GCP Terraform Misconfiguration: Cloud SQL Database Publicly Accessible

Terraform 構成は、Google Cloud SQL Database インスタンスへのパブリック アクセスを有効にします。

不要なネットワーク トラフィックのブロックに失敗すると、クラウド サービスの攻撃対象領域が拡大します。一般に公開されているサービスは、悪意のあるエンティティによるほぼ継続的なスキャンとプロービングの対象になります。

デフォルトでは、Terraform は、プライベート IP アドレスからの接続のみを受け入れる Google Cloud SQL Database インスタンスをデプロイします。オプションの認可されたネットワークの設定で、パブリック IP アドレスの許容範囲を定義します。

例 1: 次の Terraform 構成は、authorized_networks ブロックで value を 0.0.0.0/0 に設定します。/0 の CIDR ブロックは、0.0.0.0 から 255.255.255.255 までの任意の IP アドレスからの接続を受け入れます。

resource "google_sql_database_instance" "db-demo" {
  ...
  settings {
  ...
    ip_configuration {
    ...
      authorized_networks {
        name  = "any ip"
        value = "0.0.0.0/0"
      }
    ...
    }
    ...
  }
  ...
}