5.4クラウドセキュリティの基礎

クラウド上の Linux サーバーは、OS の中の操作こそオンプレミスと同じですが、OS の外側——電源・ネットワークの入口・物理的な置き場所——をクラウドサービス事業者が握っています。この「外側は事業者・内側は自分」という分担の理解が、本副主題の核心です（Version 10.0 で新設された現代的トピックです）。

5.4.1機能分担とアクセス経路

• 管理コンソール＝事業者が提供するWeb ベースの管理画面。仮想マシンの作成・停止・ネットワーク設定・システムコンソールへの接続（SSH が死んだときの最後の入口）までを担う。
• コンソールはインターネット経由でアクセスするため、認証は事業者提供の方式＋多段階・多要素認証（MFA）・ワンタイムパスワード（OTP）で必ず強化する。コンソールの認証情報が漏れれば OS 側の防御は無意味（全サーバーを消せる権限だから）。
• ネットワーク防御は二層＝クラウド側のファイアウォール（セキュリティグループ等・インスタンスの外）＋ OS 内の firewalld/iptables。ルーティングもクラウド側の仮想ネットワーク設定が一次。

5.4.2リージョン・揮発ストレージ・事業者都合

• リージョン選択＝データの物理的な置き場所を決める行為。国内法・業界規制・データ主権（国外持ち出し制約）と、利用者への遅延に直結する。
• 揮発性ストレージ（エフェメラルストレージ）＝インスタンスの停止・障害で消える高速な一時領域。キャッシュ・一時ファイル専用とし、残すべきデータは永続ストレージ（ブロックボリューム等）へ。
• 事業者都合のメンテナンス＝ホスト更新に伴う再起動・移行が事業者のスケジュールで発生しうる。通知を購読し、再起動に耐える設計（自動起動 systemctl enable・冗長化）で備える。

オンプレミスの常識がどう変わるかを対比で掴みましょう。物理アクセス：オンプレはサーバールームの施錠、クラウドはコンソールアカウントの保護が相当物——だから MFA が「マシン室の鍵」に相当する最重要対策です。ネットワーク：オンプレは境界ルータ＋OS FW でしたが、クラウドではセキュリティグループ（インスタンス外）が第一層になり、OS 内 firewalld は第二層（多層防御）として残します。ストレージ：オンプレの「ディスクは電源を切っても残る」感覚は揮発性ストレージには通用せず、「停止＝消える領域がある」前提でデータ配置を設計します。可用性：ハード保守を自分で計画していたオンプレに対し、クラウドは事業者のメンテナンス通知に従う受け身の要素が生じます——だからこそ systemctl enable での自動復帰・複数インスタンスでの冗長化という「再起動されても平気な設計」が Linux 管理者側の責務になります。この「責任の線引きの変化」を問うのが本副主題です。

5.4.3この節のまとめ

• 外側＝事業者（コンソール・クラウドFW・保守）／内側＝自分（OS・第二層FW・自動復帰設計）。コンソールは MFA/OTP 必須
• リージョン＝法規制・主権・遅延の選択・揮発ストレージに永続データを置かない・事業者メンテに通知購読＋enable で備える