はじめに
CI/CDパイプラインは現代のソフトウェア開発に欠かせないインフラです。 しかし、その便利さの一方で、デプロイ環境へのアクセスが安易になりがちという課題があります。 万が一、デプロイ権限が悪意ある者に悪用されれば、本番環境が改ざんされ、ユーザーに直接的な被害をもたらします。
本記事では、CI/CD セキュリティを強化し、デプロイ権限を確実に守るための手法を詳しく解説します。 DevOps チーム必見の内容です。
⇒【ロリポップ！固定IPアクセス】 月額490円、すぐに使えて最大2ヶ月間無料！
CI/CD環境が抱えるセキュリティリスク
デプロイ権限の集中化による危険性
開発チームが成長するにつれて、CI/CD パイプラインへのアクセス権限はどのように管理されるでしょうか？ 多くの場合、プロジェクトリーダーや経験豊富な開発者に権限が集中します。 その結果、権限を持つ少数の者の認証情報が漏洩した場合、即座に本番環境への不正アクセスが実現してしまいます。
認証情報の盗難と拡散
GitHubやGitLabのAPIトークン、AWSアクセスキーなどの認証情報は、開発機上に保存される傾向があります。 開発者のノートパソコンがマルウェアに感染したり、失くしたりすれば、これらの認証情報は容易に奪われます。 一度流出した認証情報は、闇サイトで取引され、複数の攻撃者に悪用される可能性があります。
リモートアクセスの急増に伴う外部脅威
新型コロナウイルスの影響で、リモートワークが広がりました。 自宅から会社のネットワークにアクセスするため、VPNやプロキシを経由してCI/CD環境に接続するケースが増えています。 しかし、接続元の IP アドレスが変わるたびに、どの従業員からのアクセスなのかが曖昧になります。
ゼロトラスト セキュリティの考え方
「信頼しない」が基本原則
ゼロトラスト セキュリティは、組織内のネットワークであっても、デフォルトで「信頼しない」という考え方です。 社内ネットワークに接続しているから安全、という従来の境界型セキュリティモデルは古い時代の遺物です。 ゼロトラスト 開発では、すべてのアクセス試行に対して、複数の認証・認可要件を満たすことを求めます。
CI/CDパイプラインへの適用
DevOps チームが ゼロトラスト 開発を実践するには、以下の3つの要素が必要です。
- 多要素認証（MFA）の強制 デプロイ実行時に、パスワードだけでなく、ワンタイムパスワード（OTP）やセキュリティキーを要求する。
- IP 制限による追加検証 デプロイ操作は、事前に登録された固定 IP アドレスからのみ受け付ける。
- 監査ログの徹底記録 誰が、いつ、どこから、何をデプロイしたのかを完全に記録する。
固定IP制限によるデプロイセキュリティ
なぜ固定IPが有効なのか
デプロイサーバー（JenkinsやGitHub Actionsなど）へのアクセスを、特定の固定 IP アドレスからに限定することで、不正アクセスの大部分を防げます。 攻撃者が認証情報を盗んでも、許可されていない IP アドレスからのアクセスは自動的にブロックされるからです。
⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！
実装例：AWSでのセキュリティグループ設定
AWS EC2 インスタンスをデプロイサーバーとして運用する場合、セキュリティグループで以下のようにルール設定します：
【インバウンドルール】 プロトコル: TCP ポート: 8080（Jenkins等） 送信元: 固定 IP アドレス/32 説明: CI/CD Pipeline Access from Fixed IP この設定により、指定された固定 IP アドレスからのみアクセスが許可されます。 万が一、異なる IP アドレスからアクセス試行があれば、直ちにブロックされます。
GitLabやGitHub内でのIP制限
GitLabのプロジェクト設定では、以下のように制限を設定できます：
GitLab例： プロジェクト設定 > パイプライン > ランナー設定 > 許可リスト IP アドレス
GitHub Actions例： リポジトリ設定 > Environments > デプロイ環境 > デプロイブランチ制限 + IP アドレスホワイトリスト
これらの機能により、API トークンが漏洩しても、許可された IP アドレスからのリクエストのみが実行されます。
多要素認証とIP制限の組み合わせ
多層防御の重要性
IP 制限だけに頼るのは危険です。 なぜなら、組織内の開発者が悪意を持ってデプロイ操作を行う可能性があるからです。 このような内部脅威に対抗するには、多要素認証（MFA）との組み合わせが不可欠です。
実装パターン
デプロイ時には以下の流れを強制します：
- 第1層：IP 制限 デプロイリクエストは、許可リストの固定 IP アドレスからのみを受け付ける。
- 第2層：ユーザー認証 認証ユーザー名とパスワードによる通常の認証を実行する。
- 第3層：MFA検証 登録されたスマートフォンなどに OTP が送信され、ユーザーがそれを入力することで認証完了。
- 第4層：監査ログ記録 すべての操作が詳細なログとして記録される。
⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！
実運用での課題と解決策
課題1：複数オフィスやリモートワーカーの対応
会社が複数の拠点にあったり、リモートワーカーが多い場合、単一の IP アドレスでは対応できません。 解決策として、VPN を導入し、すべてのリモートアクセスを同一の固定 IP アドレスを経由させる方法があります。
ロリポップ固定IPアクセスのようなVPNサービスを利用すれば、プロバイダーや回線を問わず、常に同じ固定 IP アドレスでアクセスできます。 複数の拠点から接続する場合、各拠点に固定 IP を割り当てることで、柔軟に対応できます。
課題2：デプロイの緊急時対応
本番環境で障害が発生した場合、迅速なホットフィックスが必要になります。 しかし、IP 制限が厳しすぎると、緊急時の対応が遅れる可能性があります。
解決策として、以下の運用ルールを設けます：
- 通常時：許可リストの固定 IP からのみデプロイ可能
- 緊急時：特別な承認プロセスを経て、一時的に別の IP アドレスからのアクセスを許可
- 事後対応：緊急対応後、必ず詳細な監査ログを確認し、権限外のアクションがないか検証
課題3：権限管理の複雑さ
DevOps チームが拡大すると、誰がどの権限を持つべきかの管理が複雑になります。 ロールベースアクセス制御（RBAC）を導入し、役職や業務内容に応じた権限を自動的に割り当てる仕組みが重要です。
CI/CD セキュリティ強化のチェックリスト
デプロイ権限を確実に守るために、以下の項目を確認しましょう：
- □ すべてのデプロイサーバーに多要素認証（MFA）が実装されている
- □ デプロイ操作を許可する IP アドレスが明確に定義されている
- □ VPN 経由でのアクセスが固定 IP で管理されている
- □ 認証情報（APIトークン、アクセスキーなど）が定期的に更新されている
- □ デプロイログが最低1年間保存されている
- □ ログの監視と異常検知が自動化されている
- □ 権限管理台帳が最新の状態に保たれている
- □ インシデント対応手順が事前に定義されている
- □ セキュリティ教育が定期的に実施されている
まとめ
CI/CD環境のセキュリティ強化は、単一の対策では不十分です。 固定IPと認証による多層防御、そして徹底的な監査ログ管理が必要です。
本記事で紹介したゼロトラスト開発の考え方と実装パターンを参考に、貴社の DevOps チームに最適なセキュリティ体制を構築してください。
ロリポップ！固定IPアクセスで安全なアクセス管理を
CI/CD環境のセキュリティ強化には、複数拠点やリモートワーカーからのアクセスを統一された固定IPで管理することが重要です。
ロリポップ！固定IPアクセスは、GMOペパボ株式会社が提供する固定IPアドレス対応のVPNサービスです。 月額490円（税込539円）〜という国内最安級の価格で、VPN経由でどこからでも常に同じ固定IPアドレスを使ってインターネットにアクセスできます。 高速かつ安全なVPNプロトコル「WireGuard」を採用しており、オンライン申し込み後すぐに利用を開始できます。 最大2ヶ月間の無料お試し期間も用意されているため、まずは気軽に導入テストが可能です。 DevOpsチームがセキュアにCI/CDパイプラインを運用するための強い味方になります。
