アクセスポリシーの設定
AegisMesh のアクセスポリシーは、デフォルト拒否（Default Deny） のゼロトラスト原則に基づいています。明示的に許可されたポリシーが存在しない限り、ピア同士はお互いを認識することすらできません（ステルスモード）。
管理コンソールの 「Access Control」>「Policies」 画面から、部署グループやサーバーグループ間の通信許可ルールをGUIで直感的に設定できます。
【前提条件】
- 管理権限: アカウントロールが TenantAdmin、ResaleAdmin、または SuperAdmin であること。
- 事前準備: 送信元・宛先として指定するグループ（例:
Developer,Database,sales等）が作成済みであること。
【手順 1】アクセスポリシー一覧画面の確認
管理コンソールの左メニューから 「Access Control」>「Policies」 を開くと、現在有効なポリシー一覧が表示されます。
画面項目と設定内容の一覧
| 番号 | 画面項目 | 設定内容と役割 |
|---|---|---|
| ① | NAME（ポリシー名・説明） | ポリシーの目的を表す分かりやすい名称（例: PostgreSQL, Media Library, Homeoffice）と説明文です。 |
| ② | ACTIVE（有効トグル） | ポリシーの即時有効/無効スイッチです。トグルを切り替えると、数秒以内に全端末のWireGuardパケットフィルタへ反映されます。 |
| ③ | SOURCES（送信元グループ） | 通信セッションを開始できる端末グループ（例: Developer, Finance, All）です。 |
| ④ | DIRECTION（通信方向） | 通信の方向性です。 ・一方向（ ──>）: 送信元から宛先への接続のみ許可（戻りパケットは自動許可）。・双方向（ <──>）: 両グループの端末が相互にセッション開始可能。 |
| ⑤ | DESTINATIONS（宛先グループ） | 接続を受け入れるターゲット端末グループ（例: Database, Webservice, CRM）です。 |
| ⑥ | PROTOCOL / PORTS（ポート制限） | 許可する通信プロトコル（TCP, UDP, ICMP, ALL）およびポート番号（例: 5432, 3389, 80/443）です。 |
【手順 2】新規アクセスポリシーを作成する
- 画面右上の 「+ Add Policy」 ボタンをクリックします。
- 表示されたモーダルで以下の設定マトリクスに従って入力します。
設定項目マトリクス表
| 項目名 | 設定例 | 必須 | 説明と推奨設定 |
|---|---|---|---|
| Policy Name | 本番DBアクセス許可 (開発部) | 必須 | 後から見直した際に「誰がどこへアクセスできるルールか」が一目で分かる名称を入力します。 |
| Source Groups | Developer | 必須 | 通信を開始するクライアント端末のグループを選択します。 |
| Destination Groups | Database | 必須 | 接続先のサーバーや社内システムのグループを選択します。 |
| Direction | One-Way (一方向) | 必須 | セキュリティ向上のため、原則として One-Way（片方向） を推奨します。サーバー側からクライアントへの不正逆アクセスを防止できます。 |
| Protocol | TCP | 必須 | ALL, TCP, UDP, ICMP から選択します。 |
| Ports | 5432 | 任意 | 特定ポートのみに限定します（空欄で全ポート許可）。Webサーバーなら 80, 443、SSHなら 22 を指定。 |
- 入力内容を確認し、「Save Policy」 をクリックします。
【手順 3】通信テストとポリシーの適用確認
ポリシー作成後、端末間で通信テストを行います。
# 開発者PCからデータベースサーバーへの接続テストnc -zv 100.119.x.x 5432
# 成功時の表示Connection to 100.119.x.x port 5432 [tcp/postgresql] succeeded!許可されていないポート（例: SSH 22番）へのアクセスは、端末のカーネルレベル（WireGuard）でパケットがドロップされ、一切の応答を返しません。
実践的なポリシー設計ベストプラクティス
- All グループ同士のフルメッシュ接続を避ける:
全社PCが互いに通信できる設定（
All <──> All）は、マルウェアの水平感染（ラテラルムーブメント）のリスクを高めます。 - ロール別・拠点別のグループ分離:
営業部（
sales）、開発部（dev）、経理部（finance）ごとにグループを細分化し、各部門が利用する社内システムのみを宛先に指定してください。 - 不要になったポリシーは削除前にトグルOFFで確認: ActiveトグルをOFFにして数日間業務に支障が出ないことを確認した後に削除（Delete）すると安全です。