証明書更新の自動化を「最初の一歩」に：47日時代の運用負荷とツール選びの観点

はい。では、レッドハットの平田から、今日はお話をさせていただきます。どうぞよろしくお願いいたします。

私ですね、レッドハットというオープンソースで、例えばLinuxとかですね、提供している会社で働いています。SAをしております。元々オープンソースのコミュニティとかですね、開発に携わっていまして、その縁があってレッドハットに入って、製品担当のSAですね、ソリューションアーキテクトなどしていました。今はちょっとロールが変わってお客様に対して提案をさせていただくような立ち位置で活動させていただいてます。なので自動化とかですね、そういったような製品に詳しい人間になります。どうぞよろしくお願いいたします。

では、今日は証明書更新の話ではあるんですけど、その前にIT運用のですね、実態から、現状から入らせていただければなという風に思っています。

皆さんの会社、すいません、組織ですね、で運用されているITシステムに関して、どうでしょう?年々複雑になってないでしょうか?例えば、コンテナが増えたりとかAIの連携が増えたり、層が増えたり、それから使うアプリケーションやOSの種類が増える、バージョンが増える。管理がどんどん煩雑になってないでしょうか。

もう運用このまま続けるの無理って、大変すぎるっていうような声、よく聞くんですけれど、どうでしょう?そうなってないでしょうか?一方で、人の面で言うと、新しい人が入ってきてくれないとかですね、なかなかスケールさせていけないといったところで、今までいる人でやっていかなければいけない。属人化されてしまう。非常に運用面で大変になっているというような声をよく聞きます。

この中で、今サーバー証明書ですね、の更新の期限が短くなってきてますよと。こちらの方が問題視されているところがありますと。こちらの方、今日使うのはパブリック証明書の方ですね。証明書の期限が短くなるのは先ほどサヨスの稲垣さんからよくお話いただいてたかなと思うので、皆さんも重々ご承知かなと思いますが、この47日ですね、最終的にこの期間になってしまう。つまり、元々から1/8くらいになるんですよね。作業が8倍になる。これ耐えられますかと。今までの運用で耐えられますかって言った時に多分もう難しいんじゃないでしょうか。

一応ですね、短くなる理由はあります。短くしなきゃいけないというか、していこうという理由はですね、やはり証明書に使われる秘密鍵の漏洩リスクとかですね。ここのリスク削減といったとこでしょうか。もしこれで漏洩した場合ですね、例えば1年近くある場合には、この期間まるまる使われちゃうような場合があるんですけれど、47日であれば1ヶ月くらいでしょうか、それでエクスパイアしちゃうもので、短くなってそういう危険性が減りますよね。

また、こういったドラスティックな変化をさせていくために自動化っていうのがやっぱり重要になってきますよと。自動化させておくことによってヒューマンエラーが削減されますよね、という期待であったりですとか、あとは規格側にですね、問題がある、脆弱性があったような場合に自動化をしておけば、全体の更新を速やかにかけていくってことができますよね。こういったとこに期待があって、今証明書の更新っていうのが短縮されるような流れになってます。

逆に、ここをですね、そのまま手作業を続けてしまうと、どんなリスクがあるのかですね。もし証明書の更新が滞るような場合があると、まずサービスの停止とかシステムダウンが起こりますよね。API連携してるシステムとかアプリケーションが止まるとかですね。インフラの機能停止みたいなことが起こってきます。その結果ですね、機会損失が起こったりですとか、SLAの違反が起こったり、皆さんのアカデミックの場合に売上というのはないのかもしれないですけど、そういった何かしらの低下が走ると。運用者にとってみると、最終的にですね、事後処理を行わなければいけなくなったりですとか、再発防止策の検討をしなければいけなくなったり、もう皆さんが疲弊していくような未来になってしまいますと。こんな状態になっていくの良くないですよね。といったところで、今自動化といったところが主に考えられています。

自動化に向けた動向という話、ここも先ほどの左翼さんからのお話にほぼほぼあったような話になるので、ちょっと解説までにしようかなと思ってますが、元々の証明書の更新って、CSRのリクエストの作成をしてそれをメールとかポータルで送り付けると、証明書機関の方でですね、その審査をして、数日後にメール等でですね、新しい証明書の送付をされると、それをシステムに適用して、適用した後にですね、動作確認をするというような、そんな流れを皆さんしているんじゃないかなという風に思うんですけれど、結果これ数日かかりますよね。数時間で終わるって書いちゃってますけど、多分数日かかるような作業、下手すると1週間かかるような作業になってるんじゃないかなという風に思います。これを、先ほどもう出てきたACMEですね、のプロトコルなんかをうまく使っていくと、もう数分で終わります。ここまで自動化ができます。

このACMEって何かという話ですね、ここはちょっと説明をさせていただければなと思いますが、先ほどの中で言えばDNSの方の仕組みですね、のプロトコルになります。CSRを作成をして送り付けるといったところはするんですけれど、ACMEチャレンジという形でですね、これをプロトコルとして送り付けますと。そうすると、認証局の方で、このドメインですね、本当にあなたのやつですか、証明してくださいっていう形で適当な文字列をですね、送り付けてくれるんですね。そいつを、ちょっとダーティハック的な形かなという気はするんですけど、DNSの方に書き込んで、書き込んだよというのをもう1度送り付けるとですね、認証局の方でチェックをして、あ、確かにあなたのドメインですねっていうのを証明したことになり、新しい証明書を送り付けてくれるみたいな、そんな流れのものになります。

ここで分かる通り、プロトコルと言いながらですね、証明書のやり取りまでのお話なんですね。皆さんがやらなきゃいけないこととしては、この全体像として、その前処理、後処理っていうのがあると思います。

ちょっと今日は構成例みたいな形でですね、もうデモできればと思ってたんですけど、ちょっと尺の関係で、そこはちょっと短縮させてください。構成例としてですね、今日お見せをしようとしているのは、Let's Encryptを対象としてですね、証明書の更新をしますよといったものと、他にですね、その直前で確認作業どういったものが必要かであるとか、更新作業した後に何が必要かといったところを一連の自動化としてですね、実装することができますよ、実現できますよという例をご紹介しようとしてます。

ここでは、この真ん中にあるですね、自動化プラットフォーム。これはうちの製品の名前なんですけど、別にこの製品に限って、これじゃないと使えませんという話ではないです。ACMEのことはですね、他の製品に対する自動化ができる製品であれば何でもいいですといったとこですね。

こちらの方から、まずですね、Webサーバーの方、NGINXであるとか、ロードバランサーとしてF5が使われてますが、そちらに関して証明書ですね、期限を確認をしますと。期限が一定期間しか残っていない場合には、先ほどのACMEプロトコルで更新をLet's Encryptにかけに行くと、取得した証明書を登録をして最終的な接続確認、状況確認をして終了するといったことを自動化していくようなことができます。

これ弊社の製品の上で作るとという話なんですけど、証明書の期限切れの確認ですね、を実施をして、先ほどのプロトコルをその後実施をした上で証明書の取得をする。BIG-IP等ですね、ロードバランサー等に配置をするとか、エンドのWebサーバーに配置をする、アクセスチェックをするみたいなところの流れを一連自動化をして作っていくようなこと、実装ができますよと。

ちょっと先ほどのACMEでですね、自動化作る時、先ほどのAnsibleだとどうなるかっていうちょっと例をここに書いているんですけど、この1行1行がですね、先ほどのチャレンジのところですね、の行になってます。こんなもの走らせると実施ができていくようなものになってまして、様々な対象に対してですね、変化をしながら実装を加えていくようなことができる、そんなものになってます。

実際に動かした時の画面ですね、を今日はキャプチャーで持ってきてます。ちょっと動画が見たい人は会場限定になるんですけど、後でよかったら来てください。

はい。こんな形でですね、Webサーバーの方の画面からですね、証明書のところ見ていただくと、期限書いてあるんですが、ここで期限が短いよとかですね、やった時に、ロードバランサーにも同じような登録されているので、ロードバランサーの方でも期限を見ていただくことができますよと。こんな状態からですね、先ほどの自動化作ったものを、こんなボタンからですね、キックして実行していくようなことがまずできます。スケジューリングで決まった時間に実行させるみたいなこともできるような仕組みになってます。

実行させていくとですね、このワークフローに従って順番に処理を実施をしていく、いろんな分岐して処理を実施していくことができるようになってまして、もうここは人が判断する必要なくですね、自動で流れますと。処理の結果ですね、こんなような画面で結果が確認できるんですけど、全て終了サクセスという形ですね、出てきますと。問題なく実行した上でですね、ここは最後手作業で確認をデモのためにしてるんですが、証明書の更新ができましたねみたいなところまで見ていくことができるような、そんな仕組み、そんなようなものがすでにですね、自動化して作れるようになってます。

今日例としてお出ししたのはAWSの上で、F5使ったり、それからNGINX使ったりしてですね、作ってますが、こういったような仕組みって、それぞれ大学さん、研究機関さんで使ってるもの異なると思うんですね。そういったものに対して、このセットじゃないと使えませんよっていう自動化っていうのはちょっといくつかあるとは思うんですが、そうではなくて、皆さんの組織の中で幅広く使っていけるような、そんな仕組みっていったところを作っていかなければいけない、といったのが実態かなという風に考えています。

これが、すいません、スケジューリングで、こういったような設定をして、決まった時間に実施をするみたいなこともできますよですね。

自動化をして実施をしていくと、どんな効果が得られるのかという話なんですけど、まず作業者にとっての時間削減になりますよね。それからリードタイムといったところで、実施しなければいけないといったところから完了までの時間の削減ができます。さらには、標準化といったことができるので、先ほどのボタン1つ押せば誰でもこう実行できるよとかですね、確認ができるよっていう状況ができるので、誰かに依存するような運用っていうのはなくなってきます。さらには可用性ですね、ヒューマンエラーなんかがなくなりますし、忘れたといったようなことですね、障害になるようなケースもなくなっていくので、そういった意味では、組織にとって良い結果といったことですかね、自動化することで良い結果が生まれていくものだと思います。

ただ、先ほどもお話ししましたが、やっぱり今のような構成って、どこの会社でも、どこの組織でも、この構成で使ってますよっていう決まりきったものが1つあるわけでもないですし、その前後の作業ってやはりそれぞれルールがあって、文化があって決まってますよね。それらを極力変えずに、その状態を維持しながら実装していくっていうのがやはり自動化していくためには必要になると思います。

そういった細々とした要求に対してですね、全て叶えられてるようなものがあるかというと、なかなか作り込まれたものとしてはないかなという風に思いますので、そういった時に柔軟な対応ができるようなツール選びであるとか、方法論を選んでいくっていうのが、この際ですね、重要になってきますと。

私たちが重要なポイントといったところをここに書かせていただいてるんですけれど、まずですね、幅広いソリューションに対してですね、対象とか領域に対して対応ができるような自動化、ここでしかできないよではなくて、いろんなものに対応ができるようなツールを選ぶとかですね。組織として共通のものを採用できるようなもの。

あとは、最近こう、先ほどお見せしたようなスクリプトのようなものを人がもうゴリゴリ書くっていう文化もなくなってきてるかなと思います。生成AIを使ってほぼほぼ完璧なものがですね、最初から作れちゃう、もう昔から時代が変わったなという感じを受けるんですけれど、一方で、出てきたものが自分たちの意図に沿ってるかどうかっていうのはやっぱりチェックしなきゃいけないので、そういう意味では読みやすく理解しやすいようなツールを選ぶとかですね、メンテナンスがしやすいツールを選ぶっていうのは重要なポイントかなと。

あとは、そのツール単独で動くわけじゃないです。例えば、監視系のツールのアラートを受けて動くとか、AIOps系のツールからリクエストを受けて動く。あとチャット系のツールからの指示を受け取るとかですね。そういったもので様々なツールと連携して自動化が実装される、実行されるっていうのが今普通に行われるようになってきてますので、そういったような観点を重視しておかないと、すぐに陳腐化されてしまうようなツールになっちゃうのかなといったところがあります。

あとは重要なポイントとして、組織としてシステムがでかくなった時に対応ができるようなスケーラビリティですね。これを備えながらスモールスタートもできるという観点。ここすごく重要なポイントかなという風に思います。あとは、セキュリティ面ですね。昨今本当にセキュリティの懸念が大きくなってきてますので、そういった意味で、迅速な対応してもらえるところ、といったところがされているようなものっていうのを選ぶのがいいんじゃないかなという風に思います。

その意味で、運用コストやメンテナンスコスト含めてですね、ちゃんとROIが確保できるようなもの、こういうのを選んでいただくと、より良い自動化っていうんですかね、といったところを組織の中で作りながら、負荷を高めないように運用者が運用を続けられるような状況になっていくんじゃないかなという風に考えています。

ここがちょっとした宣伝ですけど、そういったツールですね、の1つとしてうちの製品がありますよという話で、Red Hat Ansible Automation Platformという製品があります。先ほど押さえたようなですね、ポイントはある程度作られてます。なのでもしですね、ツールの選択で困ったらこういったものもあるなという風に思い出していただければなというくらいですね。

色々な製品ですね、ITに関わる色々なツールの自動化といったところに幅広く利用できるツールになっていますし、ヒューマンエラーの削減とかにも関わって、効率的にそういったことを実現できるようになります。また、セキュリティとかコンプライアンスですね、こういったところを管理する、遵守させるといった観点でも有益なツールになっています。

今日お話ししたのは証明書の更新という話だったんですけど、証明書の更新だけじゃなくてですね、幅広い対象に対して色々なフェーズで実施できることがあるような作りになってます。もし証明書の更新以外にも自動化といったとこに興味があれば、こういったようなこと考えていただければなという風に思っています。

ちなみに効率化ですね、といったとこで、こういったツールを使ってすでにこれくらいの効率化をしてる会社さんがいますよといった例ですね。90何%削減とかですね、こういう成果が色々出てます。なので、こういったような成果を是非出しながら、皆さんの仕事が円滑に回るようにしていただけると、より良い組織、より良いシステムができていくんじゃないかなという風に思います。

ここまで証明書の自動化の更新の話ですね、に紐付けて話をしてきたんですけど、もう1つ、ちょっとこれ蛇足にはなるんですが、最近自動化の観点でも重要だなと思ってるので、ここだけ少し話させてください。

AIですね。AIがサイバーセキュリティにおいてもやっぱり猛威を振るっているなというのを肌で感じてまして、何を言ってるかと言うと、脆弱性が出てきた時にですね、それが攻撃に利用されるハードルが非常に下がっている、短時間でこれを攻撃に利用されるっていうケースが増えているなという風に感じます。これ本当に脅威な部分になってます。これをどうしたら防げるのか、対処できるのかって考えていくと、やはりもう迅速にアップデートを当てていく、パッチを当てていくしかないと思います。そんな時にやはり重要になってくるのは自動化だと思いますので、そういった意味でも自動化って重要な側面じゃないかなという風に印象を持っていただければと思っています。

はい。すいません。ちょっと早いですが、今日のお話ですね。証明書の更新というのは、実際にはほんの第1歩かなという風に思ってます。自動化を作っていただく、取り入れていただくことで、高付加価値のあるような業務に、運用の方々の業務っていったところをシフトしていただくことができると思います。

例えば先ほどの証明書更新で数日かかりますよみたいなことがですね、頻発していくと、それしかやらない人っていうのが出てくる可能性があると思いますが、それだけやらせたい人であったり、やりたい人ってなかなかいないですよね。そうじゃなくて、やっぱりクリエイティブなというか、価値のある仕事にシフトしていく、そんな文化が作れるように自動化っていったところを取り入れていただくのがいいんじゃないかなと。

自動化していただくと、心理的な安全性っていうんですかね、ミスが少なくなるであったり、障害が少なくなるっていった側面がありますので、常にいつ降ってくるか分からないみたいなところですね、をもう身構えておくみたいな、そういう必要がなくなります。安心して仕事ができる、価値のある仕事に打ち込めるといったような体制が作れてきます。そうしていくと、やはり組織としても効率が上がっていくので、そういったところを是非皆さんとして目指していただくきっかけにこれがなるといいなという風には思っています。

本当に証明書の更新ですね、自動化の第1歩だと思ってまして、これをきっかけに時間とか安心を生み出した上で、より良い仕事、より良いシステムを作っていただくところに注力いただけると幸いです。

もう1つだけちょっと紹介をさせてください。こういったようなですね、自動化、すでにいろんな会社さんが取り組まれています。そういった会社さんのですね、様々な現場の意見というか、本音とかそういったものが聞ける機会が、実は弊社のイベントで来月ですね、ありまして、もしご興味ある方いたら、ここ見ていただければな、登録していただければなという風に思います。

すいません。私からは以上になります。ご清聴ありがとうございました。

[拍手]