Azure Chaos Studio でのアクセス許可とセキュリティ

[アーティクル]
04/15/2024

Azure Chaos Studio を使用して、Azure リソースにフォールトを体系的に挿入することで、サービスの回復性を向上させることができます。フォールト挿入は、サービスの回復性を向上させる強力な方法ですが、危険を伴う可能性もあります。アプリケーションで障害を発生させると、当初意図したより多くの影響を与え、悪意のあるアクターにアプリケーションに侵入する機会を与える可能性があります。

Chaos Studio には、誤って、または不正なアクターによってフォールトが実行されないようにする堅牢なアクセス許可モデルがあります。この記事では、Chaos Studio を使用して、フォールト挿入のターゲットとなるリソースをセキュリティで保護する方法について学びます。

Chaos Studio でフォールトを挿入する機能を制限するにはどうすればよいですか。

Chaos Studio には 3 つのレベルのセキュリティがあり、リソースに対するエラーのインジェクションがいつどのように発生させられるかを制御するのに役立ちます:

まず、カオス実験は、リージョン、リソースグループ、サブスクリプションにデプロイされる Azure リソースです。ユーザーは、実験を作成、更新、開始、キャンセル、削除、または表示するための適切な Azure Resource Manager アクセス許可を持っている必要があります。

各アクセス許可は、ID に対して細かく割り当てたり、ワイルドカードアクセス許可を持つ役割の一部として割り当てたりできる Resource Manager の操作です。たとえば、Azure の共同作成者役割には、割り当てられたスコープで */write アクセス許可があり、これには Microsoft.Chaos/experiments/write アクセス許可が含まれます。

リソースに対してエラーをインジェクトする機能を制御しようとする場合、制限する最も重要な操作は Microsoft.Chaos/experiments/start/action です。この操作により、エラーをインジェクトするカオス実験が開始されます。
次に、カオス実験には、リソースに対してエラーを実行するシステム割り当てマネージド ID、またはユーザー割り当てマネージド ID があります。実験にシステム割り当てマネージド ID を使用することを選択した場合は、実験作成時に Microsoft Entra テナントに ID が作成されます。ユーザー割り当てマネージド ID は、任意の数の実験で使用できます。

カオス実験では、システム割り当てマネージド ID またはユーザー割り当てマネージド ID の選択でカスタム役割の割り当てを有効にすることを選択できます。この機能を有効にすると、Chaos Studio では、(ID の選択ではまだ存在しない) 必要な実験操作機能を含むカスタム役割を作成し、実験の ID に割り当てることができます。カオス実験でユーザー割り当てマネージド ID を使用している場合、Chaos Studio によって実験 ID に割り当てられたカスタム役割は、実験の削除後も保持されます。

実験のアクセス許可を手動で付与する場合は、その ID すべてのターゲットリソースに適切なアクセス許可を付与する必要があります。リソースに対する適切なアクセス許可が実験 ID にない場合、実験 ID はそのリソースに対してエラーを実行することはできません。
3 番目に、各リソースは、対応する機能が有効になっているターゲットとして Chaos Studio にオンボードにする必要があります。実行されているエラーのターゲットまたは機能が存在しない場合、実験はリソースに影響を与えずに失敗します。

ユーザー割り当てマネージド ID

カオス実験では、ユーザー割り当てマネージド ID を利用して、実験のターゲットリソースにエラーをインジェクトするための十分なアクセス許可を取得できます。さらに、Chaos Studio の任意の数の実験で、ユーザー割り当てマネージド ID を使用できます。この機能を利用するには、次の操作を行う必要があります:

まず、マネージド ID サービス内にユーザー割り当てマネージド ID を作成します。この時点で、カオス実験を実行するために必要なユーザー割り当てマネージド ID のアクセス許可を割り当てることができます。
次に、カオス実験を作成するときに、サブスクリプションからユーザー割り当てマネージド ID を選択します。この手順では、カスタム役割の割り当てを有効にすることができます。この機能を有効にすると、実験に含まれるエラーに基づいて必要なアクセス許可が ID に付与されます。
3 つ目は、混乱実験にすべての障害を追加した後、混乱実験を正常に実行するために必要なすべてのアクションが ID 構成に含まれているかどうかを確認することです。含まれていない場合は、システム管理者にアクセスするか、実験のエラー選択を編集してください。

エージェントの認証

エージェントベースのエラーを実行する場合は、Chaos Studio エージェントを仮想マシン (VM) または仮想マシンスケールセットにインストールする必要があります。エージェンでは、ユーザー割り当てマネージド ID を使用して Chaos Studio を認証し、'エージェントプロファイルを使用して特定の VM リソースとの関係を確立します。

エージェントベースのフォールトに対して VM または仮想マシンスケールセットをオンボードする場合は、まずエージェントターゲットを作成します。エージェントターゲットには、認証に使用されるユーザー割り当てマネージド ID への参照が必要です。エージェントターゲットには、エージェントのインストール時に構成として指定されるエージェントプロファイル ID が含まれます。エージェントプロファイルはターゲットごとに一意であり、ターゲットはリソースごとに一意となります。

Azure Resource Manager の操作と役割

Chaos Studio には次の操作があります。

操作	説明
Microsoft.Chaos/targets/[Read,Write,Delete]	ターゲットを取得、作成、更新、または削除します。
Microsoft.Chaos/targets/capabilities/[Read,Write,Delete]	機能を取得、作成、更新、または削除します。
Microsoft.Chaos/locations/targetTypes/Read	すべてのターゲットの種類を取得します。
Microsoft.Chaos/locations/targetTypes/capabilityTypes/Read	すべての機能の種類を取得します。
Microsoft.Chaos/experiments/[Read,Write,Delete]	カオス実験を取得、作成、更新、または削除します。
Microsoft.Chaos/experiments/start/action	カオス実験を開始します。
Microsoft.Chaos/experiments/cancel/action	カオス実験を停止します。
Microsoft.Chaos/experiments/statuses/Read	カオス実験の実行状態を取得します。
Microsoft.Chaos/experiments/executionDetails/Read	カオス実験の実行について、実行の詳細 (各アクションの状態とエラー) を取得します。

これらのアクセス許可を細かく割り当てるために、カスタムロールを作成することができます。

ネットワークのセキュリティ

Chaos Studio とのユーザーのすべてのやり取りは、Azure Resource Manager を通して行われます。ユーザーが実験を開始した場合、実験では、エラーに応じて Resource Manager 以外のエンドポイントとやり取りすることがあります:

サービス直接エラー: ほとんどのサービス直接エラーは Azure Resource Manager を介して実行され、許可リストに登録されたネットワークエンドポイントは必要ありません。
サービス直接 AKS Chaos Mesh の障害: Chaos Mesh を使用する Azure Kubernetes Service のサービスダイレクトエラーには、AKS クラスターの Kubernetes API サーバーへのアクセス権が必要です。
- IP 範囲のセットへの AKS ネットワークアクセスを制限する方法については、こちらを参照してください。 Chaos Studio の IP 範囲を取得するには、サービスタグ探索 API を使用して ChaosStudioサービスタグに対してクエリを実行するか、ダウンロード可能な JSON ファイルを使用します。
- 現時点では、AKS クラスターでローカルアカウントが無効になっている場合、Chaos Studio は Chaos Mesh エラーを実行できません。
エージェントベースのエラー: エージェントベースのエラーには、Chaos Studio エージェントサービスへのエージェントアクセス権が必要です。エージェントが正常に接続するには、VM または仮想マシンスケールセットにエージェントサービスエンドポイントへの送信アクセス権がある必要があります。エージェントサービスエンドポイントは https://acs-prod-<region>.chaosagent.trafficmanager.net です。 <region> プレースホルダーは、VM がデプロイされているリージョンに置き換える必要があります。たとえば、米国東部の VM の場合は https://acs-prod-eastus.chaosagent.trafficmanager.net です。
エージェントベースのプライベートネットワーク: Chaos Studio エージェントでプライベートネットワークがサポートされるようになりました。 Chaos Agent のプライベートネットワークに関する記事を参照してください。

サービスタグ

サービスタグとは、ネットワークセキュリティグループのインバウンド規則とアウトバウンド規則に割り当てることができる IP アドレスプレフィックスのグループです。これは、IP アドレスプレフィックスのグループに対する更新を、介入なしで自動的に処理します。

サービスタグを使用すると、プラットフォームの IP アドレスを知る必要なく、Chaos Studio からの受信トラフィックを明示的に許可できます。 Chaos Studio のサービスタグは ChaosStudio です。

サービスタグの制限は、パブリック IP アドレスを持つアプリケーションでしか使用できないことです。リソースにプライベート IP アドレスしかない場合、サービスタグはトラフィックをルーティングできません。

データの暗号化

Chaos Studio によって、既定ですべてのデータが暗号化されます。 Chaos Studio は、マネージド ID オブジェクト ID、実験/ステップ/ブランチ名、障害パラメーターなどのシステムプロパティに対する入力のみを受け入れます。たとえば、ネットワーク切断エラーでブロックするネットワークポート範囲があります。

これらのプロパティを使用して、支払い情報やパスワードなどの機密データを格納することはできません。 Chaos Studio でのデータの保護方法について詳しくは、「Azure での顧客データの保護」を参照してください。

カスタマーロックボックス

お客様は、ロックボックスを使用して、サポートリクエストへの対応時の Microsoft のエンジニアによる顧客実験データへのアクセス要求を承認または拒否できます。

ロックボックスは混乱実験情報に対して有効にすることができ、ロックボックスが有効になっている場合は、サブスクリプションレベルでデータにアクセスするためのアクセス許可が顧客によって付与されます。

詳細については、「Microsoft Azure 用カスタマーロックボックス」を参照してください。

次のステップ

混乱の実験をセキュリティで保護する方法を理解したら、次の準備ができました: