IAP on LIFELOG

IAP経由のSSHはどこまで監査できるのか。OS LoginとVMログを実測した

Sat, 12 Sep 2026 00:00:00 +0900

概要
#

外部IPを付けず、tcp/80 も開けずに、VM 上の HTTP を見たい。IAP の SSH ポートフォワードでできます。許可するのは IAP の範囲からの tcp/22 だけです。

ただ、そのあとに困ることが2つあります。

誰に何の権限を渡せばいいのか。 公式の手順どおりに書いたつもりで、自分では繋がるのに他の人が繋がらない、ということが起きます。

誰が何をしたか、どこまで残るのか。 踏み台を置かない構成なので、監査の材料がどこにあるのか分かりにくくなります。

この2つを実測します。接続手順そのものはサンプルの README にあるので、ここでは扱いません。

Google Cloud の Compute Engine を触ったことがある人向けです。外部IPなしの VM への接続経路を決めようとしている場面を想定しています。IAP の Web アプリ向け機能と、Organization Policy による追加要件は扱いません。

検証環境
#

Terraform v1.14.3、hashicorp/google v7.46.0
Google Cloud SDK 562.0.0
Ops Agent 2.70.0、Debian 12

使用するコードは Advanced-Examples/07-iap-ssh-port-forwarding です。

TerraformでGKEプライベートクラスタと踏み台VMを作成してみた

Mon, 31 Aug 2026 00:00:00 +0900

概要
#

これまでのGKE記事（Basic編、Workload Identity編）は、コントロールプレーンも外部から到達できるパブリックエンドポイントのクラスタでした。実務ではコントロールプレーンを公開しないプライベートエンドポイントが基本です。

ただしプライベートエンドポイントにすると、kubectlを直接実行する経路がなくなります。VPCの外からは、Clusterが存在することさえAPIを通して確認できません。

そこでVPC内に踏み台（bastion）VMを置き、kubectlはすべて踏み台経由で実行する構成にします。踏み台自体もIAP TCP forwarding経由でのみSSHでき、外部IPを持ちません。

Terraformの基本操作と、IAP SSH（GCE + IAP編）は前提としています。

Redis Memorystoreとの連携、Internal HTTP Load Balancerは扱いません。Podからの実際のWorkload Identity呼び出しも扱いません。これらは本記事の構成を土台に、別記事で扱う予定です。

検証すること
#

コントロールプレーンもノードも外部IPを持たないGKE Standardクラスタを作成できること
master_authorized_networksで接続元を踏み台Subnetだけに絞れること
踏み台VM経由でのみkubectlが実行できること
Artifact Registryのイメージが実際にPodとして配信できること（Node起動確認とは別）

前提環境
#

Google Cloud CLI、Terraform、Docker
Billingが有効な検証用Google Cloud Project
GKE、Compute Engine、IAM、Artifact Registryを操作できるGoogleアカウント
検証時のバージョン：Terraform 1.14.3、google 7.43.0

今回の構成
#

踏み台はGKE用とは別のSubnetに置きます。コントロールプレーンへの接続を、この踏み台SubnetのCIDRだけに絞るためです。IAPとArtifact RegistryはVPCの外にある、Google管理のサービスです。

Terraformで外部IPなしのGCEへIAP経由でSSH接続してみた

Tue, 11 Aug 2026 00:00:00 +0900

概要
#

管理用の22番Portをインターネット全体へ公開すると、常時スキャンや不正アクセスの対象になります。かといって毎回踏み台サーバーを維持するのも手間です。

Identity-Aware Proxy（IAP）のTCP forwardingを使えば、外部IPを持たないVMへSSHできます。SourceをGoogleのIAP用Address Rangeだけに絞り、接続者はIAMで制御する構成です。ここではTerraformで専用VPCとSpot VMを作成し、実際にIAP経由で接続します。

Terraformの基本操作は前提としています。IAPやOS Loginを初めて扱う方向けです。

Cloud NAT、踏み台VM経由でのHTTP/HTTPS転送、複数Userの権限設計は扱いません。

検証すること
#

外部IPなしのSpot VMを専用VPCへ作成できること
SSH IngressをIAP TCP forwardingの範囲へ限定できること
OS LoginとIAMで接続者を制御できること
IAP Tunnel経由でVMへSSH接続できること

前提環境
#

Google Cloud CLIとApplication Default Credentials（ADC）、Terraform
Billingが有効な検証用Google Cloud Project
Compute Engine、IAP、IAMを操作できるGoogleアカウント
検証時のバージョン：Terraform 1.14.3、google 7.43.0

今回の構成
#

VMは専用VPCの中にあり、外部IPを持ちません。IAPはVPCの外にあるGoogle管理のサービスです。

IAP on LIFELOG

IAP経由のSSHはどこまで監査できるのか。OS LoginとVMログを実測した

概要 #

検証環境 #

TerraformでGKEプライベートクラスタと踏み台VMを作成してみた

概要 #

検証すること #

前提環境 #

今回の構成 #

Terraformで外部IPなしのGCEへIAP経由でSSH接続してみた

概要 #

検証すること #

前提環境 #

今回の構成 #

概要
#

検証環境
#

概要
#

検証すること
#

前提環境
#

今回の構成
#

概要
#

検証すること
#

前提環境
#

今回の構成
#