Enter a short description of your concept here (optional).

インターネット接続型クラスタのデプロイメントでは、Kubernetesクラスタインフラストラクチャをプライベートサブネットに維持しながら、パブリックインターネットからSystemLink Enterpriseアプリケーションにアクセスできるようになります。このアーキテクチャは、以下を必要とする組織に適しています。

  • 分散チームへのリモートアクセス
  • 地理的に分散したテストシステムの管理

インターネット接続型デプロイメントとは

インターネット接続型デプロイメントでは、ユーザはHTTPSを介してパブリックインターネットからSystemLink Web UIおよびAPIにアクセスします。「インターネット接続型」という用語は、クラスタインフラストラクチャそのものではなく、アプリケーションのアクセシビリティを指します。Kubernetesクラスタノード、データベース、および内部サービスは、インターネットに直接公開されることなくプライベートサブネットに残ります。

アーキテクチャの概要

インターネット接続型SystemLinkの一般的なデプロイメントでは、以下のネットワークアーキテクチャが使用されます。

  • パブリックサブネット: インターネットからのHTTPSトラフィックを受け入れるホストロードバランサ (AzureのApplication Gateway、AWSのApplication Load Balancer)。
  • プライベートサブネット: Kubernetesクラスタノード、データベース、およびインターネットに直接アクセスできないすべてのSystemLinkサービスをホストします。
  • NATゲートウェイ: 更新のダウンロード、コンテナイメージのプル、外部サービスとの通信を行うためのクラスタノードのアウトバウンドインターネット接続を提供します。
  • イングレスコントローラ: Kubernetesクラスタで実行し、ロードバランサからSystemLinkサービスにトラフィックを経路設定します。
メモ リファレンスアーキテクチャを以下に示します。組織によっては、特定の要件や特定のクラウドプラットフォームに基づいて、異なるコンポーネントまたは異なる構成を使用してインターネット接続型アクセスを実装している場合があります。

一般的なトラフィックフローのステージ:

  1. ユーザはHTTPS経由でパブリックDNS名 (systemlink.example.comなど) に接続します。
  2. DNSはパブリックサブネットのロードバランサのパブリックIPアドレスに解決します。
  3. ロードバランサはTLS終端を実行し、プライベートサブネット内のKubernetesイングレスコントローラにトラフィックを転送します。
  4. イングレスコントローラは、要求をプライベートサブネット内の適切なSystemLinkサービスポッドに経路設定します。
  5. サービスは同じパスで応答します。

サブネットアーキテクチャと構成の詳細については、「AWS VPC」または「Azure VNet」を参照してください。

セキュリティの仕様

NIでは、インターネット接続型デプロイメントには、プライベートデプロイメントで使用される以外の追加のセキュリティ対策を推奨しています。

NIでは、SystemLinkへのすべてのインターネットトラフィックで、有効なTLS証明書を持つHTTPSを使用することを強く推奨します。NIでは、HTTPエンドポイントをパブリックインターネットに公開しないことを推奨します。

  • 証明書の取得: クラウドプロバイダから管理証明書 (AWS Certificate Manager、Azure Key Vault Certificates) を使用するか、信頼できる認証機関から証明書を取得します。
  • TLS終端: 証明書管理を簡素化するために、NIではロードバランサでTLS終端を構成することを推奨します。

NIでは、一般的なWeb攻撃から保護するために、Webアプリケーションファイアウォールをデプロイすることを推奨します。クラウドプロバイダのWAFサービス (AWS WAF、Azure Web Application Firewall) または他社製のWAFソリューションを使用できます。

DNS構成

SystemLinkエンドポイントのパブリックDNSゾーンにDNSレコードを作成します。Web UIとAPIの構成については「レイヤ7 (アプリケーション) イングレス」を、Salt Masterの構成については「レイヤ4 (TCP) イングレス」を参照してください。OIDCリダイレクトURI構成については、「IDおよびアクセス管理」を参照してください。