ネットワーク保護（HTTPS、ファイアウォール）

ネットワーク保護の全体像

Weaviate を本番環境で安全に運用する際は、通信経路の暗号化 (HTTPS/TLS) と 最小限のポート公開／ファイアウォール制御 の 2 本柱で考えます。まず「どこで TLS を終端するか」を決め、そのうえで REST/GraphQL (既定 8080)・gRPC (既定 50051) など本当に必要なポートだけを許可し、その他は環境ごとのファイアウォールや NetworkPolicy で遮断します。weaviate.ioweaviate.io

---

1. HTTPS／TLS の導入パターン

1-1. Docker Compose で自己署名証明書を使う例

yaml
weaviate:
  image: semitechnologies/weaviate:1.22
  command:
    - --tls-host        0.0.0.0
    - --tls-port        8080
    - --scheme          https
    - --tls-certificate /certs/server.crt
    - --tls-key         /certs/server.key
  volumes:
    - ./certs:/certs:ro
  ports:
    - "8080:8080"

このように –tls-certificate / –tls-key で PEM を渡すだけで暗号化通信が有効になります。stackoverflow.com

1-2. Kubernetes で Ingress + Cert-Manager を使う流れ（概要）

1. helm repo add weaviate https://weaviate.github.io/weaviate-helm

2. Helm values で service.type: ClusterIP、ingress.enabled: true を設定。

3. Cert-Manager で ACME Issuer を作成し、Ingress に cert-manager.io/cluster-issuer: letsencrypt アノテーションを付与。

4. Ingress コントローラ (NGINX, Traefik 等) が TLS を終端し、バックエンド Pod へは HTTP/8080 で転送。

補足: Weaviate Cloud Service (WCS) を利用する場合はポート 443 で自動的に TLS が有効化されているため追加設定は不要です。weaviate.io

---

2. 必要ポートとファイアウォール設定

• 境界ファイアウォール (AWS Security Group / GCP Firewall / Azure NSG): 8080 や 50051 を直接開けず、TLS 終端用の 443 のみパブリックに開放する

• Kubernetes NetworkPolicy: アプリケーション‐Weaviate 間の入出力を namespaceSelector / podSelector で限定

• 内部ロードバランサ: GKE 公式チュートリアルでは port 8080 / 50051 を Internal LB に束ね、VPC 内だけに公開しています。cloud.google.com

---

3. 運用時のベストプラクティス チェックリスト

---

4. まとめ

1. HTTPS/TLS は必須 — 小規模なら Weaviate 本体で、可用性を重視するならリバースプロキシ／Ingress で終端。

2. ファイアウォールは最小権限 — 8080・50051 など必要ポートだけを内部向け／ロードバランサ向けに開放。

3. クラスタ内部の分離 — NetworkPolicy・サービスメッシュでノード間を mTLS＋最小許可に。

4. 運用自動化 — 証明書更新、ログ収集、脆弱性スキャンをパイプラインに組み込み、定期監査を実施。

これらを実施することで、Weaviate のネットワーク面の攻撃面積を最小に抑え、安全にベクトル検索サービスを提供できます。