VPC Service Controls ぶいぴーしー さーびす こんとろーるず
簡単に言うとこんな感じ！
Google Cloudのデータを「見えない壁」で囲む仕組みだよ！ たとえ正しいIDとパスワードでログインしていても、その壁の外からのアクセスはブロックできるんだ。データの「持ち出し禁止エリア」を作るイメージ！
VPC Service Controlsとは
VPC Service Controls（VPC SC）は、Google Cloudが提供するセキュリティ機能で、クラウドサービスの周囲に「サービスペリメーター（境界線）」を設定し、データの不正な持ち出しや漏洩を防ぐ仕組みです。通常のアクセス制御（IAMなど）が「誰が何をできるか」を管理するのに対し、VPC Service Controlsは「どこから・どの経路でアクセスできるか」という文脈まで含めてアクセスを制限します。
具体的には、BigQueryやCloud Storage、Cloud Spanner などの Google Cloud サービスをペリメーターの内側に配置し、ペリメーター外からのAPIリクエストをブロックします。これにより、たとえ攻撃者が有効な認証情報を盗んだとしても、許可されたネットワーク・プロジェクト外からデータを抜き出せなくなります。内部脅威（インサイダーリスク） や認証情報の漏洩リスクを大幅に低減できる、エンタープライズ向けの強力な防御手段です。
システム発注・選定の観点では、金融・医療・公共機関などコンプライアンス要件が厳しい業界で特に重視されます。「クラウドを使いたいが、データが外に出ないか心配」という経営層・情シスの懸念に直接答える機能です。
サービスペリメーターの仕組み
VPC Service Controlsの中心概念はサービスペリメーターです。プロジェクトやサービスをこの境界で囲み、通信ルールを定義します。
| 概念 | 説明 | 例え |
|---|---|---|
| サービスペリメーター | 保護対象プロジェクト・サービスの境界 | 建物のセキュリティゾーン |
| アクセスレベル | アクセスを許可する条件（IP・デバイス等） | 入館証の種類 |
| アクセスポリシー | 組織全体のペリメーター設定をまとめたもの | セキュリティ規則集 |
| ブリッジ | 2つのペリメーター間でリソース共有を許可する設定 | 部署間の連絡通路 |
| 制限付きVIP | Google APIへのアクセスをGoogle内部ネットワーク経由に限定 | 専用通路 |
ペリメーターの2つのモード
| モード | 動作 | 用途 |
|---|---|---|
| 強制モード（Enforced） | ポリシー違反アクセスを実際にブロック | 本番環境での運用 |
| ドライランモード（Dry Run） | ブロックせずログだけ記録 | 設定テスト・影響範囲の確認 |
まずドライランで影響を確認してから強制モードに切り替えるのが推奨の手順です。
アクセスレベルで「例外」を作る
ペリメーター内のリソースに外部からアクセスさせたい場合は、アクセスレベルで条件を指定します。
歴史と背景
- 2018年 — Google Cloudがβ版として「VPC Service Controls」を発表。クラウド移行が進む中で、データ漏洩・内部不正への対策ニーズが高まったことが背景
- 2019年 — 一般提供（GA）開始。BigQuery・Cloud Storageなど主要サービスに対応
- 2020年頃 — ドライランモードを追加。導入ハードルが下がり、エンタープライズへの普及が加速
- 2021年以降 — VPC-SC対応サービスが拡充。Vertex AI・Pub/Sub・Cloud Runなどへ順次対応
- 現在 — Google Cloud の「ゼロトラストセキュリティ」戦略の中核機能として位置づけられ、規制業種のクラウド採用を後押し
IAMとVPC Service Controlsの違い・関係
VPC Service ControlsはIAM（Identity and Access Management）と組み合わせて使うもので、どちらか一方で十分というわけではありません。
| 比較項目 | IAM | VPC Service Controls |
|---|---|---|
| 制御の軸 | 誰が（ID・ロール） | どこから・どの文脈で |
| 防ぐリスク | 権限のないユーザーの操作 | 認証情報漏洩・データ持ち出し |
| 設定単位 | リソース・プロジェクト単位 | ペリメーター（複数プロジェクト横断） |
| 組み合わせ | 必須（単独では不完全） | IAMと併用することで多層防御を実現 |
他のセキュリティ機能との比較
| 機能 | 主な目的 | VPC SCとの違い |
|---|---|---|
| Cloud Armor | DDoS・WAF保護 | HTTPトラフィックの保護。APIレベルの境界制御はVPC SC |
| Private Google Access | VPC内からGoogle APIへの非公開アクセス | 通信経路の制御。ペリメーター定義はVPC SC |
| Security Command Center | 脅威の検出・可視化 | SCC で検出し、VPC SC で防御するイメージ |
関連する規格・RFC
| 規格 | 内容 |
|---|---|
| NIST SP 800-207 | ゼロトラストアーキテクチャのガイドライン。VPC SCはこの考え方を実装した機能 |
| ISO/IEC 27001 | 情報セキュリティマネジメント。VPC SCはA.13（通信セキュリティ）の実装手段として使われる |
関連用語
- VPC（仮想プライベートクラウド） — クラウド上に作る論理的な専用ネットワーク
- IAM（Identity and Access Management） — 誰が何のリソースにアクセスできるかを管理する仕組み
- ゼロトラストセキュリティ — 「社内だから安全」という前提を捨てた現代的なセキュリティモデル
- Cloud Armor — Google CloudのDDoS防御・WAF機能
- Private Google Access — VPC内からGoogle APIにインターネットを経由せずアクセスする仕組み
- データ漏洩防止（DLP） — 機密データの不正な流出を検知・防止する技術
- Security Command Center — Google Cloudのセキュリティリスクを一元的に可視化・管理するサービス
- 共有VPC — 複数のGoogle Cloudプロジェクトで1つのVPCネットワークを共有する仕組み