[Azure]Cosmos DBにIP制限をかける

Azure Cosmos DBにはセキュリティに関する機能が色々と存在しますが、今回はIP制限を試していきます。

こんにちは。
クラウドソリューショングループのimai.kです。

冒頭に記載させていただいた通り、
今回はAzureのCosmos DBに対するIPアクセス制限をかけていきます。

目次

• 今回の構成
• Cosmos DBアカウントを作成する
• 手元のPCからCosmos DBにアクセスする
• Cosmos DBアクセス用のVMを立てる
• Cosmos DBにIPアクセス制限を設定する
• VMからCosmos DBにアクセスする
• 最後に

今回の構成

簡易な構成ですが、「IP制限をかけていない場合」と「IP制限をかけた場合」の2つの状態を作ることで、IP制限を試していきます。

実際の構成は以下のようになります。

Cosmos DBアカウントを作成する

まずは、AzureコンソールからCosmos DBアカウントを作成していきます。
リージョンは東日本にしておきます。

Cosmos DBアカウント作成時のネットワーク設定において、「すべてのネットワーク」からアクセス可能にしておきます。

Cosmos DBアカウントが作成できたら、サンプルデータを作成しておきます。

手元のPCからCosmos DBにアクセスする

作成したCosmos DBはどこからでもアクセス可能な設定になっているため、まずは手元のPCからアクセスしてみます。
アクセスはCosmos DBのREST APIを使用して、curlでリクエストしてみます。
(所々マスクしています。)

curl -X POST -H "x-ms-date: Sun, 1 Aug 2021 00:00:00 GMT" -H "x-ms-version: 2018-12-31" -H "x-ms-documentdb-isquery: true" -H "Content-Type: application/query+json" -H "authorization: type%3Dmaster%26ver%3D1.0%26sig%3Dxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" -d '{"query": "SELECT * FROM c where c.id = @id", "parameters": [{"name": "@id", "value": "1"}]}' "https://xxxxxxx.documents.azure.com/dbs/xxxxxx/colls/xxxxxx/docs"

{"_rid":"noprAOFKlGw=","Documents":[{"id":"1","message":"hello","_rid":"noprAOFKlGwBAAAAAAAAAA==","_self":"dbs\/noprAA==\/colls\/noprAOFKlGw=\/docs\/noprAOFKlGwBAAAAAAAAAA==\/","_etag":"\"0000bf03-0000-2300-0000-611134100000\"","_attachments":"attachments\/","_ts":1628517392}],"_count":1}

上記リクエストではCosmos DBに対してクエリを投げています。
レスポンスとして先ほど作成したサンプルデータが返却されたため、アクセスできることが確認できました。

Cosmos DBアクセス用のVMを立てる

後続のステップでCosmos DBのIP制限を行うために、
Cosmos DBへのアクセスを許容するVMを立て、IPアドレスを付与しておきます。

VMのOSはなんでも大丈夫ですが、今回はCentOSの7.9で試しました。
VMができたらSSHして、先ほどと同様にCosmos DBにリクエストしてみます。

curl -X POST -H "x-ms-date: Sun, 1 Aug 2021 00:00:00 GMT" -H "x-ms-version: 2018-12-31" -H "x-ms-documentdb-isquery: true" -H "Content-Type: application/query+json" -H "authorization: type%3Dmaster%26ver%3D1.0%26sig%3Dxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" -d '{"query": "SELECT * FROM c where c.id = @id", "parameters": [{"name": "@id", "value": "1"}]}' "https://xxxxxxx.documents.azure.com/dbs/xxxxxx/colls/xxxxxx/docs"

{"_rid":"noprAOFKlGw=","Documents":[{"id":"1","message":"hello","_rid":"noprAOFKlGwBAAAAAAAAAA==","_self":"dbs\/noprAA==\/colls\/noprAOFKlGw=\/docs\/noprAOFKlGwBAAAAAAAAAA==\/","_etag":"\"0000bf03-0000-2300-0000-611134100000\"","_attachments":"attachments\/","_ts":1628517392}],"_count":1}

同じようにレスポンスが返れば問題ありません。

Cosmos DBにIPアクセス制限を設定する

Cosmos DBにIPアクセス制限を設定します。
Cosmos DBアカウントの「ファイアウォールと仮想ネットワーク」を開き、「選択したネットワーク」にチェックをつけます。
すると、アクセス許可のIPアドレス入力欄(赤枠部分)が表示されるので、先ほど作成したVMのIPアドレスを入力し保存します。

反映には5-10分ほどかかるようです。

IP制限が機能しているか試す

設定したアクセス制限が機能しているか試します。

まずはVMからAPIを叩くと、

curl -X POST -H "x-ms-date: Sun, 1 Aug 2021 00:00:00 GMT" -H "x-ms-version: 2018-12-31" -H "x-ms-documentdb-isquery: true" -H "Content-Type: application/query+json" -H "authorization: type%3Dmaster%26ver%3D1.0%26sig%3Dxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" -d '{"query": "SELECT * FROM c where c.id = @id", "parameters": [{"name": "@id", "value": "1"}]}' "https://xxxxxxx.documents.azure.com/dbs/xxxxxx/colls/xxxxxx/docs"

{"_rid":"noprAOFKlGw=","Documents":[{"id":"1","message":"hello","_rid":"noprAOFKlGwBAAAAAAAAAA==","_self":"dbs\/noprAA==\/colls\/noprAOFKlGw=\/docs\/noprAOFKlGwBAAAAAAAAAA==\/","_etag":"\"0000bf03-0000-2300-0000-611134100000\"","_attachments":"attachments\/","_ts":1628517392}],"_count":1}

先ほど同様問題なく成功しました。

次にPCから実行します。

curl -X POST -H "x-ms-date: Sun, 1 Aug 2021 00:00:00 GMT" -H "x-ms-version: 2018-12-31" -H "x-ms-documentdb-isquery: true" -H "Content-Type: application/query+json" -H "authorization: type%3Dmaster%26ver%3D1.0%26sig%3Dxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" -d '{"query": "SELECT * FROM c where c.id = @id", "parameters": [{"name": "@id", "value": "1"}]}' "https://xxxxxxx.documents.azure.com/dbs/xxxxxx/colls/xxxxxx/docs"

{"code":"Forbidden","message":"Request originated from client IP xxx.xxx.xxx.xxx through public internet. This is blocked by your Cosmos DB account firewall settings. More info: https://aka.ms/cosmosdb-tsg-forbidden\r\nActivityId: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, Microsoft.Azure.Documents.Common/2.14.0"}

今度はリクエストが拒否されたため、IP制限が機能していることが確認できます。

最後に

以上のように、Cosmos DBに対するIPアクセス制限が実現できました。
簡単に制限をかけることができますが、反映にラグがあるため本番運用中のシステムなどはオペレーションに要注意ですね！