メインコンテンツまでスキップ

ネットワークおよびファイアウォール要件

SDA Gateway の接続性とセキュリティ要件​

概要​

SDA Gateway が SDA Cloud サービスと安全に通信するには、アウトバウンド専用のインターネット接続が必要です。
すべての SDA サービスドメインは、Amazon Root CA 1 証明機関 によって署名された証明書を使用します。
適切な SSL/TLS 検証を有効にするため、システムの信頼された証明書ストアにこのルート証明書が含まれていることを確認してください。

セキュリティ上の考慮事項​

  • インバウンド接続は不要
    Gateway はすべての通信をアウトバウンドで開始します。インバウンドのファイアウォールルールやポートフォワーディングは必要ありません。
  • ポート 443 のみ
    すべての SDA トラフィックは標準の HTTPS/SSL over TCP 443 を使用するため、ファイアウォール設定が簡素化され、通常は企業のセキュリティポリシーと整合します。
  • DNS 要件
    以下をサポートするため、すべての SDA ドメインに対して DNS 名前解決が利用可能である必要があります:
    • 負荷分散
    • サービスディスカバリ
    • SDA Cloud エンドポイント間のフェイルオーバー
  • プロキシ対応

テナント固有のドメイン​

SDA サービスはテナントごとにスコープされます。{tenant_id} と記載されている箇所はすべて、SDA サポートから提供されたテナント ID に置き換えてください。

例
テナント ID:
11111111-2222-3333-4444-555555555555

テナントドメイン:
11111111-2222-3333-4444-555555555555.eu1.sdaconsole.io

このドメイン、およびその配下のワイルドカードは、Gateway から到達可能である必要があります。

必要なドメインとポート​

ドメインポートプロトコル説明
iot.eu1.sdaconsole.io443SSL/TCP (WebSocket Secure)AWS IoT ブローカー – メッセージ交換、テレメトリ、コマンド/制御のための永続的かつセキュアな接続を維持します。
{tenant_id}.eu1.sdaconsole.io
*.{tenant_id}.eu1.sdaconsole.io		443HTTPS, SSL/TCP (OpenVPN)テナント接続サーバー – オンデマンドで動的な VPN トンネルを確立するために使用されます。DNS は負荷分散されたリストを返します。
api.eu1.sdaconsole.io443HTTPSSDA API – Gateway の認証、コントロールプレーン操作、Web コンソールへのアクセス。主にオンボーディング/初期セットアップ時に使用されます。
repository.eu1.sdaconsole.io443HTTPSアプリケーションリポジトリ – SDA コンポーネント、Glue の更新、エージェントパッケージ、セキュリティパッチのダウンロード。インストール時および定期的な更新確認時に使用されます。
repository.sdaconsole.io (オプション)443HTTPSグローバルリポジトリミラー – 代替の更新ソース（拡張予定）。

SDA サービスにおけるトラフィック検査​

一部の組織では、エグレストラフィックに対して SSL インスペクション/TLS インターセプト（例: Zscaler SSL Inspection、Palo Alto Decryption）を使用しています。SDA サービスは Amazon Root CA 1 にチェーンされた証明書を使用するため、これらのツールが SDA 証明書を改変または再署名すると、SDA の接続が切断される可能性があります。

接続障害を回避するには:

  1. SDA ドメインのバイパス/検査除外
    上記の SDA ドメイン（API、IoT、テナントドメイン、リポジトリ）を検査除外リストに追加してください。
  2. MQTT over WebSocket Secure (WSS) の許可
    SDA IoT メッセージングは ポート 443 上の WSS による MQTT を使用します。このプロトコルが許可されていることを確認してください。
  3. SSL オーバーレイを伴う VPN トンネル
    企業 VPN を使用し、かつトラフィックが検査される場合は、検査が SDA へのエンドツーエンド TLS を妨げないよう、トンネルが SSL オーバーレイをサポートしていることを確認してください。

検査をバイパスできない場合は、承認された証明書および検査の挙動について SDA チームと調整してください。

ファイアウォールのホワイトリスト登録とネットワーク検証チェックリスト​

これを顧客の IT/セキュリティ部門への引き継ぎ資料として使用してください。

カテゴリ項目要件/検証手順ステータス (✓/✗)
ネットワーク接続アウトバウンドインターネットGateway がインターネットへアウトバウンド専用のセッションを開始できる。
ポート 443SDA ドメインに対して TCP 443 がアウトバウンドで開放されている。
DNSDNS が上記のすべての SDA ドメインを解決できる。
証明書と暗号化Amazon Root CA 1TLS 検証が成功するよう、ルート CA が信頼ストアに存在する。
TLS / SSL インスペクションエグレス検査が SDA 証明書を置き換えない、または SDA ドメインがバイパスされている。
トラフィック検査 / VPNSSL インスペクションのバイパスSDA ドメインが SSL/TLS インターセプト（Zscaler、Palo Alto など）から除外されている。
MQTT over WSSポート 443 上の WSS が許可されている（IoT ブローカーが使用）。
VPN オーバーレイVPN を使用する場合、SDA Cloud へのエンドツーエンド TLS が許可されている。
テナント設定{tenant_id} ドメイン{tenant_id}.eu1.sdaconsole.io および *.{tenant_id}.eu1.sdaconsole.io に到達できる。
リポジトリアクセス更新更新およびパッチのために repository.eu1.sdaconsole.io に到達できる。

検証手順（CLI 対応）​

  1. DNS

    nslookup api.eu1.sdaconsole.io
    nslookup iot.eu1.sdaconsole.io
    nslookup <your-tenant-id>.eu1.sdaconsole.io

  2. HTTPS / ポート 443

    curl -v https://api.eu1.sdaconsole.io

  3. TLS チェーン

    openssl s_client -connect api.eu1.sdaconsole.io:443 -servername api.eu1.sdaconsole.io

    チェーンが Amazon Root CA 1 で終端していることを確認してください。

  4. Gateway ログ
    Gateway のシステム/サービスログで、MQTT (WSS) および HTTPS セッションが正常に確立されているか確認してください。

  5. 更新テスト
    リポジトリの同期またはエージェントの更新を実行し、ダウンロードアクセスを検証してください。

ネットワークトポロジ図​

Architecture/SDA Connectivity Services では、SDA Gateway の複数の構成について概説しています。 \


サポート​

上記のいずれかのチェックが失敗した場合、またはご利用の環境で SSL インスペクションをバイパスできない場合は、次の窓口までご連絡ください:

SDA サポート
📧 support@softwaredefinedautomation.io

以下の情報を含めてください:

  • テナント ID
  • Gateway のバージョン
  • 接続テストの出力（curl / openssl / nslookup）のコピー&ペースト
  • 関連するファイアウォールログ（443 のブロック、TLS の失敗）