5.4クラウドセキュリティの基礎

クラウド上の Linux サーバーは、OS の中の操作こそオンプレミスと同じですが、OS の外側——電源・ネットワークの入口・物理的な置き場所——をクラウドサービス事業者が握っています。この「外側は事業者・内側は自分」という分担の理解が、本副主題の核心です（Version 10.0 で新設された現代的トピックです）。

5.4.1機能分担とアクセス経路

• 管理コンソール＝事業者が提供するWeb ベースの管理画面。仮想マシンの作成・停止・ネットワーク設定・システムコンソールへの接続（SSH が死んだときの最後の入口）までを担う。
• コンソールはインターネット経由でアクセスするため、認証は事業者提供の方式＋多段階・多要素認証（MFA）・ワンタイムパスワード（OTP）で必ず強化する。コンソールの認証情報が漏れれば OS 側の防御は無意味（全サーバーを消せる権限だから）。
• ネットワーク防御は二層＝クラウド側のファイアウォール（セキュリティグループ等・インスタンスの外）＋ OS 内の firewalld/iptables。ルーティングもクラウド側の仮想ネットワーク設定が一次。

5.4.2リージョン・揮発ストレージ・事業者都合

• リージョン選択＝データの物理的な置き場所を決める行為。国内法・業界規制・データ主権（国外持ち出し制約）と、利用者への遅延に直結する。
• 揮発性ストレージ（エフェメラルストレージ）＝インスタンスの停止・障害で消える高速な一時領域。キャッシュ・一時ファイル専用とし、残すべきデータは永続ストレージ（ブロックボリューム等）へ。
• 事業者都合のメンテナンス＝ホスト更新に伴う再起動・移行が事業者のスケジュールで発生しうる。通知を購読し、再起動に耐える設計（自動起動 systemctl enable・冗長化）で備える。