SoftLayerのテクニカルサポートとしての経験をベースに、実際にあった障害事例や、SoftLayer上でシステムを構築する際に注意すべきパターンをお話します。

1. © IBM Corporation1
Presented by:
エキスパートから失敗を学べ
～SoftLayerアンチパターン・デザイン
～ 畑 大作 / 安田 忍
IBMクラウド・マイスター
日本アイ・ビー・エム株式会社

2. © IBM Corporation2
今日話す人
@testnin2@dai39_hata

3. © IBM Corporation3
話すひと 日本IBM クラウド・マイスター
畑 大作
①システム管理製品（Tivoli）の元スペシャリスト
②日本IBMにおけるTivoliの中の人っぽい仕事を長く経験
③SoftLayer を基にした設計屋さんと説明屋さん
好きな
サービス
トリプル・ネットワーク・アーキテク
チャー
趣味 山登り
スノーボード（担ぎあり）

4. © IBM Corporation4
こんなとこにもいってます

5. © IBM Corporation5
話す
ひと
日本IBM クラウド・マイスター
安田 忍
①データベース(DB2/Oracle等)の元スペシャリスト
②日本IBMにおけるミドルウェア製品のデリバリーを長く経験
③SoftLayer を基にした設計屋さんと説明屋さん
好きなサー
ビス
世界各地に沢山あるデータセンターとその
間の無料のグローバルネットワーク
趣味 将棋、温泉、食べ歩き

6. © IBM Corporation6
アンチ・デザインパターン
1. Standard Image Templateのサイズ見積もり方式
2. VMWare ESXサーバーの課金
3. 10GB NICを使用しているサーバーでのDedicated Firewall/Fortigate
Firewall
4. SoftLayerネットワークの使用方法
5. パスワードリセットに備えたカスタマーポータルでのユーザ設定
6. SSH/RDPアクセスのためのFirewall構成
課金
セキュリ
ティー
ネット
ワーク

7. © IBM Corporation7
1．Standard Image Templateのサイズ見積もり
• アンチデザイン
• Standard Image取得は、仮想サーバーのディスク容量ではなく実データのサイズと言われているが、
実際はVHD（仮想ディスク）のサイズ
• VHDのサイズはThin Provisioningのため実際のディスク容量より小さい容量が初めはアサインされ、
データの増加に伴い自動的に拡張される
• 一度拡張されたVHDは、データが削除されても縮小されることはないため、場合によっては実データ
容量より大きいサイズとなる
VHD
ファイル
内蔵ディスク（100GB）
Thin Provisioningのため
ディスク容量よりも小さな
VHDが作成される
実データが増加すると自動
的にVHDファイルが拡張さ
れるが、データが削除され
ても縮小はしない
VHD
ファイル
Standard Image Template
Standard Imageの取得サイズは
実データ容量ではなくVHDファ
イルのサイズに依存

8. © IBM Corporation8
1．Standard Image Templateのサイズ見積もり
• 望ましい方式
• Standard Image取得時のサイズを実容量と同じにするには、新規にストレージを購入してcopyする
VHD
ファイル
内蔵ディスク（100GB）
拡張されたVHDファイル内のデー
タを、追加した別ディスクにコ
ピーすることでVHDファイルの縮
小が可能
VHD
ファイル
ポータブルディスク（100GB）

9. © IBM Corporation9
2．VMWare ESXサーバーの課金
• アンチデザイン
• VMWare ESXはVMのメモリーアロケーション状況で課金を行うため、定期的にVMの稼働状況を
チェック
• VMWare ESXをユーザーが手動で停止すると、物理サーバー搭載メモリ分の課金がされる可能性があ
る
• 望ましい方式
• VMWare ESXサーバーは、運用上必要でなければ、原則長時間の電源停止を行わない
Baremetalサーバ
VMWare ESXi
SoftLayer管理サーバ
VM
4G
B
VM
8G
B
・・
VM
8G
B
VMにアロケーショしたメ
モリー容量を監視し、容量
に応じて従量課金
サーバが停止した場合、監視が行えないため、
Baremetalサーバ搭載分の全メモリ分の課金が
されてしまう。

10. © IBM Corporation10
3．10G NICでのDedicated Firewall/Fortigate Firewall
• アンチデザイン
• Dedicated Firewall/Fortigate Firewallはスループットの上限が1Gbps
• Public側で1Gbps以上のスループットが必要な場合にFWがボトルネックとなる
SL DC
インターネット Dedicated FW
Fortigate
クライアントPC
サーバ（10GbpsNIC）
サーバ（10GbpsNIC）
サーバ（10GbpsNIC）
サーバのNICを10Gbpsに
アップグレードしてもFW
の上限が1Gbpsのためボト
ルネックとなる

11. © IBM Corporation11
3．10G NICでのDedicated Firewall/Fortigate Firewall
• 望ましい方式
• Vyatta Gateway Applianceの10GbpsNICをFWとして使う
SL DC
インターネット
Vyatta Gateway
(10Gbps NIC)
クライアントPC
サーバ（10GbpsNIC）
サーバ（10GbpsNIC）
サーバ（10GbpsNIC）
NICを10Gbpsにアップグ
レードしたVyattaをFWと
して使用し、FWがボトル
ネックとなることを軽減す
る

12. © IBM Corporation12
4．SoftLayerプライベート・ネットワークとオンプレNW間の通信形態
• アンチデザイン
• SoftLayerネットワークを、トラフィックの通信路としてのみ使用する使い方は原則禁
止
① クライアントPC - オンプレのWebサーバー間で、直接TCPセッションが確立するケース
② クライアントPC - オンプレのWebサーバー間に、Proxy等があり、TCPセッションはそこで終端するケース
SL海外DC SL TOKYO DC
DirectLink
（専用線）
DirectLink
（専用線）
SoftLayer
Backbone NW
オンプレDC（国内）オンプレDC（海外）
インターネット
proxyサーバ
クライアントPC
クライアントPC
サーバー
①
②

13. © IBM Corporation13
4．SoftLayerプライベート・ネットワークとオンプレNW間の通信形態
• 望ましい方式
• クライアントPC - SoftLayer上のシステム- オンプレのWebサーバーのように、クライ
アントPCはSoftLayer上のシステムにアクセスし、SoftLayer上のシステムがオンプレの
Webサーバーにアクセスしてデータを取得して、クライアントPCに提供する
SL海外DC SL TOKYO DC
DirectLink
（専用線）
DirectLink
（専用線）
SoftLayer
Backbone NW
オンプレDC（国内）オンプレDC（海外）
インターネット
Webサーバ
クライアントPC
クライアントPC
DBサーバー

14. © IBM Corporation14
5. パスワードリセットに備えたカスタマーポータルでのユーザ設定
• アンチデザイン
• カスタマーポータルでSecurity Questionsを設定していない。
• 一般にパスワードリセットは、
• 一般ユーザー：SoftLayerサポートに依頼してもリセットはしてくれない。アカウ
ントユーザーのみリセットできる。
• アカウントユーザー：SoftLayerサポートに依頼してリセット可能だが、本人特定
のための詳細なチェックが発生し、（ソーシャルハッキングなどを鑑みるとそう
簡単にリセットされてしまっては困るので当然だが）非常に面倒くさい

15. © IBM Corporation15
5. パスワードリセットに備えたカスタマーポータルでのユーザ設定
• 望ましい方式
• ユーザー設定にて、Security Questionを入力する。
• password認証だけでなく、Security Questionを入力しないとログインできないように構成す
ることも可能。
• 詳細はこちらのページも参照。http://qiita.com/testnin2/items/9e2fd480731071152afb

16. © IBM Corporation16
（参考）パスワードリセットの方法
1. カスタマーポータルで
Forget Passwordを選択
2.ユーザーIDとメールアドレスを入力 3.以下の画面に遷移し、メールが届く
ので、メール中のリンクを選択
4.全てのSecurity Questionsに答えて、
新パスワードを入力

17. © IBM Corporation17
6. SSH/RDPアクセスのためのFirewall構成
• アンチデザイン
• Firewallを使っていない。もしくは、
• Firewallを使っていても、RDP(port: 3389)やSSH(port: 22)以外のポート番号を
閉じているから、インターネットからアクセスしても安全だと誤解している。
SL DC
FW
インターネット
クライアントPC

18. © IBM Corporation18
6. SSH/RDPアクセスのためのFirewall構成
• 望ましい方式
• Firewallは、開いているポートに対する攻撃をブロックすることはできない。
• 最低でも以下のどれかの方式を採用する。これ以上の対策ができると望ましい。
Public NW
を完全に閉
じて、
Private
NW経由で
アクセスす
る
パスワード
は十分に複
雑である。
（Linuxで
は秘密鍵暗
号化方式が
使えるなら
そちらが望
ましい）
Firewallで
不要なポー
トはすべて
閉じている。
Firewallで
接続元IPア
ドレスを制
限している。
SSHや
RDPに
Well-
known port
番号を使用
しない。
アクセス履
歴を定期的
に確認する
方法１ ✔ ✔ ✔
方法２ ✔ ✔ ✔ ✔
方法３ ✔ ✔ ✔ ✔

19. © IBM Corporation19
–Any Questions ?

20. © IBM Corporation20© IBM Corporation20
Accelerating Digital Business

21. © IBM Corporation21
アンチ・デザインパターン
1. Standard Image/Flex Imageによるバックアップ
2. Imageのサイズ見積もり方式
3. Image取得と展開の設計
4. Public NICでのheart beat
5. 10GB NICを使用しているサーバーでのDedicated Firewall/Fortigate
Firewall
6. VMWare ESXサーバーの課金
7. ベアメタルにおけるHDD監視
8. パスワードリセットに備えたカスタマーポータルでのユーザ設定
9. SoftLayerネットワークの使用方法
10. SSH/RDPアクセスのためのFirewall構成