# Cloud Run で内部 API と公開 API を使い分ける構成

## 目次
1. 背景と目的
2. 内部 API と公開 API の違い
3. Cloud Run の概要
4. 内部 API と公開 API の構成概要
5. 実装手順
   - 5-1: Cloud Run サービスの作成
   - 5-2: VPC サービス コントロールの設定
   - 5-3: Cloud Load Balancing での設定
   - 5-4: IAP（Identity-Aware Proxy）の利用
6. ベストプラクティス
7. まとめ

## 1. 背景と目的
クラウドネイティブなアプリケーション開発において、API を公開する必要性は増加しています。特に、公開 API と内部 API を使い分けることで、セキュリティやスケーラビリティ面での柔軟性を確保できます。この記事では、Google Cloud の Cloud Run を用いて内部 API と公開 API を使い分ける方法について説明します。

## 2. 内部 API と公開 API の違い
- **内部 API**: 組織内部での利用を目的とした API であり、セキュリティが高く、アクセスが制限されています。
- **公開 API**: 主に外部パートナーやユーザー向けであり、広範なアクセスを提供します。

この違いにより、認証や通信方式、アクセス制御に違いが発生します。

## 3. Cloud Run の概要
Cloud Run は、Google Cloud Platform 上でサーバーレスコンテナを実行するサービスです。kubernetes 上で実行されるドループリケーションによってスケールアウトが容易であり、リクエスト駆動型のデプロイが可能です。これにより、必要なときに必要なリソースだけを使用し、コスト効率を向上させることができます。

## 4. 内部 API と公開 API の構成概要
Cloud Run を使用して内部 API と公開 API を使い分けるための典型的な構成としては以下の方法があります。
- **公開 API**: Cloud Run のデフォルトの外部 IP アドレスを使って公開します。
- **内部 API**: VPC サービスコントロールで限定公開し、IAP（Identity-Aware Proxy）での制御を加えます。

## 5. 実装手順

### 5-1. Cloud Run サービスの作成
Cloud Run でサービスを作成する際、大まかな手順は以下の通りです。

![img](/mosaic-code.jpg)

公開 API では `--allow-unauthenticated` を付与することで誰でもアクセス可能にします。

![img](/mosaic-code.jpg)

内部 API では `--no-allow-unauthenticated` を付与し、認証が必須になります。

### 5-2. VPC サービス コントロールの設定
VPC Service Controls を用いて内部 API へのアクセスを制限します。これにより、許可された VPC 内のトラフィックだけがアクセスできるように制限します。

![img](/mosaic-code.jpg)

### 5-3. Cloud Load Balancing での設定
Cloud Load Balancing を使って、サービスのルーティングを行い、トラフィックの制御を行います。ロードバランサを使用することで、一貫したエントリーポイントを提供し、負荷を分散させることが可能です。

### 5-4. IAP（Identity-Aware Proxy）の利用
IAP を適用することにより、認証されたユーザーだけが内部 API にアクセスできるよう管理できます。

![img](/mosaic-code.jpg)

## 6. ベストプラクティス
- **認証と認可の徹底**: 必ず IAP や OAuth 2.0 などを用いて API アクセスを管理する。
- **ロギングと監視の設定**: Cloud Logging や Stackdriver を利用してサービスの状態監視を行う。
- **セキュリティのレイヤを追加**: WAF（Web アプリケーションファイアウォール）などを利用してさらなる防御を施す。

## 7. まとめ
この記事では、Google Cloud の Cloud Run を利用して内部 API と公開 API を安全かつ効率的に使い分ける方法を紹介しました。適切な構成管理とセキュリティ設定によって、スケーラブルで信頼性の高いアプリケーション環境を構築することが可能です。 [cv:issue_marketplace_engineer]

# Cloud Run で内部 API と公開 API を使い分ける構成

## 目次
1. 背景と目的
2. 内部 API と公開 API の違い
3. Cloud Run の概要
4. 内部 API と公開 API の構成概要
5. 実装手順
   - 5-1: Cloud Run サービスの作成
   - 5-2: VPC サービス コントロールの設定
   - 5-3: Cloud Load Balancing での設定
   - 5-4: IAP（Identity-Aware Proxy）の利用
6. ベストプラクティス
7. まとめ

## 1. 背景と目的
クラウドネイティブなアプリケーション開発において、API を公開する必要性は増加しています。特に、公開 API と内部 API を使い分けることで、セキュリティやスケーラビリティ面での柔軟性を確保できます。この記事では、Google Cloud の Cloud Run を用いて内部 API と公開 API を使い分ける方法について説明します。

## 2. 内部 API と公開 API の違い
- **内部 API**: 組織内部での利用を目的とした API であり、セキュリティが高く、アクセスが制限されています。
- **公開 API**: 主に外部パートナーやユーザー向けであり、広範なアクセスを提供します。

この違いにより、認証や通信方式、アクセス制御に違いが発生します。

## 3. Cloud Run の概要
Cloud Run は、Google Cloud Platform 上でサーバーレスコンテナを実行するサービスです。kubernetes 上で実行されるドループリケーションによってスケールアウトが容易であり、リクエスト駆動型のデプロイが可能です。これにより、必要なときに必要なリソースだけを使用し、コスト効率を向上させることができます。

## 4. 内部 API と公開 API の構成概要
Cloud Run を使用して内部 API と公開 API を使い分けるための典型的な構成としては以下の方法があります。
- **公開 API**: Cloud Run のデフォルトの外部 IP アドレスを使って公開します。
- **内部 API**: VPC サービスコントロールで限定公開し、IAP（Identity-Aware Proxy）での制御を加えます。

## 5. 実装手順

### 5-1. Cloud Run サービスの作成
Cloud Run でサービスを作成する際、大まかな手順は以下の通りです。

```bash
gcloud run deploy my-public-api --image gcr.io/my-project/my-app:v1 --platform managed --region us-central1 --allow-unauthenticated
```

公開 API では `--allow-unauthenticated` を付与することで誰でもアクセス可能にします。

```bash
gcloud run deploy my-internal-api --image gcr.io/my-project/my-app:v1 --platform managed --region us-central1 --no-allow-unauthenticated
```

内部 API では `--no-allow-unauthenticated` を付与し、認証が必須になります。

### 5-2. VPC サービス コントロールの設定
VPC Service Controls を用いて内部 API へのアクセスを制限します。これにより、許可された VPC 内のトラフィックだけがアクセスできるように制限します。

```bash
gcloud access-context-manager perimeters create my-perimeter --resources=projects/my-project --restricted-services=run.googleapis.com
```

### 5-3. Cloud Load Balancing での設定
Cloud Load Balancing を使って、サービスのルーティングを行い、トラフィックの制御を行います。ロードバランサを使用することで、一貫したエントリーポイントを提供し、負荷を分散させることが可能です。

### 5-4. IAP（Identity-Aware Proxy）の利用
IAP を適用することにより、認証されたユーザーだけが内部 API にアクセスできるよう管理できます。

```bash
gcloud iap policies set --resource-type:APIGATEWAY --project=my-project
```

## 6. ベストプラクティス
- **認証と認可の徹底**: 必ず IAP や OAuth 2.0 などを用いて API アクセスを管理する。
- **ロギングと監視の設定**: Cloud Logging や Stackdriver を利用してサービスの状態監視を行う。
- **セキュリティのレイヤを追加**: WAF（Web アプリケーションファイアウォール）などを利用してさらなる防御を施す。

## 7. まとめ
この記事では、Google Cloud の Cloud Run を利用して内部 API と公開 API を安全かつ効率的に使い分ける方法を紹介しました。適切な構成管理とセキュリティ設定によって、スケーラブルで信頼性の高いアプリケーション環境を構築することが可能です。 

Cloud Run で内部 API と公開 API を使い分ける構成

目次

続きを読むには単価診断を受けてください（30秒）