アプリのセキュリティの概要

リージョン ID

REGION_ID は、アプリの作成時に選択したリージョンに基づいて Google が割り当てる省略形のコードです。一部のリージョン ID は、一般的に使用されている国や州のコードと類似しているように見える場合がありますが、このコードは国または州に対応するものではありません。2020 年 2 月以降に作成されたアプリの場合、REGION_ID.r が App Engine の URL に含まれています。この日付より前に作成されたアプリの場合、URL のリージョン ID は省略可能です。

詳しくは、リージョン ID をご覧ください。

OK

Python 2.7/3 |Java 8/11/17 |PHP 5/7+ |Ruby |Go 1.11 / 1.12+ |Node.js

セキュリティは Google Cloud の中核機能ですが、App Engine アプリの保護や脆弱性の特定には、他にも行うべきことがいくつかあります。

以下の機能を使用して、App Engine アプリのセキュリティを確保します。Google セキュリティ モデルと Cloud プロジェクトを保護する方法については、Google Cloud Platform のセキュリティをご覧ください。

HTTPS リクエスト

App Engine アプリに安全にアクセスするには HTTPS リクエストを使用します。アプリの構成に応じて、次のオプションがあります。

appspot.com のドメイン

• Cloud プロジェクトの default サービスに HTTPS リクエストを送信するには、https の URL 接頭辞を使用します。次に例を示します。
  https://PROJECT_ID.REGION_ID.r.appspot.com

• App Engine アプリで特定のリソースを対象とするには、-dot- 構文を使用して対象とする各リソースを区切ります。次に例を示します。
  https://VERSION-dot-SERVICE-dot-PROJECT_ID.REGION_ID.r.appspot.com

• HTTP URL を HTTPS URL に変換するには、各リソース間のピリオドを -dot- に置き換えます。次に例を示します。
  http://SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com
https://SERVICE_ID-dot-PROJECT_ID.REGION_ID.r.appspot.com

HTTPS URL と対象とするリソースの詳細については、リクエストのルーティング方法をご覧ください。

カスタム ドメイン

カスタム ドメインで HTTPS リクエストを送信する場合は、App Engine によってプロビジョニングされたマネージド SSL 証明書を使用します。詳細については、SSL によるカスタム ドメインの保護をご覧ください。

アクセス制御

各 Cloud プロジェクトで、App Engine など、プロジェクト内のサービスにアクセスできるユーザーを決定するアクセス制御を設定します。アカウントごとに異なるロールを割り当てて、各アカウントにアプリをサポートするために必要な権限のみを付与できます。詳細については、アクセス制御の設定をご覧ください。

App Engine ファイアウォール

App Engine ファイアウォールでは、指定した範囲の IP アドレスからのリクエストを許可または拒否する一連のルールを使用して、App Engine アプリへのアクセスを制御できます。ファイアウォールでブロックされたトラフィックまたは帯域幅に対しては課金されません。ファイアウォールを作成すると、次のことを行うことができます。

特定のネットワーク内のトラフィックのみを許可する

特定のネットワークの特定の IP アドレス範囲にのみアプリへのアクセスを許可します。たとえば、アプリのテスト段階で、会社のプライベート ネットワーク内の IP アドレス範囲のみを許可するルールを作成します。その後アプリのリリース プロセスが一般公開に向けて進む過程でファイアウォール ルールを随時作成、変更し、社内または外部の特定の組織にのみアプリへのアクセスを許可できます。

特定のサービスからのトラフィックのみを許可する

App Engine アプリに対するすべてのトラフィックが特定のサービス経由でプロキシ送信されるように設定します。たとえば、サードパーティのウェブ アプリケーション ファイアウォール（WAF）を使用してアプリに対するリクエストをプロキシ処理する場合、WAF から転送されてきたリクエスト以外をすべて拒否するようなファイアウォール ルールを作成できます。

不正な IP アドレスをブロックする

Google Cloud には攻撃を防ぐさまざまなメカニズムが用意されています。App Engine ファイアウォールを使用すると、悪意のある行動を示す IP アドレスからアプリに向けられたトラフィックをブロックできます。サービス拒否攻撃などの不正行為からアプリを保護することもできます。IP アドレスまたはサブネットワークを拒否リストに追加すると、それらのアドレスやサブネットワークからルーティングされたリクエストを App Engine アプリに到達する前に拒否できます。

ルールの作成とファイアウォールの構成の詳細については、ファイアウォールによるアクセスの制御をご覧ください。

上り（内向き）制御

デフォルトでは、App Engine アプリは appspot URL またはアプリ用に構成したカスタム ドメインに送信されるすべての HTTP リクエストを受信します。

ネットワークの上り（内向き）制御を使用してトラフィックを制限することで、アプリが特定の送信元からの HTTP リクエストのみを受信するようにできます。

• すべて: デフォルト。アプリはインターネットから送信された直接リクエストを含むすべてのトラフィックを受信します。

• 内部ロード バランシングと Cloud Load Balancing: アプリは Cloud Load Balancing 経由でルーティングされたリクエスト、または同じプロジェクト内の VPC ネットワークから送信されたリクエストのみを受信します（サーバーレス VPC アクセス コネクタまたは共有 VPC を使用している場合）。他のすべてのリクエストは、403 エラーで拒否されます。

• 内部専用: アプリは同じプロジェクト内の VPC ネットワークから送信されたリクエストのみを受信します。他のすべてのリクエストは、403 エラーで拒否されます。

注: App Engine アプリで Cloud Load Balancing を使用する場合は、上り（内向き）制御を使用して、アプリが内部トラフィックと Cloud Load Balancing トラフィックのみを受信するようにすることをおすすめします。使用しない場合、ユーザーはアプリの appspot URL を使用して、GCLB で構成されたアクセス制御（Cloud Armor、IAP）を含むロードバランサをバイパスできます。

上り（内向き）設定を表示する

Console

1. App Engine の [サービス] ページに移動します。

   [サービス] ページに移動

2. [上り（内向き）] 列を見つけます。サービスごとに、この列の値に上り（内向き）設定が [すべて]（デフォルト）、[内部 + ロード バランシング]、[内部] のいずれかとして表示されます。

gcloud

gcloud CLI を使用してサービスの上り（内向き）設定を表示するには:

gcloud app services describe SERVICE

SERVICE は、実際のサービス名に置き換えます。

たとえば、デフォルト サービスの上り（内向き）設定とその他の情報を表示するには、次のコマンドを実行します。

gcloud app services describe default

上り（内向き）設定を編集する

Console

1. App Engine の [サービス] ページに移動します。

   [サービス] ページに移動

2. 編集するサービスを選択します。

3. [上り（内向き）設定を編集] をクリックします。

4. メニューから必要な上り（内向き）設定を選択し、[保存] をクリックします。

gcloud

gcloud CLI を使用してサービスの上り（内向き）設定を更新するには:

gcloud app services update SERVICE --ingress=INGRESS

次のように置き換えます。

• SERVICE: サービスの名前。
• INGRESS: 適用する上り（内向き）の制御。all、internal-only、internal-and-cloud-load-balancing のいずれかです。

次に例を示します。

• 同じプロジェクト内の Cloud Load Balancing と VPC ネットワークからのトラフィックのみを受け入れるように、App Engine アプリのデフォルト サービスを更新するには、次のコマンドを実行します。

  gcloud app services update default --ingress=internal-and-cloud-load-balancing

• 同じプロジェクト内の VPC ネットワークからのトラフィックのみを受け入れるように、「internal-requests」という名前のサービスを更新するには、次のコマンドを実行します。

  gcloud app services update internal-requests --ingress=internal-only

Security Scanner

Google Cloud の Web Security Scanner は、App Engine アプリをクロールし、開始 URL の範囲内にあるすべてのリンクを追跡して、できるだけ多くのユーザー入力とイベント ハンドラを実行します。

Security Scanner を使用するには、Cloud プロジェクトのオーナーである必要があります。ロールを割り当てる方法の詳細については、アクセス制御の設定をご覧ください。

Google Cloud コンソールからセキュリティ スキャンを実行することで、App Engine アプリのセキュリティの脆弱性を特定できます。Security Scanner の実行方法については、Security Scanner クイックスタートをご覧ください。