Google Cloud○×難易度 応用

IAP の TCP 転送で外部 IP の無い VM に SSH するには、35.235.240.0/20 からの TCP 22 を許可するルールが要る。

正答

○ 正しい

解説

Identity-Aware Proxy（IAP）の TCP 転送を使うと、外部 IP アドレスを持たない VM にも SSH できる。このとき VM への通信は IAP の送信元範囲 35.235.240.0/20 から届くため、その範囲からの TCP 22 を許可するファイアウォールルールが必要になる。さらに、接続する人には IAP で保護されたトンネルのユーザー（roles/iap.tunnelResourceAccessor）などのロールが要る。0.0.0.0/0 から 22 番を開ける代わりにこの範囲だけを許可すれば、VM をインターネットに直接さらさずに済む。SSH できないときに全開放のルールを足す前に、この方法を検討する価値がある。

参考: docs.cloud.google.com

iapsshfirewall