Secure Web Proxy の概要

Secure Web Proxy は、組織の内部ネットワークから送信されるすべてのウェブ トラフィック（HTTP と HTTPS）を保護するのに役立ちます。ゲートウェイとして Secure Web Proxy を明示的に使用するようにクライアントを構成すると、Secure Web Proxy は、組織外のウェブサイトにアクセスしようとするアプリケーションまたはサービスにとって必須のセキュリティ チェックポイントになります。

利点

Secure Web Proxy には、次のような主な利点があります。

  • メンテナンス不要 。ポリシーを設定すると、Secure Web Proxy がサーバー、パッチ適用、スケーリングを管理し、トラフィックの増加に応じて容量を自動調整します。

  • 柔軟で再利用可能なルール 。Secure Web Proxy では、セキュリティ ポリシーはプロキシ自体から分離されています。管理者は、一貫した管理を確保するために、一連のアクセスルールを作成し、組織のさまざまな部分にある複数のプロキシにルールを適用します。

  • 強力なデフォルト セキュリティ 。Secure Web Proxy には、明示的に許可するまで、すべての下り（外向き）トラフィックをブロックするデフォルトの deny-all設定があります。 Google Cloud は、すべての ソフトウェアとインフラストラクチャのアップデートを自動的に処理するため、 セキュリティの脆弱性の継続的なリスクを最小限に抑えることができます。

  • ID 認識型のアクセス制御 。Secure Web Proxy は、 リクエストの送信元（IP アドレス）とリクエストの送信者 （ユーザーまたはサービス ID）を確認するため、アクセス はネットワークの場所だけでなく、ユーザーのロールとニーズに基づいて行われます。ID は、 サービス アカウント、セキュア タグ、またはフロントエンド mTLS を使用して検証されるクライアント 証明書によって提供される ID にすることができます。Secure Web Proxy を使用すると、「ファイナンス チームのメンバーのみがこの銀行のウェブサイトにアクセスできる」など、非常に具体的なルールを作成できます。

  • 統合されたトラフィック ロギングと監査 。Secure Web Proxy を通過するすべてのウェブ トラフィックは、 Google Cloudで一元的にロギングおよび監査されます。 すべての下り（外向き）アクセスに関する単一の明確な信頼できる情報源により、アクティビティの追跡、セキュリティ インシデントの調査、コンプライアンス要件の遵守が可能になります。

  • 一元化された検査 。Secure Web Proxy は、クラウド ワークロードと接続されたオフィスからの下り（外向き）ウェブ リクエストを単一の検査ポイントに統合し、一貫したポリシー適用を実現します。

  • ポート管理の簡素化 。Secure Web Proxy インスタンスをネクストホップとしてデプロイする場合は、必要に応じてすべてのポート（1～65535）でリッスンできます。この機能により、特定のポートを列挙する必要がなくなり、複数のポートを使用する動的な環境やサービスに便利です。 all_ports機能の使用に関する制限については、 制限事項をご覧ください。

  • 分散トレース 。 Cloud Trace と OpenTelemetry との組み込みの統合により、 内部ワークロードから Secure Web Proxy を介した下り（外向き）リクエストのライフサイクル全体をトレースできます。この機能を使用すると、レイテンシのボトルネックを特定し、リクエストのライフサイクルを分析できます。

サポートされている機能

Secure Web Proxy は、次の機能をサポートしています。

  • Secure Web Proxy Envoy プロキシの自動スケーリング: Secure Web Proxy は、Envoy プロキシプールのサイズとリージョン内のプールの 容量を自動的に調整します。これにより、 需要が高い期間に最も低コストで、一貫したパフォーマンスが可能になります。自動スケーリング機能は、リージョン内の容量調整を自動的に管理します。つまり、プロキシ フリートを手動でモニタリングしてサイズを変更する必要がないため、運用時間を短縮してパフォーマンスを向上させることができます。

  • モジュール型下り（外向き）アクセス ポリシー: Secure Web Proxy は、次のアクションで下り（外向き） トラフィックを管理します。

    • フロントエンド相互 TLS（mTLS）で暗号的に検証されたセキュアタグ、サービス アカウント、IP アドレス、クライアント証明書 ID を使用して、ソース エンティティを識別します。
    • TLS インスペクションを有効にするか、暗号化されていない HTTP を使用する場合は、ホスト名または URL で宛先ターゲットをフィルタします。
    • トラフィックが暗号化されていない HTTP の場合、または TLS インスペクションが有効になっている場合は、メソッド、ヘッダー、URL などのリクエスト属性を評価します。

    ポリシー（送信元、宛先、リクエスト）のモジュール性により、さまざまなチームが特定の再利用可能なルール コンポーネントを作成して管理できます。中央管理者は、複数のプロキシが個別のポリシーで参照できる URL リストを定義できます。

  • サービス レート制限: Secure Web Proxy は、 下り（外向き）ウェブ トラフィックにトラフィック上限を適用し、リソースを大量に消費するクライアントが サービス容量を使い果たしたり、大規模言語モデル（LLM）トークンに関連する過剰なコストが発生したりするのを 防ぎます。サービス レート制限ポリシーは、ゲートウェイ セキュリティ ポリシーまたは認可ポリシーで構成されたゲートウェイに接続できます。レート制限 ポリシー を使用すると、リクエスト数や特定の クライアント ID（mTLS プリンシパルや送信元 IP アドレスなど）に基づいてトラフィックの優先順位付けやスロットリングを行うことができます。

  • エンドツーエンドの暗号化: クライアントとプロキシ間のトンネルは TLS を介して転送できます。 Secure Web Proxy は、宛先サーバーへのクライアントが開始したエンドツーエンドの TLS 接続用に HTTP と HTTPS CONNECT もサポートしています。

    この重要なセキュリティ対策は、サービスによって自動的に管理されるため、暗号化基準を手動で構成またはモニタリングしなくてもトラフィックを保護できます。

  • Cloud Audit Logs と Google Cloud Observability の統合: Google Cloud Observability を使用すると、Cloud Audit Logs は、Secure Web Proxy の管理アクション（ポリシーの変更）とアクセス リクエストと指標（プロキシ トランザクション ログ）の両方を記録します。この統合された組み込みビューにより、セキュリティ モニタリングとコンプライアンス レポートが容易になります。

  • グローバル アクセス: Secure Web Proxy では、プロキシ インスタンスの作成時にグローバル アクセスを有効にするオプションが用意されています。この機能を使用すると、特定のローカル リージョンのクライアントだけでなく、任意の Google Cloud リージョンのクライアントがプロキシに接続できるようになります。この機能により、インフラストラクチャの復元力が向上し、カスタマイズされた下り（外向き）トラフィック要件など、リージョンをまたぐユースケースをサポートできます。詳細については、 Secure Web Proxy のグローバル アクセスを構成するをご覧ください。

Secure Web Proxy の仕組み

Secure Web Proxy は、組織のネットワークからインターネットへのすべてのウェブ トラフィックに対して必須のセキュリティ チェックポイントとして機能します。内部ワークロードは、インターネットにアクセスする前に、Secure Web Proxy のセキュリティ ルールに準拠する必要があります。

  1. 一元化されたゲートウェイ: 仮想マシン（VM）や コンテナなどのワークロードは、すべての下り（外向き）ウェブ リクエストを 一元的な Secure Web Proxy インスタンスに送信するように構成されます。

  2. ポリシーの適用: プロキシはリクエストを検査し、 セキュリティ ポリシーを適用して、接続を許可するか拒否するかを決定します。

  3. アウトバウンド トラフィックの保護: リクエストが許可されると、トラフィックは 通常は Cloud NAT の Google Cloud インフラストラクチャを使用して、インターネットに安全にルーティングされます。プロキシは Cloud DNS を使用して、外部ウェブ アドレスを解決します。

ポリシーとルール

Secure Web Proxy インスタンスでは、次のポリシーとルールを構成できます。

  • 認可ポリシー: これらのポリシーを使用すると、Secure Web Proxy インスタンスを介して下り（外向き）リクエストを処理するときに、ID ベースまたは宛先ベースのアクセス 制御チェックを確立できます。認可ポリシー （AuthzPolicy） を構成して、 インターネットにアクセスするソース ワークロードまたはエージェントの ID を検証できます。

  • ゲートウェイ セキュリティ ポリシー: これらのポリシーは、 特定のゲートウェイの全体的なセキュリティ基準を定義します。ゲートウェイ セキュリティ ポリシーは、セキュリティ手順のメイン コンテナです。

  • ゲートウェイ セキュリティ ルール: すべてのゲートウェイ セキュリティ ポリシー内で、1 つ以上のゲートウェイ セキュリティ ルールを追加できます。これらのルールは、さまざまな条件に基づいてトラフィックを許可または拒否する個別の手順です。

  • サービス レート制限ポリシー: これらのポリシーを使用すると、下り（外向き）ウェブ トラフィックに対してクライアント固有のレート制限とサービス全体のレート制限を適用できます。レート制限は 1 分あたりのリクエスト数に基づいて構成し、これらの制限を特定のクライアントまたはクライアント グループに関連付けることができます。

導入モード

Secure Web Proxy インスタンスは、次のいずれかのモードでデプロイできます。

  • 明示的なプロキシ ルーティング モード: この モードでは、プロキシ サーバーを直接参照するようにワークロード環境とクライアントを 明示的に構成する必要があります。Secure Web Proxy は、クライアントをインターネットから分離します。このように、Secure Web Proxy は仲介として機能し、クライアントの新しい TCP 接続を確立し、すべての接続が管理されたセキュリティ ポリシーの要件を満たすようにします。

  • Private Service Connect サービス アタッチメント モード: このモードでは、複雑なマルチ VPC アーキテクチャ全体でウェブプロキシのデプロイを一元化できます。

  • ネクストホップ モード: このモードでは、ネットワーク内のルーティングのネクストホップとして機能するように Secure Web Proxy インスタンスを 構成できます。つまり、下り（外向き）トラフィックを Secure Web Proxy インスタンスに自動的に送信するようにネットワーク ルーティングを構成できます。このデプロイ方法では、プロキシを使用するようにソース ワークロードまたはクライアントを手動で構成する必要がないため、組織の管理オーバーヘッドが軽減されます。

制限事項

  • IP バージョン: Secure Web Proxy は IPv4 のみをサポートしています。IPv6 はサポートされていません。

  • HTTP バージョン: Secure Web Proxy は HTTP/0.9、1.0、1.1、2.0 バージョンをサポートしています。HTTP/3 はサポートされていません。

  • デプロイ スコープ: Secure Web Proxy インスタンスは、サービス プロジェクトではなく、 ホスト プロジェクトにのみデプロイできます。

その他の Google Cloud ツール

Secure Web Proxy を次の Google Cloud ツール と統合して、ワークロードとアプリケーションの全体的なセキュリティ ポスチャーを強化できます。

次のステップ