北海道大学アカデミッククラウドのセキュリティ向上への取組み
金子 修己 1), 更科 高広 1), 吉川 浩 1), 林 卓也 1), 岩﨑 誠 1), 折野 神惠 1), 水戸 歩美 1)
1) 北海道大学 総務企画部情報企画課
kaneko@iic.hokudai.ac.jp

Approaches on security improvement of Academic Cloud Computer in
Hokkaido University
Naoki Kaneko 1), Takahiro Sarashina 1), Hiroshi Yoshikawa 1), Takuya Hayashi 1),
Makoto Iwasaki 1), Kamie Orino 1), Ayumi Mito 1)
1) ICT Planning Division, General Affairs and Planning Department, Hokkaido Univ.
概要
北海道大学情報基盤センターで運用している主要サービスの１つに北大アカデミッククラウドがある。本稿では北大アカデミッククラウドにおけるセキュリティ向上への取組みについて述べる。

1

はじめに
現在の情報化社会においては、サイバー攻撃の急激な増加や個人情報などの情報漏えいが世間を騒がせることが少なくなく、セキュリティという言葉を耳にしない日は無いほどである。

スは TeraTerm などのターミナルソフトを利用したコンソールの他、ミドルウェアの利用によりサーバの起動や停止、ファイアウォールやポート転送などの設定が可能である。
これに対し物理サーバは、利用申請が承認されるとセンターの人員がサーバを構築し利用者へ提北海道大学情報基盤センター（以下、「本セン供する。OS については、特別な要望が無い限りはター」という）が現在運用している学際大規模計CentOS6 で構築し、利用の際はターミナルソフト算機システムの主要サービスの一つに北大アカデで直接操作することになる。また、ネットワーク

ミッククラウドがある。これは、IaaS 型のレンタの管理は OS の機能や学内ネットワーク機器でのルサーバ（以下、「サーバ」という）であり、利用制御が必要となる。

者に管理者権限を与えることから、このサーバのセキュリティをいかに確保しながら運用するかが以上のように仮想サーバと物理サーバには、提供に関する処理、方法が大きく異なっている。

重要な課題となっている。本稿では、サーバのセキュリティ向上に向けて取組んできたこと、及び今後の課題について述べる。

2

北大アカデミッククラウドのサービ
ス概要
本センターで提供しているサーバには、コア数やメモリ容量、耐障害性の違いによりパッケージ化された仮想サーバと、４０コア占有型の物理サ

表１．仮想サーバと物理サーバの比較表
項目

仮想サーバ

物理サーバ

起動方法

ミドルウェアを操作

サーバ本体を直接操作

リソース量

可不可

最大 2000 台(最小構14 台の変更
サーバ数成換算)
初期 OS 構築

自動手動

標準利用 OSCentOS7

CentOS6

利用形態

共用型

占有型

操作方法

ターミナルソフト、ターミナルソフト

ミドルウェアーバが存在する。
仮想サーバには CentOS5(2016 年 12 月 1 日以降は CentOS7)のテンプレートが用意されており、オンラインによる利用申請を行うと自動で仮想サーバが提供される。サーバ利用時のインターフェー

ネットワー

ミドルウェア、学内ク制御

ネットワーク装置

学内ネットワーク装置

なお、サーバの利用に当たっては、以下の条件が利用者に課せられている。

・サーバ構築技術を有し、サーバの運用を適切にしては利用者の負担を少しでも軽減し確実に入替を行って頂けるよう、CentOS7 インストール用 ISO行う資質があること。
・OS のアップデートは適宜、適切に取り入れた運イメージのマウントを簡略化し、さらにインストールマニュアルを整備することで対応した。

用を行うこと。
・アカウント及びパスワードは適切に管理するこ

3.2 利用者への周知と。
・サーバが不正使用された場合、利用者の許可無3.1 では、新規にサーバを利用開始する場合や、く本センターがネットワークの切断を行えるもある程度セキュリティに関心が有り自主的にサポのとする。

ート期限切れへの対応を行って頂く場合に効果が・セキュリティインシデントが発生した場合は、利用者がその責を追うものとする。

有る対応について述べてきた。しかし、問題となったのが CentOS5 での運用を行っており、サポー・利用者に十分な知識・技術が無い場合、その役ト期限に関心が薄い利用者への対応であった。OS割を担う代行者をおくことで上記項目を満たすのバージョンアップを行うか、新たにサーバを借こと。

りるなど別のサーバを用意し、そこへ構築し直す作業を、年度末という忙しい時期に行う必要が有

3 セキュリティ向上への具体的取組み
3.1 サーバのテンプレート更新ったためである。
2016 年 9 月下旬から順次、メルマガ、広報誌、ホームページへの掲載によって利用者へ CentOS5

Linux や Windows など多くの OS にはサポートのサポート期限の終了が迫っていることを周知し期限が設けられており、主要 OS のサポート期限始めた。しかし、メルマガは希望者のみに配信しは表２のようになっている。ており、広報誌やホームページは関心が無い人に[1][2]

とっては目に触れるものではなく、利用者全員に表２．主な OS のサポート期限周知することの難しさを思い知らされた。最終的OS 名称

サポート期限には、利用申請時に登録されたメールアドレスを

RHEL6
RHEL7
CentOS5
CentOS6
CentOS7
Windows7

2020/11/30
2024/6/30
2017/3/31
2020/11/30
2024/6/30
2020/1/14利用し、利用者全員へ案内メールを送信して周知することとした。
3.3 サポートされた OS へのバージョンアップ
CentOS5 における OS のバージョンアップ作業とは、具体的にはいわゆるクリーンインストールである。しかし、CentOS4 から CentOS5 の場合や、前述の通り、クラウドシステム導入当初はWindows7 から Windows10 の場合は HDD の初期化

CentOS5 のテンプレートでサーバを提供していた。

を伴なわずにバージョンアップが可能であった。

しかし、CentOS5 は 2017 年 3 月 31 日にサポート

このため、CentOS5 では後継 OS へのバージョンが終了するため、2016 年の秋頃になると利用者かアップが用意されていないことを理解してもらえらは CentOS7 へのバージョンアップについての問ないケースが目立った。後継 OS へのバージョンい合わせが相次ぐようになった。その時点ですぐアップを行うには、まずデータを外部記憶装置なにでも CentOS7 のテンプレートを公開できれば良どへ退避し、後継 OS をインストールした後、Webかったのだが、環境構築に時間を要してしまい、サーバなどのシステムを構築し直すという手順が2016 年 12 月 1 日に提供を開始した。なお、物理必要となること、及びこれらの作業は本センター

サーバについては CentOS7 がクラウドシステムのではなく全て利用者の作業であることを説明する

ハードウェアに未対応のため、CentOS6 で提供をこととなった。

開始した。

クラウドサービスの提供機関としては、サポー

CentOS7 テンプレート公開までの間は、新規サトされた OS の利用のみを認めるといった方針にーバであっても利用者自身が OS を入替ることが対し、一部の利用者からはさまざまな理由により余儀なくされた状況となったため、本センターと継続利用を求める声が寄せられた。代表的な例を

以下に示す。

Web サーバやメールサーバなど学外からの通信が必要な場合には、利用者がサーバへの接続元・・特定アプリが CentOS5 でしか動作しない。

接続先 IP アドレスやプロトコルなどの情報を添え・クローズドネットワークで使用するのでサポーて「通信制限解除申請」を行い、サイバーセキュ

ト切れ OS でも問題ないはず。

リティセンターの承認を得た後、本センターのネ・再構築する方法が判らない。

ットワーク担当によって学際大規模計算機システ・サーバ構築が自分の仕事（研究）ではない。

ムの上位に位置するファイアウォールの設定が変・急に言われても、業者へ構築を依頼する予算が更され、学外からの通信が可能となる制度とした。

無い。
・当年度に使い始めたばかりのサーバである。

3.5 情報セキュリティ関連規程の整備
以上のように技術的な対策を進める一方、従来これらの要望に対しては、大学全体としての決定事項であることを丁寧に説明し、例外を認めずから運用されて来た規程や組織の整備などの管理的対策も同時に進めた。に納得して頂いた。なお、2017 年 4 月 1 日の時点

情報セキュリティに関連する規程として、施策で CentOS5 だったサーバについては強制的に停止についての基本理念を定めた「情報セキュリティし、利用者の操作による起動を抑止した上で利用基本規程」が施行され、また組織及び体制を整備者と連絡を取り、個別に対応を行った。

するとともに情報資産の円滑な運用及び保全を図ることを目的とする「情報セキュリティ対策規程」

3.4 学外から学内への通信制限を施行した。

本センターがクラウドサービスとして提供している全てのサーバは、初期値としてグローバル IP

3.6 利用者向け手引き書の作成アドレスが付与される構成になっている。また、さらに、各種規程は表現が抽象的であったり、学内の業務用端末についてもグローバル IP アドレ

大きな枠組みでの話であり、本センターが提供しスを利用している端末が多数存在していながら、ているサービスに当てはめた場合、利用者によっ学外からの通信を制限していなかった。このようて解釈が異なる恐れがあった。このため、本センな環境の中、本センターが提供しているサーバでターの利用に特化して前述の利用者へ課せられたはないものの、学内のサーバにおいて不正アクセ条件や各種規程の要点をまとめた冊子を作成するスと思われる情報セキュリティインシデントが発こととなった。こうして「システム適正利用の手生した。

引き」を作成し、2017 年 8 月には既存の全利用者

この事態を本学としては重大なインシデントとへメールで案内し、さらに新規利用者には利用承して受け止め、2016 年 1 月から段階的に、2 月下認に関する通知書を送付する際に手引き書への旬には全学的にインバウンドの通信を制限するこURL を案内する運用を開始した。ととなった。

図１ 通信制限イメージ

図２

手引き書表紙3.7 区分 CSIRT の設置
組織面の整備としては、本センターでサービスしているレンタルサーバを含めた大型計算機システムに係わるセキュリティ確保のための施策、及

参考文献[1] Red Hat Enterprise Linux のライフサイクル
https://access.redhat.com/ja/support/policy/updates/errata

びインシデント発生などの有事の際の迅速な対応を図るため、区分 CSIRT（Computer Security IncidentResponse Team）を設置した。これにより、インシデントの発生、又はその疑いの通報があった場合の連絡体制や対策の決定権の所在が明確になり、迅速な初動が期待できる体制を整えた。

4 今後の課題
本学、及び本センターとして講じてきた取り組みは以上の通りである。これらの取り組みの中には、運用組織としての作業と、利用者の作業が存在していた。中でも、CentOS のバージョンに係わる作業については、利用者ごとにそれぞれ事情があり、全ての利用者に対策を施してもらうには非常に手間と時間を要する取り組みであった。
このことから、今回の経験として特に利用者の作業となる部分については、年単位での作業を想定し、周知時期、周知方法についての改善が必要であることが判った。ただ、それはあくまでも周知の話であって、本来は利用者自ら意識すべき部分である。その点では、利用者に適切な運用を行って頂けるよう、情報セキュリティへの意識・関心を向上させることが今後の課題である。

5 おわりに現在は、次期大型計算機システムの入札に向け準備を進めているところであるが、クラウドシス
テムについては現在と同様に、利用者に root 権限を与える IaaS 型のレンタルサーバを提供し、全ての管理は利用者に任せる見込みである。
新たな脅威の出現は終わりがなく、セキュリテ
ィ対策もまた終わりが無いのが実情である。このような状況の中、セキュリティインシデントを予防するには、常に最新の動向を把握しつつ、必要に応じて対策を実施出来る体制を継続していくことが必要であり、利用者の協力が無ければ成り立つものではない。本センターのみならず、北海道大学全体のセキュリティ向上のため、利用者と共に安全なシステムを運用できるよう努めていきたい。

[2] Microsoft at Life
https://www.microsoft.com/ja-jp/atlife/article/
windows10-portal/eos.aspx