リージョン ID
REGION_ID は、アプリの作成時に選択したリージョンに基づいて Google が割り当てる省略形のコードです。一部のリージョン ID は、一般的に使用されている国や州のコードと類似しているように見える場合がありますが、このコードは国または州に対応するものではありません。2020 年 2 月以降に作成されたアプリの場合、REGION_ID.r は App Engine の URL に含まれています。この日付より前に作成されたアプリの場合、URL のリージョン ID は省略可能です。
詳しくは、リージョン ID をご覧ください。
セキュリティは Google Cloud の中核機能ですが、App Engine アプリの保護や脆弱性の特定には、他にも行うべきことがいくつかあります。
以下の機能を使用して、App Engine アプリのセキュリティを確保します。Google セキュリティ モデルと Google Cloud プロジェクトを保護する手順の詳細については、Google Cloud Platform のセキュリティをご覧ください。
HTTPS リクエスト
App Engine アプリに安全にアクセスするには HTTPS リクエストを使用します。アプリの構成に応じて、次のオプションがあります。
appspot.comのドメイン- Google Cloud プロジェクトの
defaultサービスに HTTPS リクエストを送信するには、httpsの URL 接頭辞を使用します。次に例を示します。
https://PROJECT_ID.REGION_ID.r.appspot.com
App Engine アプリで特定のリソースを対象とするには、
-dot-構文を使用して対象とする各リソースを区切ります。次に例を示します。
https://VERSION-dot-SERVICE-dot-PROJECT_ID.REGION_ID.r.appspot.comHTTP URL を HTTPS URL に変換するには、各リソース間のピリオドを
-dot-に置き換えます。次に例を示します。
http://SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com
https://SERVICE_ID-dot-PROJECT_ID.REGION_ID.r.appspot.com
HTTPS URL と対象とするリソースの詳細については、リクエストのルーティング方法をご覧ください。
- Google Cloud プロジェクトの
- カスタム ドメイン
カスタム ドメインで HTTPS リクエストを送信する場合は、App Engine によってプロビジョニングされたマネージド SSL 証明書を使用します。詳細については、SSL によるカスタム ドメインの保護をご覧ください。
アクセス制御
各 Google Cloud プロジェクトで、App Engine など、プロジェクト内のサービスにアクセスできるユーザーを決定するアクセス制御を設定します。アカウントごとに異なるロールを割り当てて、各アカウントにアプリをサポートするために必要な権限のみを付与できます。詳細については、アクセス制御の設定をご覧ください。
App Engine ファイアウォール
App Engine ファイアウォールでは、指定した範囲の IP アドレスからのリクエストを許可または拒否する一連のルールを使用して、App Engine アプリへのアクセスを制御できます。ファイアウォールでブロックされたトラフィックまたは帯域幅に対しては課金されません。ファイアウォールを作成すると、次のことを行うことができます。
- 特定のネットワーク内のトラフィックのみを許可する
- 特定のネットワークの特定の IP アドレス範囲にのみアプリへのアクセスを許可します。たとえば、アプリのテスト段階で、会社のプライベート ネットワーク内の IP アドレス範囲のみを許可するルールを作成します。その後アプリのリリース プロセスが一般公開に向けて進む過程でファイアウォール ルールを随時作成、変更し、社内または外部の特定の組織にのみアプリへのアクセスを許可できます。
- 特定のサービスからのトラフィックのみを許可する
- App Engine アプリに対するすべてのトラフィックが特定のサービス経由でプロキシ送信されるように設定します。たとえば、サードパーティのウェブ アプリケーション ファイアウォール（WAF）を使用してアプリに対するリクエストをプロキシ処理する場合、WAF から転送されてきたリクエスト以外をすべて拒否するようなファイアウォール ルールを作成できます。
- 不正な IP アドレスをブロックする
- Google Cloud には攻撃を防ぐさまざまなメカニズムが用意されています。App Engine ファイアウォールを使用すると、悪意のある行動を示す IP アドレスからアプリに向けられたトラフィックをブロックできます。サービス拒否攻撃などの不正行為からアプリを保護することもできます。IP アドレスまたはサブネットワークを拒否リストに追加すると、それらのアドレスやサブネットワークからルーティングされたリクエストを App Engine アプリに到達する前に拒否できます。
ルールの作成とファイアウォールの構成の詳細については、ファイアウォールによるアクセスの制御をご覧ください。
上り（内向き）制御
上り（内向き）制御を使用すると、App Engine アプリへのインバウンド トラフィックを制限できます。デフォルトでは、App Engine アプリはすべてのネットワーク送信元からのトラフィックを受け入れます。デフォルト設定の変更、使用可能な設定の編集と表示については、上り（内向き）設定を指定するをご覧ください。
下り（外向き）制御
下り（外向き）制御により、サーバーレス VPC コネクタ経由で送信されるトラフィックが決まります。デフォルトでは、プライベート IP アドレスへのリクエストのみがサーバーレス VPC コネクタ経由でルーティングされます。下り（外向き）制御設定を使用すると、App Engine サービスからのすべてのトラフィックが、接続された VPC コネクタ経由でルーティングされるようにできます。アプリの下り（外向き）設定を指定するには、下り（外向き）設定をご覧ください。
Security Scanner
Google Cloud の Web Security Scanner は、App Engine アプリをクロールし、開始 URL の範囲内にあるすべてのリンクを追跡して、できるだけ多くのユーザー入力とイベント ハンドラを実行します。
Security Scanner を使用するには、Google Cloud プロジェクトのオーナーである必要があります。ロールを割り当てる方法の詳細については、アクセス制御の設定をご覧ください。
Google Cloud コンソールからセキュリティ スキャンを実行することで、App Engine アプリの脆弱性を特定できます。Security Scanner の実行方法については、Web Security Scanner の使用をご覧ください。
VPC Service Controls
App Engine スタンダード環境ではサポートされていません。