Redisセキュリティ講座「RU330」がRedis Universityで正式リリース

ここ数ヶ月間、Redis教育チームはRedisセキュリティを網羅する新しいコースの開発に力を注いできました。そして本日、RU330「Redis Security」の一般提供開始をお知らせできることを嬉しく思います。本番環境でRedisを運用している方なら、ぜひ受講登録をご検討ください。

まだ迷っている方は、このまま読み進めてみてください。

なぜRedisセキュリティなのか？

「まともなデータベースは必ずセキュアでなければならない」——これは普遍的な真理です。では、具体的にどうやってRedisをセキュアにするのでしょうか？ 正直に言えば、Redis開発の初期段階では、セキュリティよりも実用性と安定性が優先されていました。

しかし近年、特にRedis 6のリリース以降、状況は大きく変化しました。現在では、アクセス制御リスト（ACL）を活用して最小権限の原則を実装したり、TLS（Transport Layer Security）暗号化を有効にしてRedis接続を保護したりすることが可能になっています。

この流れを受け、私たちは「Redisセキュリティの決定版ガイド」を作りたいと考えました。その努力の結晶こそが、RU330「Redis Security」なのです。

さて、誰がこのコースを担当するのか？ なぜ受講すべきなのか？ 何を学べるのか？ 順番に見ていきましょう。

講師紹介

Redis Securityのコース構想は、セキュリティ担当のRedisプロダクトマネージャーであるJamie Scottから始まりました。Jamieは日々顧客とセキュリティについて対話しており、オープンソースRedis 6、Redis Enterprise、Redis Enterprise Cloudのセキュリティ機能開発にも深く関わってきました。言うまでもなく、この取り組みを牽引するにはうってつけの人材であり、セキュリティコースの大部分で主任講師を務めます。

私はJamieの共同講師です。長年ソフトウェアエンジニアおよびテクニカルライターとして活動し、Redis Universityのカリキュラム開発者としても豊富な経験を持つ私が、Jamieとともに、皆さんの時間に見合う魅力的で有益なコースを作り上げました。

学べること

本コースは、セキュリティ教育に対して全体的（ホリスティック）なアプローチを採用しています。

Redis固有のトピックに入る前に、まず誰もが知っておくべき一般的なセキュリティ原則から始めます。機密性・完全性・可用性からなるCIAトライアド、多層防御（Defense in Depth）、最小権限の原則といった情報セキュリティの基礎をカバーし、その後、Redisの基本的なセキュリティ制御機能を解説します。コース後半では、暗号化と公開鍵暗号方式について徹底的に学んだうえで、実際にRedisデプロイメントへTLSを実装する手順を具体的に示します。

Redisのセキュリティ機能の背景にある考え方を理解することで、本番環境へ移行する際に最善の判断を下せるようになるのが私たちの目標です。たとえば、アプリケーションが本当に必要とするRedisアクセスレベルについて、しっかり考えてみてください。RediSearchに対する検索クエリの実行だけが役割のサービスを運用しているなら、そのサービス専用のACLユーザーを作成するのが望ましいでしょう。定義するACLユーザーは次のようなイメージです：

user searchservice on >secret +FT.SEARCH ~*

このACLディレクティブにより、FT.SEARCH——RediSearchインデックスへクエリを実行するコマンド——というただ1つのコマンドだけを実行できるユーザーが作成されます。これは優れたプラクティスです。万が一アプリケーションが侵害された場合でも、被害が及ぶ可能性を大幅に減らせるからです。たとえば、このアプリケーションはFLUSHDB（すべてのRedisデータを消去し、ユーザーに深刻な影響を与えかねないコマンド）を呼び出すことはできません。

ホラーストーリー

本コースは、「Redisホラーストーリーを回避するためのテクニック集」と捉えることもできます。実際、Redisは世界中で広く利用されているため、悪意あるハッカーやスクリプトキディの格好の標的になり得ます。学習のモチベーションを高めるため、Jamieと私はコース内で毎週異なるRedisホラーストーリーを取り上げることにしました。悪名高いRedisの攻撃事例と、それを防ぐために何ができたのかを学ぶことができます。

オープンソースRedis

本コースはオープンソースRedisに焦点を当てているため、ほとんどのRedisユーザーに幅広く活用いただけます。組織でのRedis利用を拡大する際に役立つRedis EnterpriseやRedis Enterprise Cloudの機能についても、必要に応じて言及します。とはいえ、RedisはオープンソースRedisユーザーへのコミットメントも揺るぎないものがあり、現在他に6つ提供されているRedis Universityコースと同様、本コースでもオープンソースRedisを中心に据えています。

Redisデプロイメントを守ろう

Redisセキュリティは必ず習得できます。正しいセキュリティ上の判断を積み重ねれば、ほとんどの攻撃者を未然に防ぐことも可能です。RU330「Redis Security」では、それらすべてに加えて、保護したいあらゆるシステムに応用できる汎用的なセキュリティ原則も学べます。

本コースはインストラクター主導型で、3週間の学習期間に加え、最終試験のための1週間が設けられています。コース期間中は、Discordチャンネルで質問にお答えしたり、気軽に交流したりできます。ぜひご参加ください！