サービス間通信（mTLS、ゼロトラスト）をどのようにして保護しますか？

Question

Accepted Answer

マイクロサービスネットワーク内では、ネットワークが「内部」だからといって信頼することはできません。**ゼロトラスト**はネットワークが敵対的であると仮定するため、すべての呼び出しが認証と認可され、トラフィックは**mTLS**で暗号化されます。

## Mutual TLS (mTLS)

通常のTLSとは異なり、**両側**が証明書を提示します。各サービスはその身元を証明し、トラフィックは転送中に暗号化されます。

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

サービスメッシュは、アプリコードの変更なしにmTLSを自動的に提供できます。

## サービス間認可

アイデンティティ（誰が呼び出しているか）とポリシー（何ができるか）。トークン（JWT）またはSPIFFEアイデンティティが呼び出し元のアイデンティティを伝えます。

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## 多層防御

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## 落とし穴

内部ネットワークを信頼する（「ファイアウォールの背後にある」）ことは、単一の侵害されたサービスが完全な侵害になる方法です。

## なぜ重要なのか

フラットな内部ネットワークでは、侵害されたサービスがそれ以外のすべてに到達できる可能性があります。ゼロトラストはその爆発範囲を制限します。

mTLS およびコール毎の認可は、内部に侵入した攻撃者であっても、サービスをなりすましたり横方向に移動したりすることができないことを意味します。これは最新のマイクロサービスプラットフォームのセキュリティの核となる約束です。