   • CONNECTOR_NAME は、コネクタの名前に置き換えます。
   • EGRESS_SETTING は、次のいずれかに置き換えます。
     • private-ranges-only: デフォルト。IP アドレス範囲（RFC 1918 と RFC 6598）または内部 DNS 名へのリクエストのみが VPC ネットワークに転送されます。その他のリクエストはすべて直接インターネットに転送します。
     • all-traffic: サービスからの送信リクエストをすべて VPC ネットワークに転送します。その後、リクエストは VPC ネットワークのファイアウォール、DNS、ルーティングの各ルールに従って処理されます。すべての送信リクエストを VPC ネットワークに転送すると、サーバーレス VPC アクセス コネクタによって処理される下り（外向き）の量が増加し、料金が発生する可能性があります。

2. サービスをデプロイします。

   gcloud app deploy
   

Security Scanner

Google Cloud Web Security Scanner は、App Engine アプリをクロールし、開始 URL の範囲内にあるすべてのリンクを追跡し、できるだけ多くのユーザー入力とイベント ハンドラの実行を試みることにより、脆弱性を探し出します。

Security Scanner を使用するには、Google Cloud プロジェクトのオーナーである必要があります。ロールを割り当てる方法の詳細については、アクセス制御の設定をご覧ください。

Google Cloud コンソールからセキュリティ スキャンを実行することで、App Engine アプリの脆弱性を特定できます。Security Scanner の実行方法については、Web Security Scanner の使用をご覧ください。