パブリックパターンにおける WAF による IP 制限の必須化について（重要なお知らせ）
最終更新日: 2026年10月19日
昨今、インターネットに公開されたドメインを標的とした高度な攻撃が増加しています。この状況を踏まえ、AI-Starter をパブリックパターンでインターネットに公開して運用する場合、AWS WAF による IP アドレス制限（許可リスト方式）の適用を 必須 とさせていただきます。本記事では、変更の背景と内容、管理者の皆さまにお願いしたい対応についてご案内します。
背景
AI-Starter の パブリックパターン では、これまでも SSO（シングルサインオン）による認証と AWS WAF によって、不正なアクセスを防いできました。一方で、IP アドレス制限はお客様の環境やご要望に応じて任意で適用する設定としていました。
しかし、公開ドメインを取り巻く状況は変化しています。
- 公開されたドメインは、公開直後から自動化されたスキャンや脆弱性探索の対象になる
- ログイン画面や認証エンドポイントに対する、認証情報の総当たりやリスト型攻撃が高度化している
こうした状況に対して最も効果的なのは、許可された送信元以外からアプリケーションに到達できないようにすることです。IP アドレス制限によって攻撃対象領域そのものを縮小し、認証前の攻撃面を外部に晒さない構成を標準とさせていただきます。
変更内容
対象となる構成
| 構成 | インターネットからの到達性 | IP 制限 |
|---|---|---|
| パブリックパターン 構成例 1（インターネット経由でアクセス） | あり | 必須 |
| パブリックパターン 構成例 2（閉域網経由でアクセス） | なし（セキュリティグループで拒否） | 対象外 |
| プライベートパターン | なし | 対象外 |
対象は、インターネット経由で利用者がアクセスするパブリックパターン（構成例 1）です。閉域網経由でアクセスする構成は、すでにインターネットからの受信トラフィックを拒否しているため、本件の対象外です。各構成の詳細は アーキテクチャ をご覧ください。
適用する設定
AWS WAF の IP アドレス制限ルールを、許可リスト方式で適用します。
- 許可リストに登録した IP アドレスからのアクセスのみを許可する
- 許可リストに含まれない IP アドレスからのアクセスは、ログイン画面に到達する前に WAF で遮断する
- 従来の WAF による保護は、引き続き併用する
WAF テンプレートのパラメータでは、以下の組み合わせに相当します。
| パラメータ名 | 値 |
|---|---|
| DefaultAction | block |
| IpRuleAction | allow |
| IpAddressList | 許可する IP アドレス（CIDR 形式、カンマ区切り） |
適用時期
- 新規構築: 今後構築する環境では、IP 制限の適用を構築手順に含めます。構築前に、許可する IP アドレスの確認とご提供をお願いします
- 既存環境: IP 制限を適用していない環境は、順次適用をお願いします。具体的な時期や進め方は、担当者から個別にご案内します
管理者の皆さまへのお願い
1. 許可する IP アドレスの洗い出し
利用者が AI-Starter にアクセスする際の、送信元グローバル IP アドレスを確認してください。代表的なものは以下のとおりです。
- オフィスや拠点のインターネット回線の固定グローバル IP アドレス
- リモートアクセス VPN やクラウドプロキシ（SASE / SWG など）の出口 IP アドレス
- AI-Starter に直接アクセスする外部システムや連携サービスがある場合、その送信元 IP アドレス
IP アドレスは CIDR 形式（例: 192.0.2.1/32）でお知らせください。将来変更される可能性がある場合は、その旨もあわせてお知らせください。
2. 利用者への周知
IP 制限の適用後は、許可リストに含まれない環境からはアクセスできなくなります。特に以下のケースに該当する利用者へ、事前の周知をお願いします。
- 自宅やモバイル回線から、VPN を経由せずに直接アクセスしている
- 出張先や外出先のネットワークからアクセスしている
- 拠点によってインターネット回線の出口 IP アドレスが異なる
これらの利用者には、VPN を経由してアクセスするなど、許可リストに含まれる経路での利用をご案内ください。
3. WAF 設定の反映
IP 制限の設定は WAF のテンプレートに含まれるため、反映には インフラストラクチャのアップデート が必要です。担当者による更新、またはお客様自身による更新のいずれかで実施します。担当者からテンプレートの提供や更新作業のご案内がある場合があります。
おわりに
最後までお読みいただきありがとうございます。今回の変更は、AI-Starter を安心して長く使い続けていただくためのセキュリティ基盤の強化です。利用者の皆さまには経路の切り替えなどご負担をおかけする場合がありますが、ご理解とご協力をお願いします。ご不明な点やご要望がありましたら、お問い合わせ よりお寄せください。