クラウド利用時の重要なポイント「責任分界点」とは

クラウドにおける責任分界点

ユーザーとクラウド事業者のそれぞれがインフラ基盤のどこからどこまでを担当するか定めた境界のことを「責任分界点」と呼びます。

責任分界点を越えて、自分の担当外の領域を操作・変更することはできません。具体的に言うと、ユーザーはクラウド事業者が担当する領域に対して、また逆にクラウド事業者はユーザーが担当する領域に対して、それぞれ変更を加えることができません。そのため、自社が必要とするセキュリティや可用性を担保するための機能をクラウド事業者があらかじめ提供しているかどうかが、クラウド事業者を選定する際の重要な基準の1つとなります。また、こうした提供サービスの違いがクラウド事業者ごとの特色となっています。

万が一、障害が発生した際にその障害に対応する責任がクラウド事業者とユーザーのどちらにあるのかも障害の発生した箇所と責任分解点に応じて決まります。そのため、「セキュリティ」や「可用性」についての対策も、ユーザーとクラウド事業者がそれぞれ責任分界点を境界とした各自の担当領域において行わなければなりません。

共同責任モデル

クラウドサービスにおける責任分解点としてよく用いられているのが「共同責任モデル」です。これは、クラウド事業者はインフラ基盤を管理し、仮想マシンなどインフラ基盤よりも上のレイヤーの管理はユーザーの責任で行うというモデルです。共同責任モデルにおいては、仮想マシンやゲストOSを動かす仕組みはクラウド事業者側の責任で提供されますが、OSの設定などはユーザーの責任範囲となる点に注意が必要です。

IaaSの責任分界点

クラウドサービスは大きく「IaaS/PaaS/SaaS」の3種類に分類されます。これらのサービスは、それぞれ責任分界点が異なります。

IaaSにおいてクラウド事業者が管理するのは、ハードウェアやネットワークを含むインフラ基盤です。対して、ユーザーは仮想サーバーのOSより上の領域（OS、ミドルウェア、アプリケーション）を管理することになります。IaaSは、柔軟にシステムを開発できる一方、仮想サーバーの上で動作しているOSを含めたすべてのソフトウェアという広い範囲をユーザーの責任で管理しなければなりません。

PaaSの責任分界点

PaaSにおいて、クラウド事業者が管理するのは、システム開発に必要なアプリケーションとOSをつなぐミドルウェアやデータベース管理システム、プログラミング言語、Webサーバーなどです。対して、ユーザーはユーザー自身で開発するアプリケーションを管理します。IaaSと比較すると、PaaSにおけるユーザーの責任範囲は小さくなります。しかし、責任範囲が小さくなるということは、言いかえればユーザーが管理・変更できる領域が小さくなるということです。つまり、システムをカスタマイズする自由度もそれに応じて小さくなります。

SaaSの責任分界点

SaaSにおいて、クラウド事業者が管理するのは、インフラ基盤から動作しているアプリケーションまでのすべての層になります。ユーザーは用意されているアプリケーションを利用するだけとなるので、アプリケーション上で生成したデータ以外のほぼすべてをクラウド事業者に任せることができます。3種類のクラウドサービスの中では、最もユーザーの責任範囲は小さくなりますが、事業者が用意したアプリケーションを利用するだけなので、カスタマイズなどの自由度も非常に小さくなります。

まとめ

どのようなサービスにおいても、障害が発生する可能性は存在します。サービス停止時の対応やセキュリティ対策といった観点からも、利用するサービスにおける責任分界点を理解しておきましょう。

また、利用するクラウド事業者を選定する際には機能やコストといった面だけではなく、万が一の場合にユーザー自身がどこまで責任を負う必要があるのかも考慮することが大切です。