第3回さくらのクラウドユーザー会レポート ～さくらのクラウド活用事例～
こんにちは、さくらのナレッジ編集部です。2025年3月21日に、新宿の京王プラザホテルにて「第3回さくらのクラウドユーザー会」が開催されましたので、その中からユーザー様の活用事例を中心にレポートいたします。
さくらのクラウドで実現！医療プロダクト事業の早期黒字化達成
株式会社メディサージュの本橋様より、「さくらのクラウドで実現！医療プロダクト事業の早期黒字化達成」と題してのセッションがありました。
株式会社メディサージュはファルコホールディングスのグループ会社で、ファルコホールディングスの各グループ会社は、臨床検査、遺伝学的検査、医療機関運営支援、調剤薬局を事業として手がけておられます。その中でメディサージュでは医療機関運営支援のサービスとして、電子カルテサービス、検査依頼・結果照会サービス、保険請求支援サービスをおこなっています。このうち保険請求支援サービスのプロダクトである「レセスタ」と「ピクスリー」の基盤としてさくらのクラウドをご利用いただいているとのことです。
レセスタというサービスは、レセプトと呼ばれる診療に関する情報を厚生局への提出前にチェックしたり、診療報酬に関する医療機関からの問い合わせに対応したり、2年に1回おこなわれる法改正の内容に関してセミナーを開いたりされているそうです。レセプトは通常の3割負担であれば残りの7割がこの情報の提出によって支払われるため、医療機関の経営において非常に重要なデータとなります。
レセスタにおいてさくらのクラウドを採用したポイントとしては、このプロダクトが最初はユーザーがおらず売り上げの見通しが立てられない状況のため極力コストを抑えた状態で立ち上げる必要があったことと、他社サービスを使用していたが不安定であったことと、厚生労働省からガイドラインが示されたことで他のサービスへ移行する必要があったところに、さくらのクラウドというサービスがあったことを思い出し、コストの算出等をおこなったところ条件をクリアしたため採用に至ったとのことでした。
当初はWebサーバー、ロードバランサー、バッチサーバー、メールサーバーという非常にシンプルな構成であったところ、現在では各サーバの台数が増加して合計30台程度の規模になっているそうです。また当初は東京リージョンのみを使用していたそうですが、現在はブリッジ接続を用いて石狩リージョンと接続し、石狩リージョンにもサーバーを配置する構成となっています。
続いてメンテナンスを実施した際の事例が紹介されました。医療機関ではファイアウォールによりセキュリティをかけているところが多く、ドメインかIPアドレスをホワイトリストに入れていただく必要があるのですが、IPアドレスでしか指定できないというケースが多いそうです。そんな中CentOS7のEOLが迫っていたこともありRocky Linux9への移行をおこなうことになったそうですが、IPアドレスを変更せずにOSを入れ替えるために、新サーバを仮に作成して構築を実施した後に新サーバーのディスクを旧サーバーに接続してIPアドレスを書き換えることで移行をおこなったということです。
さくらのクラウドを使い続けていて感じるメリットとして、UIが非常にわかりやすい「利用者のことを考えてくれているUI」であることと、ドキュメントが豊富であることと、サポート体制が充実していることなどが挙げられました。
またさくらのクラウドが国産初のガバメントクラウド対象サービス（条件付きの採択）になったことで営業トーク上も有利に働いているとのことです。また価格が安いため3～4年で黒字化達成する目標であったところを、それよりも早く黒字化を達成することができたそうです。
また、国の掲げている医療DXの目玉機能のひとつとして「共通算定モジュールAPI」というものがあり、各医療機関でレセプトチェックがおこなえるようになることから、現在のサービスが先細りすることが予想されるため、新しいサービスを開発して行く必要がありますが、ユーザー会を通じて他の業界の方と交流して進めていきたいと考えられているということで締めの言葉とされておりました。
質疑応答では、他と比較してさくらのクラウドを選定した理由について質問があり、コストと機能面と操作性でさくらのクラウドを選定し、上位3社のクラウドほどの機能は求めていなかったが、幹部の方からは上位3社のクラウドでないといけないのではないかという意見も強くあったというのも事実であると説明されておりました。
BOTに立ち向かう！CDNで守る現代のWebセキュリティ
続いて合同会社レッドボックスの小川様より、「BOTに立ち向かう！CDNで守る現代のWebセキュリティ」と題してのセッションがありました。
サーバーの負荷が高くなり時間帯によりWebサイトの表示速度が遅くなるといったことや、アクセスは急増しているのにコンバージョンが低いとか、そういう経験がある方もいらっしゃると思います。それはもしかしたらBOTによるものの可能性があるというお話で、このようなBOTに対してどのように対策していくのかというのが今回の発表テーマでした。
合同会社レッドボックスは定額の国産CDNサービスを提供している会社で、2015年に設立され、今年で10周年になる会社になります。アジェンダは以下の通りで、なぜセキュリティ対策が求められているのか、CDNでセキュリティ対策とはどのようにするものなのか、さくらのクラウドの利用方法などについてのお話がありました。
NICTが運用しているダークネット観測網「NICTER」によると、不正と思われるパケットが2015年から2023年にかけて、おおよそ10倍程度になっているとの説明がありました。またImpervaのレポートによると、インターネットトラフィックの30%は悪質なBOTによる不正アクセスであると言われています。またイスラエルのセキュリティ企業CHEQのレポートによると、17.9%はフェイク・トラフィックと呼ばれる、正規のユーザーになりすました不正アクセスであるということも言われています。これらはすべて2023年のレポートで、2024年にはオートメーションツールの活用とAIの活用により、さらに増加することが見込まれているとのことです。
実際にあった事例として、ECサイトを運営されているお客様で、キャンペーンを実施したところサーバーの負荷が増大しエラーが発生するほどのアクセスがあったにもかかわらずコンバージョンがあまりよくなかった事例が紹介されました。多くのトラフィックが正規ユーザーになりすましたBOTによるものだったとのことです。
BOTの攻撃としては主に3つあり、
- BOTによる大量アクセス（インフラの負荷・コストが増加）
- TCP/UDPセッション増加（FWの上限やセッションの枯渇）
- 脆弱性を突いた攻撃（情報漏洩など）
近年は1と2が増加傾向にあるそうです。BOTも高度化しており、正規ユーザーと同様の振る舞いをして検知を回避するようになっており、これらを適切に判断し回避する必要があります。
WebセキュリティといえばWAFが想像されるということで、WAFの解説もありました。WAFはインストール型とProxy型の2種類があり、インストール型はシンプルに導入できますが、DDoS対策ができないことと、サーバー数によってライセンスコストが増加することがあります。Proxy型の場合はDDoS対策にも対応しているものがありますが、Proxyをしているためパフォーマンスの低下が起こる可能性があり、また転送量によって費用が変動するため予算がとりにくいという問題があるそうです。CDNはProxy型と同様の使い方になりますが、WAF単体の弱点をカバーできるのがメリットとのことです。
ここからはCDNについての解説がありました。CDNはユーザーとオリジンサーバーの間に位置し、ユーザーは必ずCDNを通ってオリジンサーバーにアクセスすることになります。CDNが高速化に有効だと言われるのは、1回アクセスがあったコンテンツをキャッシュしてCDNから配信するよう動作するため、オリジンサーバーに対してのアクセスが減少し負荷が軽減されるということにあります。またCDNは複数のエッジサーバーを持っており、ネットワークで一番近いエッジサーバーに誘導することで速度が向上させることができるということがあります。
CDNで行えるセキュリティ対策には、それぞれロードバランサーなどやWAFなどでも対応できるものもあります。オリジンサーバーを隠すようなことやクライアントIPアドレスの制限やHTTP・TLSの最新化などはロードバランサーでも可能であり、アプリケーションレイヤーでのセキュリティ対策や不正IPアドレスのブロックや国別にアクセスをブロックするようなことはWAFでも対応が可能です。
CDNが得意としているセキュリティ対策としては、
- DDoS対策（大規模なエッジサーバーでカバーする）
- X-forwarded-forヘッダの偽装防止（正規のクライアントIPアドレスの判定）
- レスポンスヘッダーを隠す、セキュリティ関連ヘッダーを付与する
- CDNからのリクエストだけ許可するようセキュリティヘッダーによる制御
- レートリミット（大量のアクセスをするユーザーを独自ルールで排除する）
- レイヤー4(トランスポート層)レベルでの防御（不正BOTのIPアドレスをブロックする）
- GSLBなどのルーティング判定で、BOTや不正アクセスを誘導
などがあり、特にレイヤー4レベルでの防御や不正トラフィックの誘導にCDNの強みがあるということです。
ここまでで挙げられた対策はすべてCDNで実現が可能ですが、1カ所ですべてを行おうとするとパフォーマンスに影響を与えるため、レイヤー毎にセキュリティ対策を分離してエッジサーバーのパフォーマンスを上げる工夫をされているとのことです。
同じ判定を各エッジサーバーで実施するとエッジサーバー毎に負荷の偏りが発生し非効率となるため、2つに分けて実施されており、ネットワーク関係の処理はフロントで対応し、アプリケーションレイヤーに近い部分については中間キャッシュでまとめて実施しているとのことです。この中間キャッシュの環境としてさくらのクラウドをご利用いただいています。中間キャッシュはエンハンスドロードバランサを用いて東京リージョンと石狩リージョンに分散させることができるようになっています。東京リージョンと石狩リージョンはブリッジ接続によってつながっており、連携動作も問題なく行えているようです。
問題となってくる点としては、CDNを経由せずにオリジンサーバーにアクセスされる可能性があることですが、これはCDNでは一般的にはセキュリティヘッダーによる制御を行うところ、オリジンサーバーは無加工でやりたい、IPアドレスで制限したいという要望がありました。そこでルータ＋スイッチを使うことで複数のグローバルIPアドレスを持ち、契約者ごとにグローバルIPアドレスを割り当てることでIPアドレスによる制御を実現したとのことです。
さくらのクラウドを導入する決め手となったのは、従量課金などの見えないコストがないことと、国内で複数リージョンを展開していることと、グローバルIPアドレスの追加が柔軟に可能であることが挙げられました。また、エンハンスドロードバランサについても非常に良いとお褒めの言葉をいただきました。
CDNがセキュリティ対策に使われる理由として、エッジが分散されるため一点集中攻撃がしにくいこと、HTTP/HTTPS以外開放しないのでSSHなどのスキャンなどの影響が少ないこと、WAFと統合されているので管理がシンプルになること、動的コンテンツもキャッシュできること、オリジンサーバーを簡単に隠せることを挙げておられました。
なお、冒頭のECサイトのお客様はレッドボックス様のCDNを導入することでオリジンサーバーの負荷が軽減し、コンバージョンも1.3倍程度になったとのことで、CDNを導入することに満足せず、分析と対策をおこなうことが大切であることを言われていました。
日本ではセキュリティ対策の予算がとりにくい状況があるとし、それは何かあったときに予算以上の損害があることがわからないからと説明されていました。
質疑応答では、レッドボックスCDNを導入する際ルールの提供はあるのか？という質問があり、OWASPトップ10のようなルールについてはマネージドルールとして提供されており、管理画面からON/OFFすることが可能であること、誤検知などがある場合はログの解析なども無料で実施しているとの回答をされておりました。
パネルディスカッション
ユーザー様のセッションの後は、登壇されたユーザー様と、クラウド事業本部の長野によるパネルディスカッションが行われました。パネルディスカッションの司会はコミュニティマーケティンググループの法林が務めました。
さくらのクラウドを利用するにあたって、本橋様は「ハードウェアの管理から解放されているのでその苦労がなかったのがよかった」とされ、小川様は「CDNに使用するクラウドはディスクI/Oが遅いと使いものにならないため、ディスクやCPUのベンチマークを長期間とっていた」とされておりました。
クラウドで医療情報を取り扱うことについては、厚生労働省が出しているガイドラインに沿ってアプリケーションの対応などは発生したが、クラウドを利用するにあたって問題になった点はなかったとのことです。
さくらのクラウドの機能については、本橋様は「データベースの暗号化に取り組まないといけないと考えている。また最近ブリッジ機能を使ったが非常に便利だった」とされ、小川様は「自社でエッジサーバーの監視にPrometheusを使用しているが大変なので、マネージドサービスとして提供されるのは興味がある」とされていました。
さくらのクラウドへの要望としては、本橋様からは「3TBのディスクのディスク移行に停止時間がかかるので改善する方法があれば教えてほしい」とあり、長野からは「すぐに改善できるという回答ができないが、裏側の仕組みで改善する検討は進めている」と回答していました。小川様からは「キャパシティの問題で、特定のリージョンで特定のリソースが追加できないということがあるのを改善してほしい」とあり、長野からは「ガバメントクラウド対応が完了しユーザー様が増加するにあたって、キャパシティについても、使いたいときに使えるように改善していきたい」と回答していました。
まとめ
どちらのユーザー様もさくらのクラウドを有効活用されており、それぞれのセッションも非常に参考になるものでした。また活発な意見交換も行われ、意義のある会になったと思います。次回以降の開催にもご期待ください。