Google Cloud によるセキュアな IaaS アプリケーション アーキテクチャ

このウェブ アプリケーションは、ウェブサーバー（プレゼンテーション層およびロジック層を持つ）、およびデータベース層を仮想マシン（Google Compute Engine）で構成する一般的な論理３層、物理２層アーキテクチャを想定しています。

このアーキテクチャでは、このシステム専用の Virtual Private Cloud（VPC）を作成し、その中に同じセキュリティ ポリシーを適用するサブネットを作成しています。具体的には、ウェブサーバー用のサブネット、データベース サーバー用の ２ つのサブネットを作成していますが、必要に応じてその他のサブネットを作成します。その後、VPC ネットワークにファイアウォール ルールを作成し、必要最小限の通信のみを許可するように構成します。

それぞれの Compute Engine VM インスタンスは、負荷分散と可用性を考慮し、マネージド インスタンス グループで冗長構成をとっています。特に、ゾーン障害に対応するために、複数ゾーンに Compute Engine VM インスタンスを配置しています。Cloud Load Balancing により、2 つのゾーンで負荷分散を行うとともに、ゾーン障害が発生した場合、ヘルスチェックにより障害を検知し、ゾーン障害が発生したインスタンスを切り離します。このアーキテクチャおよびテンプレートでは、ウェブサーバー、およびデータベース サーバーともに 2 台ずつで構成していますが、実際の負荷やクラスタ構成などに求められる要件により、2 台以上必要となることがあります。

一般の利用者は、インターネット経由でこのウェブ アプリケーションに接続します。インターネットからの接続を、Cloud Load Balancing で受けることによりウェブサーバー インスタンスに直接外部 IP アドレスを付与することを避けます。

また、本アーキテクチャでは、Google Cloud Interconnect を用い、プライベート ネットワーク経由でオンプレミス内のサーバーやコンピューターと通信しています。なお Cloud Interconnect の接続は 2 回線以上を推奨しています。このアーキテクチャ図ではこの表現を省略しています。詳細なアーキテクチャは「Cloud Interconnect」で解説します。 また、本システムの運用監視のためいくつかのサービスを利用しています。アクセス権限を管理する Cloud IAM、ログや監視を行う Cloud Operations、クラウド リソースの自動作成、管理を行う Config Connector などが代表的なものですが、システムの要件に応じてこれ以外のサービスの利用も考えられます。運用監視については「運用監視」で、アクセス制御については「アクセス制御」で解説します。