質問
🕓 事例公開日 : 2026-06-23
【背景】
VPCピアリング経由でシェアードデータベースに接続する構成を運用している。バックエンドのセキュリティグループにシェアードデータベースのIPアドレスを許可設定していたが、接続不可時の挙動を確認するため、この許可設定を削除してみた。ところが、設定を削除してから2日間、システムは問題なくシェアードデータベースへアクセスできていた。データソース設定やシェアードデータベース設定には一切変更を加えていない。Q1.
データソース設定やシェアードデータベース設定は、バックエンドの接続先ポリシー設定よりも優先されるのか？回答
A1.
データソース設定やシェアードデータベース設定が優先されていたわけではありません。削除された設定が、今回の通信経路には影響しないルールだったことが原因です。Accel-Mart Plus環境では、外部システムへのアウトバウンド通信に制限を設けていません。また、セキュリティグループはステートフルな仕組みのため、APサーバー側から送信したリクエストに対するレスポンス受信（インバウンド通信）も自動的に許可されます。なお、Accel-Mart Plus環境のセキュリティグループはインバウンドルールのみが制御対象であり、アウトバウンド方向の制御は対象外です。
今回設定されていたのは、バックエンドのセキュリティグループ（APサーバー側）のインバウンドルールに、シェアードデータベースのIPアドレスを許可対象として追加したものと認識しています。このルールは「シェアードデータベースからAPサーバーへの着信を許可する」設定ですが、実際の通信はその逆方向の「APサーバーからシェアードデータベースへの発信（アウトバウンド）」です。
そのため、APサーバーからシェアードデータベースへのアクセスを制御したい場合は、シェアードデータベース側のセキュリティグループのインバウンドルールで、接続元IPアドレスやポートを制限する方法が有効です。