Loading…
私たちは顧客名を公表しません。特定につながる情報を含むケーススタディも 公開しません。私たちが共有できるのはアーキテクチャ — 解決した問題、 構築したシステム、納品したインフラの匿名化された記述です。
顧客は3つの物理サイトにまたがって運用しており、それぞれ独立したレガシーハイパーバイザークラスター（前プロバイダーが導入したVMware）、サイト間フェイルオーバーなし、そして寿命が近づく老朽化したSANインフラを抱えていました。Broadcomによる買収後、VMwareのライセンスコストは上昇の一途をたどっていました。規制フレームワークにより、パブリッククラウドの利用は契約上禁止されていました。
3サイト構成のProxmox VEクラスターを設計・導入。Ceph（ceph.io）ストレージ、レイヤー2拡張のためのVXLANオーバーレイ、30秒未満の復旧時間を実現する自動フェイルオーバーを備えています。デフォルトでエアギャップ構成 — 全ノードがインターネット接続なしで動作し、更新はVPRSプロキシ経由で配信されます。サイト間接続はWireGuardメッシュと、動的経路選択のためのBGPを使用します。
18か月間、計画外ダウンタイムはゼロ。専有SANから汎用ハードウェア上のCeph（ceph.io）への移行により、ストレージコストは60%削減されました。顧客は現在、3つの物理拠点を単一の論理データセンターとして運用しています。
セグメンテーションのないフラットなネットワーク構成。VPNアクセスは広範なネットワークレベルの権限を付与していました。アイデンティティに紐づくアクセス制御はありませんでした。ネットワークセグメンテーションと特権アクセス管理の欠如を指摘するセキュリティ監査の不合格が複数回ありました。
脅威検知とコンプライアンス監視のため、全エンドポイントにWazuh SIEMを導入。ポスチャチェック付きのNetbirdゼロトラストメッシュVPNを実装 — トンネル確立前に、すべての接続をOSパッチレベル、ディスク暗号化状態、デバイスアイデンティティに対して検証します。すべての特権アクセスにVPMS（JumpServer）を導入し、セッション録画とKratosワンタイムパスワードの適用を実施。ネットワークを12のVLANにセグメント化し、VLAN間ファイアウォールポリシーはOPNsenseで管理しています。
その後のセキュリティ監査は指摘事項ゼロで合格。セキュリティイベントの平均検知時間は数日から数分に短縮。すべての特権セッションが録画され、監査可能になりました。
顧客は内部アプリケーション用のコンテナオーケストレーションプラットフォームを必要としていましたが、インフラをパブリックインターネットに一切公開できませんでした。既存のデプロイプロセスは手動 — サーバーへSSH接続し、バイナリをコピーし、手作業で設定するというものでした。
完全エアギャップのKubernetesクラスターとしてVKBS（Talos Linux + Cilium + containerd）を導入。コンテナイメージはVCRS（Harbor）から配信され、プッシュ時にAntivirus APIスキャンを実施。OS更新はVPRSプロキシ経由で配信。DNS解決はスプリットホライズン構成のVDNSが担当。すべてのクラスター通信は内部VXLANに限定 — いかなるノードも外部ネットワークへのデフォルトルートを持ちません。
アプリケーションのデプロイ時間は数時間から数分に短縮。組織初のエアギャップKubernetes導入。現在このプラットフォームは40以上の内部サービスをホストし、社内ホストのGitLabランナーによる自動CI/CDを実現しています。
ディザスタリカバリ機能のない単一サイト構成。バックアップ戦略は手動で、テストされておらず、本番環境と同じ物理インフラ上に保管されていました。プライマリデータセンターで冷却障害が発生すれば、データの全損を意味しました。
イミュータブルなバックアップチェーンを持つVBKSをVNASストレージに導入。WireGuardトンネル経由でセカンダリサイトにレプリケーションし、72時間ごとに自動フェイルオーバーテストを実施。サイト間でクォーラムを構成したProxmox VE HAクラスター。復旧手順書（ランブック）を文書化してテスト済み — サイト全体のフェイルオーバーは4分未満で完了します。
復旧目標（RTO）5分を達成し、自動テストで検証済み。復旧時点目標（RPO）は15分。顧客はプライマリサイトの停電を、データ損失ゼロ・サービス中断3分で乗り切りました。
顧客はアプリケーションスタック全体の認証をMicrosoft Entra IDに依存していました。業界の規制変更により、アイデンティティデータをEU管轄内に留め、米国拠点のインフラに一切さらさないことが求められました。Microsoft 365とEntra IDではこの要件を満たせませんでした。
ドロップイン置き換えとしてVIDS（Zitadelベースのアイデンティティシステム）を導入。500以上のユーザーアイデンティティを移行し、12の内部アプリケーションにOpenID ConnectとSAML統合を設定、顧客の既存LDAPディレクトリとフェデレーションを構築。全社的なパスワード管理にVPWS（Vaultwarden）を導入。切り替え前に30日間、Entra IDとVIDSを並行稼働させました。
認証ダウンタイムゼロで移行完了。すべてのアイデンティティデータは現在EUインフラに保存されています。顧客はもはや米国拠点のアイデンティティプロバイダーに依存していません。
“このページが存在するのは、インフラエンジニアリングが エビデンスベースだからです。顧客名は明かせません。しかし私たちの 仕事は説明できます。さらに詳しい情報が必要なら、クライアントに なってください — 実際の現場を目の当たりにできるでしょう。”