米VMwareのネットワーク仮想化製品である「VMware NSX」は、ハイパーバイザーで稼働するファイアウォール機能である「分散ファイアウォール」を利用して、異なるホストで実行中の仮想マシン（VM）間でゼロトラストセキュリティを実現している。また、同一の論理的なレイヤー2サブネットに存在するホスト間でも、セキュリティポリシーを作成できる。

　VMwareのアプローチは、VMware NSXで構築したハイパーバイザーベースのオーバーレイネットワーク（ハイパーバイザーの仮想スイッチ同士がトンネル接続することで構築した論理的なネットワーク）において、分散ファイアウォール機能を利用することで、物理的なゼロトラストセキュリティを抽象化するというものだ。管理者は、各ハイパーバイザーの分散ファイアウォール機能で施行するルールを集中管理システムで作成する。

Amazon Web Services

　クラウドサービスでは、ユーザー企業やサードパーティーは基盤となるハイパーバイザーに直接アクセスできない。つまり、ゼロトラストセキュリティを実現するには、ユーザー企業はAPI経由でハイパーバイザーにアクセスできるクラウドサービスを利用しなければならない。

　米Amazon Web Servicesのクラウドサービス「Amazon Web Services」（AWS）の場合、パブリッククラウドと内部ネットワークをつなぐ接続を理解することが重要になる。

　AWSで実行中のVMにアクセスする方法は、パブリックなインターネット接続に加え、ユーザー企業の拠点とAWSのデータセンターをIPsecベースのVPNで接続する「Amazon Virtual Private Cloud（VPC）」、ユーザー企業の拠点とAWSのデータセンターを専用線でつなぐ「AWS Direct Connect」の3通りある。

　このうちAWS Direct Connectは、AWSのデータセンターに接続するレイヤー3の専用回線だ。AWSは、顧客のレイヤー2トラフィックが、AWS Direct ConnectやVPCに及ぶことを許可していない。

　こうしたAWSの接続設計によって、AWSがホストするVMとオンプレミスのノード間ではゼロトラストセキュリティが本質的に確保できる。そこで問題となるのは、AWS内にあるVM間のトラフィックだ。

　AWSでは、セキュリティグループを使用してVMへのネットワークアクセスを制御している。セキュリティグループは、おおまかに定義することも、綿密に定義することもできる。特定のVMには、1つだけでなく複数のセキュリティグループが適用される場合もある。

　セキュリティグループで基本的に重点が置かれるのはIPトラフィックであり、非IPトラフィックをフィルター処理する必要はない。VPCでは、1：nの通信であるブロードキャストやマルチキャストといったトラフィックはサポートしていないことに留意しておきたい。

　開発者は管理ツールの「AWSマネジメントコンソール」またはAWSのAPIを使用して、ルールを作成したり割り当てたりできる。ルールは受信トラフィックと送信トラフィックの両方に適用可能だ。デフォルトでは、送信トラフィックは全て許可し、受信トラフィックは拒否する。

　1つのVMを複数のセキュリティグループに所属させることができるなど、詳細な制御が可能だが、それが原因で接続のトラブルシューティングが困難になることがある。また「Windows」と「Linux」ではセキュリティグループが異なるので、セキュリティポリシーが競合したり、重複したりすることもある。ただしこの問題は、どのゼロトラストセキュリティ機能でも起こり得る。

関連記事

• AWSの3大ネットワーク機能を理解する

AWSの仮想ネットワーキングサービスである「Amazon VPC」、VPCと組み合わせて使用する「AWS Direct Connect」、そしてDNSサービスである「Amazon Route 53」について解説する。

• AWSのデータセンター立ち入り禁止が問題にならない理由

Google Compute Engine

　米Googleのクラウドサービス「Google Compute Engine」のネットワークは、従来のネットワークと似ている。各VMはデフォルトのネットワークに割り当てられるので、同一ネットワークのVM間でトラフィックがやりとりできるようになる。

　Google Compute Engineでは、ネットワーク間のトラフィックをブロックする論理ファイアウォールを用意する。ゼロトラストセキュリティを実現するには、VMごとにローカルのファイアウォールやLinuxが備えるファイアウォール機能「iptables」を利用するか、各VMを別々のネットワークに配置する必要がある。ただし、ローカルのファイアウォールやiptablesを利用すると管理が非常に困難になる。また、ルールに基づいた制御をするためにホストのCPUリソースが必要になるので、VMのパフォーマンスに影響を与える恐れもある。

Microsoft Azure

　Microsoftのクラウドサービス「Microsoft Azure」（Azure）のネットワークは、Google Compute Engineのネットワークと似ている。VMは論理的なプライベートネットワークでグループ化できる他、ホストレベルで適用される「エンドポイントアクセス制御リスト（ACL）」を使って制御できる。ホストレベルでルールを処理することで、ローカルVMのパフォーマンス維持を可能にする。

　Google Compute Engineと同様、Azureでは複数グループのVM群に対して、まとめてルールを適用することはできない。そのため、大規模な環境ではルールを把握することが困難になる場合がある。

関連記事

• Windows Azureを企業利用するための基礎知識

ソチオリンピック公式Webサイトの開発・運用基盤採用、日本のデータセンター開設と、Windows Azure活用ビジネスが世界的に注目されている。第1回は、Windows Azureの概要と歴史、注目すべき理由を解説する。

• クラウドセキュリティの問題を解決、「Azure Active Directory」のプレミアムさとは

　各クラウドベンダーは、ゼロトラストセキュリティとマイクロセグメンテーション用に堅牢なモデルを用意している。AzureとAWSでは、開発者はアプリケーション内部でマイクロセグメンテーションセキュリティを組み込むかどうかを選ぶことができる。この仕様により、開発者はセキュリティ要件の急速な変化に対処可能なアプリケーションを作成できる。