クラウドのセキュリティリスクをまた1つ取り除く、Amazonクラウドの専有サーバ「Dedicated Instance」の意味

IaaS（Infrastructure as a Service）を提供するクラウドでは一般に、物理サーバを仮想化によって複数のインスタンスに分割し、そのインスタンスをさまざまなユーザーが利用するというアーキテクチャになっています。このとき、同じ物理サーバを共有しているユーザーのインスタンス同士は、仮想化を実現しているハイパーバイザによって分離が保証されています。

しかし万が一ハイパーバイザにセキュリティホールが見つかったら、分離が破られて実行中のプロセスの内容、例えば顧客の個人情報や自社の売り上げ情報などが物理サーバを共有している別のユーザーに盗み見されてしまう恐れがあったり、あるいはインスタンスそのものを乗っ取られてしまう可能性もあります。

【AWS発表】 物理ハードウェアを専用可能なAmazon EC2 Dedicated Instance登場 - Amazon Web Services ブログ

もちろんハイパーバイザは十分安全に作られており実績もあります。しかしあらゆるソフトウェアでバグが存在しないことが証明できないように、まだ見ぬセキュリティホールの可能性は誰にも否定できません。

Amazonクラウドが発表した「Dedicated Instance」は、このセキュリティリスクを排除するために利用できるオプションです。

一般的なホスティングの「専用サーバ」とは目的が異なる

利用者が特定の物理サーバを専有できる「専用サーバ」的なサービスは、多くのホスティング業者が提供している一般的なサービスです。専用サーバを借りることで確実にサーバリソースが確保され、OSなど自由に環境を構築できます。

Amazonクラウドにおける「Dedicated Instance」は、名称だけを見ればAmazonクラウドがこの専用サーバのサービスを開始したように見えます。しかしその意味は大きく異なります。

Amazonクラウドでは通常のインスタンスサイズによってリソースの大きさは保証されていますし、インスタンスにはさまざまなOSを自由にインストール可能です。つまり既存のサービスによって専有サーバ的なサービスは実現されているのです。Dedicated Instanceの提供は、ホスティングにおける専用サーバとは違う目的、つまり物理サーバを専有することによってハイパーバイザの分離が破られるセキュリティリスクを排除できるオプション、と見るべきでしょう。

Dedicated Instanceの詳しい説明を読むと、その意味がはっきりします。Dedicated Instanceは、Amazon VPC（Virtual Private Cloud）に対して設定します。Amazon VPCとは、Amazonクラウドの中で自分のプライベートクラウドを作れるサービスです。

Dedicated Instanceが設定されると、そのプライベートクラウドの中ですべてのインスタンス（あるいはDedicated Instanceを指定したインスタンス）は、ほかの顧客と物理サーバを共有しないシングルテナントであることが保証されます。

ただし、シングルテナントのインスタンスであっても、そのインスタンスの大きさはインスタンス起動前に設定したSmall、Large、Extra Largeなどが上限であり、専有した物理サーバの能力をすべて利用できるわけではありません。また複数のインスタンスを利用したときには、それらが同じ物理サーバ上に集められるのか、もしくは複数の物理サーバに分散されるか、利用者が指定したり管理することもできないようです（説明によると、物理サーバが故障したときの影響を小さくするため、できるだけ分散されるようです）。

このようにDedicated Instanceが保証するのは、あくまでも「そのインスタンスがシングルテナントである」であり、IaaSのアーキテクチャに沿ったうえでハイパーバイザのセキュリティリスクを排除するために設計されたサービスといえます。

Dedicated Instanceの料金は、1つのリージョンで少なくとも1つのDedicated Instanceを持つことで1時間あたり10ドルと、それなりの金額になっています。また、インスタンスの時間当たりの料金もやや高くなっています。これまでの実績からすればハイパーバイザのセキュリティリスクはそれほど高いものではありません。それでも将来のセキュリティリスクを排除するためにこのプレミアムを払いたいかどうかがDedicated Instanceを利用するかどうかの判断基準となるでしょう。