デプロイメントチェックリスト
最終検証日：
翻訳: 竹洞 陽一郎
個々のデバイスやアクセス制御の設定にとどまらず、Tailscaleを成功裏かつスケーラブルに導入するためには、考慮すべき論点が数多くあります。
このトピックでは、見落とされがちであるものの重要な、Tailscaleを大規模に利用・導入する際の留意点について解説します。
このトピックは、Tailscale導入時のチェックリストとして活用できます。
サポート
- 社内サポート: ユーザーが社内の組織的サポートを受けるための手順をドキュメント化してください。クライアントのカスタマイズ方法については、エンドユーザー向けクライアント設定を参照してください。
- Tailscaleサポート: 問い合わせ手順をドキュメント化し、関連部署（ITヘルプデスク、運用部門など）を明記してください。社内で問題を報告する際は、ユーザーにバグレポートの生成を依頼してください。
Tailscaleの最新情報を継続的に把握する
- Tailscaleのニュースレター、ブログ、変更履歴（Changelog）のRSSフィードを購読し、最新情報を入手してください。
- セキュリティ情報のRSSフィードを購読し、セキュリティに関する通知を受け取ってください。
- 個人のメールアドレスではなく、グループのメールアドレスを使用してください。
組織への通知
- グループアドレスを使って、アカウント・構成・セキュリティに関する更新の通知メールを受け取るよう、連絡先設定を行ってください。
本番運用のベストプラクティス
- Tailscaleと顧客の間で共有されるセキュリティ責任について理解してください。
- セキュリティとパフォーマンスに関する本番運用のベストプラクティスを実践してください。
- ダイレクト接続とリレー接続の違い、および必要なファイアウォールポートについて理解してください。
tailnetの管理
一般設定
- tailnet設定、ユーザー管理、デバイス管理の各設定を行ってください。
- 監査証跡を残すため、Infrastructure as Code（IaC）とGitOpsを使って設定を管理してください。
tailnetポリシーファイルの管理
- IaCとGitOpsを通じてポリシーファイルを管理してください。
- アクセスパターンとネットワークセグメントを表す、一貫性のあるタグの命名規則を導入してください。
ユーザー管理
ユーザーとグループのプロビジョニング
- 対応するプロバイダーでSCIMを設定し、ユーザーとグループの自動プロビジョニングを行ってください。
Tailscale固有のロール
- 組織の所有権を、適切なチームメンバーに移譲してください。
- 職務内容に応じて、ロール（ネットワーク管理者、IT管理者、請求管理者など）を割り当ててください。
デバイス管理
- セキュリティポリシーに従って再認証を要求する、カスタム認証期間を設定してください。
- デバイスを正確に識別できるよう、デバイスID収集を有効にしてください。
- 最小限のOSバージョンおよびクライアントバージョンを要求する、デフォルトの送信元ポスチャルールを設定してください。
EDRおよびMDM連携
- EDRおよびMDMツールと連携するよう、Tailscaleを設定してください。
- 利用可能なノード属性に基づいて、デバイスポスチャの条件を定義してください。
エンドユーザー向けクライアント設定
- モバイルデバイス管理（MDM）ソリューションを使って、Tailscaleを展開してください。
- 従業員のデバイスで、クライアントの自動更新を有効にしてください。
-
MDMを通じて、以下を含むシステムポリシーを設定してください。
- クライアントの動作を強制する:
Tailnet、UseTailscaleDNSSettings、UseTailscaleSubnets、PostureChecking - 未使用の機能を非表示にする:
AdminConsole、HiddenNetworkDevices、ManageTailnetLock、RunExitNode - サポート情報を提供する:
ManagedByCaption、ManagedByOrganizationName、ManagedByURL
- クライアントの動作を強制する:
サーバー構成
- 繰り返し可能でエラーの起きにくいプロビジョニングのため、Infrastructure as Codeを使ってサーバーのデプロイを自動化してください。
モニタリング
クライアントメトリクス
- サブネットルーター、Exit Node、アプリコネクタ、その他の重要なデバイスから、クライアントメトリクスを収集してください。
tailnetの変更を監視する
- モニタリングシステムやSlackへの通知のために、Webhookを設定してください。
- デバイスの構成ミスに関するイベント、tailnetの管理変更、Webhookの更新について、アラートを設定することを推奨します。
ログストリーミング
- SIEMシステムへのログストリーミングを設定してください。
- 自社のセキュリティポリシーに従って、データ保持期間を設定してください。
- 管理コンソールでの変更（作成・更新・削除の各アクション）に対して、SIEMアラートを設定してください。