質問: 皆さんはウェブサービスの管理画面はどのように設置していますか? 私の場合、`admin.example.com`という管理画面用のURLをサブドメインで用意し、 BASIC認証をかけ、自分のIPアドレスからの接続のみを許可するという形に落ち着いています。 以前はそんな知識は全くなかったので、サーバーのIPを生で叩くと見れるような状態でした。 プログラムのチュートリアルなどではこういった事は書いていなく、 どのように設置するのが理想なのか気になって仕方ありません。 みなさんのご意見を聞かせていただけないでしょうか。
回答: 私も同じように`admin.example.com`というサブドメンを用意して管理画面画面を用意することが多いです。 加えてBasic認証+IP制限を行っているのであればセキュリティ的には強固なものになっていると思われますが、やはりパブリックなネットワークを利用して`admin.example.com`でアクセスできてしまうことは、あまり良いとは言えませんよね。 様々なクローラが`admin.example.com`や、`db.example.com`または`www.example.com/admin`など、それっぽい管理画面を荒捜しするようにリクエスト送信してきているということは既に常識なのは間違い無いはず。 なのでサブドメインを利用して管理画面にアクセスできるような状態を作ることは、このサイトの管理画面はここだよ!って教えてあげてるようなものであると言えるでしょう。(それでも`admin.example.com`は便利ですよね) あまり詳しくありませんが、しっかり作成する場合、プライベートネットワークを構築し、踏み台用サーバを通してアクセスするなど、インフラレベルでセキュリティ対策を施すのが常識なのではないでしょうか? 始めに、私も同様に`admin.example.com`というサブドメンで管理画面画面を用意していると言いましたが、その構築方法で安心して運営できているかというと、私は全く安心できていません。