メインコンテンツまでスキップ

SDA Gateway

SDA Console は https://app.eu1.sdaconsole.io/ からアクセスでき、産業用接続インフラストラクチャの作成と管理のための中央管理プラットフォームとして機能します。テナントアカウントのオンボーディングプロセスを完了した後、Gateway を作成し産業用デバイスをリンクすることで、ネットワークトポロジーの構成を開始できます。

セットアッププロセスは主に 2 つのステップで構成されます。まず、産業用ネットワークと SDA Cloud サービスの間の安全なブリッジとして機能する接続 Gateway を宣言し、次に Gateway がアクセスを提供する産業用デバイス（PLC、HMI、ロボットなど）を作成してリンクします。

SDA Gateway に関する関連情報​

SDA Gateway は各四半期リリースにおいて中心的な役割を果たし、オンプレミスの産業用ネットワークと SDA クラウドプラットフォームの間の安全なブリッジとして機能します。Gateway がシステム全体の設計およびセットアップにどのように適合するかの詳細については、以下の情報を参照してください。

概要​

暗号化された VPN トンネルを介して製造ネットワークとクラウドサービスを橋渡しする、安全な産業用接続サービスです。SDA Connectivity Service は、Linux および Windows ホスト向けに提供される Gateway 用アプリケーション SDA Glue に依存しています。本サービスは SoftEther VPN を基盤としており、Windows クライアントでは OpenVPN をサポートし、Gateway 内のネットワークインターフェースと IDEaaS、Backup、Deployment VM などの SDA クラウドサービスとの間に安全な TCP トンネルを確立します。

また、OS ネイティブのファイアウォール（Linux の iptables および Windows Filtering Platform (WFP)）と NAT テーブルを組み合わせ、Siemens TIA Portal や Rockwell Studio 5000 のようなベンダー固有のソフトウェアを製造制御レイヤーのデバイスと直接橋渡しします。

主なポイント​

SDA による産業資産の管理は、製造環境とクラウドベースのサービスとのギャップを埋める、包括的で安全な産業用接続ソリューションによって実現されています。実績のある技術を活用し、堅牢なセキュリティ対策を実装することで、本サービスは産業オートメーションおよび制御システムに特化したエンタープライズグレードの接続性を提供します。

産業グレードのセキュリティ​

  • AWS IoT Core との統合により、きめ細かなアクセス制御ポリシーを備えた安全な TLS 接続を提供します。
  • 産業用 IoT のセキュリティのベストプラクティスに従い、管理者はデバイスのプロパティやコンテキストに基づいてアクセスを制限できます。

実績のある VPN 基盤​

  • SoftEther VPN を利用し、AES 256 ビットおよび RSA 4096 ビットの暗号化を、高速スループット性能と低メモリ・低 CPU 使用率で提供します。
  • 転送中のデータを盗聴や不正アクセスから保護し、セキュリティと性能が重要となる産業用アプリケーションに最適です。

ゼロトラストネットワークアクセス​

  • オンデマンドで接続を確立することにより、従来の静的 VPN が不要になります。
  • この Point-to-Point アーキテクチャにより、ユーザーはネットワークセグメント全体ではなく、明示的に許可されたデバイスにのみアクセスでき、攻撃対象領域を大幅に削減します。

工場に適した設計​

  • すべての接続は Gateway から外向きに開始されるため、製造環境におけるインバウンドのファイアウォールルールは不要です。
  • この設計は既存の産業用セキュリティアーキテクチャを尊重しつつ、安全なリモートアクセス機能を提供します。

アーキテクチャ​

仮想ネットワーク内のピアは Nodes と呼ばれ、Connectivity Service の主要なコンポーネントです。
各接続は、それぞれ特定の役割を持つ Node の連鎖の相互作用によって構築されます。

Devices​

通常は製造用のセキュアネットワーク内に配置され、IP アドレスによってアクセス可能な産業資産（例: PLC、HMI、ロボット）です。

  • Device は各テナントごとに SDA Console で宣言され、ユーザーアクセスはロールベースアクセス制御（RBAC）で管理されます。
  • 接続には、すべての Device が少なくとも 1 つのネットワーク Gateway とリンクされている必要があります。

Gateways​

インターネットおよび SDA Console で管理される Device への安全なアクセスを持つネットワークホストです。

  • 通常は IPC、VM、コンテナ、Raspberry Pi などで、Tenant Server などの SDA Cloud リソースにアクセスするために特定のルールを必要とするファイアウォールゾーンに配置されます。
  • すべての Gateway は SDA Glue を実行します。これは接続リクエストを待ち受け、テレメトリデータを提供する OS サービスです。

Tenant Servers​

セキュアな SDA Cloud 環境で実行され、各テナント専用に割り当てられる踏み台ホストです。

  • Gateway のネットワークインターフェースを SDA Service VM または別の Gateway と橋渡しします。
  • Point-to-Point 接続のみを保証するために必要なフィルタリングポリシーを保証します（例: IDEaaS から特定の PLC へのみ接続でき、同一ネットワーク内の他デバイスへは接続できない）。
  • 接続ごとの資格情報ローテーションポリシーに基づいて、Gateway からのアクセスを認証します。

Service VMs​

IDEaaS、Backup、Deployment Pipeline など、SDA サービスに必要なアプリケーションを実行します。

  • これらの VM は Connectivity Service を利用して、IP アドレスによりネットワークレイヤーで Device にアクセスします。これは産業用アプリケーションにとって不可欠です。

Cloud​

従来の静的 VPN を使用する代わりに、SDA Connectivity Service はリクエストに応じて産業資産への接続を確立します。これらのリクエストは、SDA サービスと Device の間で Point-to-Point ネットワークアクセスを提供するために連携する Node の連鎖へ転送されます。

製造ネットワークにおいては、すべての接続が Gateway から開始されるため、工場側でインバウンド接続ルールは不要です。これを実現するため、Node は AWS IoT Core を基盤とする IoT メッセージブローカーで受信リクエストを常時待ち受けています。

このアーキテクチャにより、ユーザーはインターネットのある場所であればどこからでも、ブラウザのみに依存して任意のコンピューターから工場内の資産を操作できます。

Network​

Gateway は製造制御レイヤーとインターネットの間に位置するエッジデバイスであり、Console で定義された資産への制御されたアクセスを SDA サービスに提供します。
SDA Cloud とローカルインフラストラクチャを安全に橋渡しするアーキテクチャを確立することが重要です。

Gateway については、以下の 2 つの提案されたセットアップのいずれかを推奨します。

LAN 内の Gateway​

最も一般的なアプローチで、Gateway は SDA プラットフォームにオンボードされた PLC の近くに配置されます。

  • ファイアウォールが Gateway からインターネットへのアウトバウンド接続を厳格に制御します。
  • Gateway は自身が配置されたサブネットにアクセスできますが、ネットワークのルーターにアクセス制御レイヤー（ACL）としてファイアウォールを設けることもできます。
  • 2 つのネットワークインターフェースを持つ Gateway デバイスを使用するのが一般的です。1 つは DMZ に、もう 1 つは制御レイヤーに接続します。
  • このアーキテクチャでは、重複する IP ゾーン（例: 双方ともサブネット 10.0.0.0/24）が可能です。

DMZ 内の Gateway​

このアプローチは、Gateway がサーバーインフラストラクチャ内の専用仮想マシンで実行される場合によく用いられます。

  • IT チームが VM と制御レイヤーの対象 PLC の間に特別なルートを提供し、インターネット側と OT アクセス経路の双方にファイアウォールが存在する可能性があります。
  • PLC への下流方向で Network Address Translation (NAT) が存在する場合があります。
    • 注意が必要です: 一部の PLC ベンダー固有ソフトウェアは IP エイリアシングに対応しておらず、構成されたプロジェクト IP で接続する必要があります。
  • 衝突を避けるため、製造ユニット内のすべての PLC は一意の IP アドレスを持つ必要があります。
  • ネットワークインフラストラクチャによっては、Gateway から PLC へのレイヤー 2 アクセスが機能しない場合があります。これは SDA サービスにおけるリアルタイム産業用ネットワーク統合のための今後の機能です。

ソフトウェア​

SDA Glue は OS サービスとして実行されるアプリケーションであり、自動起動およびエラー時の自動再起動により Gateway の高可用性を確保します。

インターフェース、ルート、ファイアウォールルールなどのネットワークリソースを管理してネットワークトンネルを確立するため、システムユーザーとしての権限昇格が必要です。

自動更新​

自動更新はデフォルトで無効になっており、SDA Console の Gateway 構成セクションから、またはデバイスの CLI から次のコマンドで有効化できます。

sdaglue config set --update.auto true

Glue サービスは repository.eu1.sdaconsole.io から最新の安定版バージョンを読み取り、アクティブな接続がなくなった時点で更新を適用します。

更新メカニズム:

  • 新しいアプリケーションバイナリをダウンロードします
  • 古いバイナリを置き換えます
  • サービスを再起動します

AWS IoT Core 接続​

AWS IoT Core はログイン時に、エンドポイント iot.eu1.sdaconsole.io を使用して接続されます。

接続後、Glue サービスは以下を行います。

  • SDA Cloud からのリクエストを常時待ち受けます
  • Gateway に関連付けられた Device のステータスなどのテレメトリデータを公開します

IoT 認証は以下によって保護されます。

  • SDA Console から取得する short ID とワンタイムパスワード（OTP）
  • アプリケーションバイナリに埋め込まれたシークレットキー

IoT への接続は次のいずれかを使用するよう構成できます。

  • MQTT SSL、または
  • WebSocket Secure、いずれもポート 443 上

プラットフォームの違い​

ネットワークメカニズムは Linux と Windows で異なります。
そのため、それぞれ個別に説明します。

Linux​

Linux 上の SDA Glue は SoftEther VPN Client に依存しています。これはオープンソース（Apache License 2.0）であり、Glue のインストール時に repository.eu1.sdaconsole.io 上の SDA のミラーからインストールされます。

各接続について:

  • Glue は SoftEther Client を使用して NIC ネットワークインターフェースを作成し、Tenant Server に接続します。
  • Linux IP ツールを使用してそのインターフェースに IP アドレスを割り当て、Service VM と対象 Device の間に必要なルートを作成します。

内部ファイアウォールルールと NAT 変換は iptables に作成され、以下のように動作します。

  • Gateway への着信ネットワークパケットを許可しません
  • 対象 Device へのパケット転送のみを行います

Windows​

Windows 上の SDA Glue は SoftEther VPN Client の組み込み利用をサポートしていません。
そのため、OpenVPN Community Open-Source Client（GPL ライセンスバージョン 2）を使用し、Glue のインストール時に repository.eu1.sdaconsole.io 上の SDA のミラーからインストールされます。

各接続について:

  • Glue は OpenVPN TAP ドライバーを使用してネットワークインターフェースを作成し、証明書ベースの認証を用いて Tenant Server に接続します。
  • Windows ネイティブ API を使用してインターフェースに IP を割り当て、Service VM と対象 Device の間に必要なルートを作成します。

Glue はまた、Windows Filtering Platform (WFP) を使用して専用のレイヤーとファイアウォールルールを作成します。
ただし、Service VM と Device の間のアドレス変換を宣言するために WinNAT（または NetNat）に依存しており、これらはデフォルトでは有効になっていない場合があります。

まとめ ​

SDA Connectivity Service は、産業用接続の課題に対して成熟した、安全かつスケーラブルなソリューションを提供します。

SoftEther VPN のような実績のあるオープンソース技術と、AWS IoT Core によるエンタープライズグレードのクラウドインフラストラクチャを組み合わせることで、本サービスは産業運用が求める信頼性とセキュリティを提供しつつ、現代のエンジニアリングチームが期待する柔軟性と使いやすさを実現します。

本サービスのアーキテクチャは産業用セキュリティの原則を尊重しながら、以下を推進するデジタルトランスフォーメーションの取り組みを可能にします。

  • 運用効率
  • リモートコラボレーション
  • データ駆動型の意思決定

ネットワークセキュリティや運用の信頼性を損なうことなく産業資産をクラウドサービスに安全に接続しようとする組織にとって、SDA Connectivity Service は包括的で本番環境に対応したソリューションを提供します。