Gehirn RS2 Plus

概要 ¶

Gehirn RS2 Plus は、マネージドなホスティング環境を提供するレンタルサーバーサービスです。初期費用が不要で最低利用期間はありません。

他社が提供する共用ホスティング（いわゆるレンタルサーバーサービス）と同様に、ファシリティの管理、OS ・ミドルウェアの管理はゲヒルンが行います。しかし、RS2 Plus は他社が提供する共用ホスティングとは違い、VPS に使用される技術を使用して、仮想専有型のサーバー上にお客様の環境を構成して提供しています。

より詳しく説明すると、RS2 Plus はホスト マシン上に KVM を使用して、1 つの契約（アカウント）ごとに 1 つの仮想マシン（VM）を作成します。この仮想マシンは、契約プランに応じて CPU やメモリといった計算機リソースが割り当てられ、割り当てを超える計算機リソースを使用しないように制限が行われています。仮想マシンプロセスには、Linux Security Modules が提供する強制アクセス制御が実施され、他の仮想マシン プロセスに干渉したり、不正にデータを読み書きできないようになっています。お客様のアカウントは仮想マシンによって他のアカウントと分離しているため、仮に、他の仮想マシン内で悪意のあるアプリケーションが実行されたり、Linux カーネルの脆弱性によって特権に昇格されたりした場合でも安全を確保できます。

これらの仕組みによって、RS2 Plus は高い安定性と安全性を提供します。

アカウント ¶

RS2 Plus では、契約をアカウントといいます。RS2 Plus は、このアカウントを単位として契約プランに応じた料金が計算されます。実行する Web サイト（ドメイン）の数、データベース数、UNIX ユーザ数、ネットワーク トラフィックやストレージボリュームへの I/O といったリソースの使用に応じた料金は発生しません。

このセクションでは、アカウントの作成と削除についての操作方法をご紹介します。

• アカウントを作成する
  RS2 Plus に申し込み、利用を開始する手順について解説します。
• アカウントを削除する
  RS2 Plus を解約する手順について解説します。

サイト ¶

RS2 Plus では、お客様の持ち込んだ独自ドメインを使用して Web サイトを構成できます。1 つのアカウントのなかに複数の Web サイトを構成することができます。構成できる Web サイト数に制限はありません。

RS2 Plus の Web フロントエンドが使用するグローバル ネットワークは、エニーキャストを使用した世界規模のネットワークで、レイヤー 4 までの DDoS 攻撃を緩和できるように設計されています。世界 80 か所以上に設けられた拠点のうち、アクセス元に最も近いエッジネットワークを経由してトラフィックが処理されるため、高いパフォーマンスと優れたレイテンシを提供します。

独自ドメインを使用する ¶

お客様がお持ちの独自ドメインを使用して Web サイトを構成する場合、DNS に A レコードもしくは CNAME レコードを設定する必要があります。設定方法は、お客様の DNS ゾーンをホストしている DNS プロバイダにより異なります。

ホスト名を持たないネイキッド ドメインを設定する場合 ¶

example.com. のような、ホスト名（サブドメイン）を持たないドメイン名には、CNAME レコードを設定することができません。 この場合には、下記の A レコードを設定します。

@ IN A 35.227.220.44

IPv6 を使用する場合は、下記の AAAA レコードを設定します。

@ IN AAAA 2600:1901:0:5f82::

ホスト名を持つサブドメインを設定する場合 ¶

www.example.com. のような、ホスト名（サブドメイン）を持つドメイン名には、CNAME レコードを設定できます。CNAME レコードに下記の参照先を設定します。

(ホスト名) IN CNAME rs2plus.gehirn.ne.jp.

タイムアウト ¶

RS2 Plus の Web フロントエンドは、バックエンド アプリケーションから 60 秒間レスポンスを受け取れない場合にタイムアウトします。タイムアウトした場合には、バックエンド アプリケーションに代わって、Web フロントエンドがクライアントに対して 502 エラーもしくは 504 エラーをレスポンスします。

gzip 圧縮転送 ¶

RS2 Plus のフロントエンドは、クライアントが HTTP リクエスト ヘッダにAccept-Encoding: gzip を含んでリクエストした場合、次のファイル タイプに一致するレスポンスを自動的に圧縮して転送します。ただし、レスポンスされるコンテンツが 20 バイト以上で、バックエンドが Content-Length ヘッダを付与している場合に限ります。

• text/html
• text/plain
• text/css
• text/xml
• text/javascript
• application/xml
• application/xml+rss
• application/javascript
• application/json
• image/svg+xml

• サイトを追加する
  RS2 Plus に Web サイトを追加する手順について解説します。
• サイトを削除する
  Web サイトの設定を削除する手順について解説します。

バックエンド ¶

RS2 Plus では、お客様の Web サイトを実行するミドルウェアをApache、NGINX、TCP、リダイレクト の 4 種類から選択することができます。

• サイトのバックエンドに Apache を使用する
  Web サイトのサーバに Apache を使用する手順について解説します。
• サイトのバックエンドに NGINX を使用する
  Web サイトのサーバに NGINX を使用する手順について解説します。
• サイトのバックエンドに TCP を使用する
  Web サイトのサーバに任意の TCP ポートで待ち受けるプログラムを使用する手順について解説します。
• サイトのリダイレクト（転送）機能を設定する
  リダイレクト（転送）機能を設定する手順を解説します。

HTTP のリクエストを HTTPS にリダイレクトする ¶

バックエンドに Apache を使用しており、.htaccess を使用して特定のディレクトリ配下への HTTP リクエストを HTTPS に転送するには、.htaccess に次のような設定を記述します。

RewriteEngine On
RewriteCond %{ENV:HTTPS} !on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

バックエンドに転送される HTTP リクエスト ヘッダ ¶

お客様のアカウントのサイト バックエンドに HTTP リクエスト ヘッダを転送する際に、RS2 Plus のホストが自動的に付与するリクエスト ヘッダは次の通りです。なお、この値は HTTP クライアントが付与していた場合でも、RS2 Plus のホストによって強制的に上書きされます。

これ以外のリクエスト ヘッダは、HTTP クライアントのリクエストがそのままパス スルーされます。

アクセス ログおよびエラー ログ ¶

各バックエンドが処理したアクセス ログおよびエラー ログは/var/log/sites/[ドメイン名] ディレクトリに記録されます。ログは毎日ローテーションされ、最大 7 世代保存されます。最新世代以外のログは gzip 圧縮されて保存されます。

セキュリティヘッダの設定 ¶

RS2 Plus では、Web コンソールから次のセキュリティ ヘッダを設定することができます。これらの設定値は、RS2 Plus が HTTP レスポンス ヘッダに自動的に付与します。

• サイトのセキュリティヘッダを設定する
  セキュリティに関する HTTP レスポンスヘッダを出力する手順について解説します。

HTTPS ¶

RS2 Plus では、お客さまが持ち込んだ X.509 形式のサーバ証明書を使用して Web サイトを構成できます。秘密鍵の形式は PEM エンコードされた PKCS #1 (RSA)、 PKCS #8 (RSA 及び ECC) 並びに EC 秘密鍵をサポートします。

$ openssl pkcs8 -topk8 -nocrypt -in ./privkey.encrypted.pem

証明書の変更と反映 ¶

Web サイト設定から証明書を変更すると、新しい証明書がすべてのエッジ ロケーションに反映されるまで最大で 10 分程度かかる場合があります。

RS2 Plus がサポートするプロトコル ¶

RS2 Plus は、 TLS 1.2 および TLS 1.3 をサポートします。

お客様が暗号スイート（鍵交換や認証の種類、暗号のアルゴリズム・鍵長・暗号化利用モード・ MAC アルゴリズム）を気にする必要はありません。ゲヒルンがすべてマネージドでベスト プラクティスを設定します。

RS2 Plus は、鍵交換方式に ECDHE （一時的楕円曲線 Diffie-Hellman）のみサポートします。 ECDHE は PFS（Perfect Forward Secrecy: 前方秘匿性）を持ちます。また、 RS2 Plus は暗号モードに AES-GCM および ChaCha20-Poly1305 をサポートします。いずれの暗号モードも AEAD（Authenticated Encryption with Associated Data: 認証付き暗号）となります。

HTTP/2 ¶

RS2 Plus では、TLS 拡張による ALPN（Application-Layer Protocol Negotiation）をサポートしているため、HTTP/2 プロトコルにネゴシエーションすることができます。HTTP/2 により、複数のストリームを扱えるため、HTTP/1.1 よりもレスポンスの改善が見込めます。

SNI による HTTPS ¶

RS2 Plus は、お客様の Web サイトへの TLS 接続を有効にする場合、SNI（ServerName Indication）による名前ベースの TLS 接続を使用しています。IP アドレスベースの TLS 接続はサポートしていません。

セッションキャッシュおよびセッションチケット ¶

RS2 Plus は、セッション キャッシュを使用して、TLS を再接続する際のパフォーマンスを最適化しています。一方、セッション チケットは、TLS のセキュリティ モデルを破壊し、PFS を無力化してしまうおそれがあるため、RS2 Plus では無効になっています。

OCSP ステープリング ¶

証明書の有効状態を確認するための OCSP（Online Certificate Status Protocol）には、いくつかの欠点があります。1 つ目は、クライアントが TLS コネクションを確立する際の問い合わせリクエストにかかるレイテンシにより、Web サイトへの接続に時間がかかることです。2 つ目は、ユーザがどの Web サイトを閲覧したか OCSP サーバ設置者である認証局に知られてしまうことです。これは Web サイトへ訪問するユーザのプライバシーに関わる問題です。

これらの OCSP の欠点を解消するため、RS2 Plus は、OCSP ステープリングに対応しています。OCSP ステープリングは HTTPS が有効なアカウントの Web サイトで自動的に構成されます。これにより、クライアントが OCSP レスポンダに問い合わせる必要がなくなり、Web サイトへの接続のレイテンシが改善します。また、OCSP ステープリングにより、クライアントが認証局の OCSP レスポンダにアクセス記録を残さなくなるため接続ユーザのプライバシーを保護することができます。

• サイトの HTTPS（TLS）を有効にする
  持ち込んだサーバ証明書を設定して HTTPS（TLS）を有効にする手順について解説します。

データベース ¶

RS2 Plus では、MySQL を使用することができます。1 つのアカウントのなかに複数のデータベースを構成することができます。構成できるデータベースの数に制限はありません。

他社の共用ホスティング サービスでは、データベース サーバも共有となっていて、他のユーザの負荷に影響を受けることがありますが、RS2 Plus のデータベースは、アカウント内で動作するため、他のアカウントの影響を受けません。また、接続元もローカルからの接続に限定されているため、外部のネットワークや他のアカウントから意図せず接続される心配もありません。

ご利用になれる MySQL のバージョンは ソフトウェアバージョン一覧 をご確認ください。

$ ssh -p （ポート番号） -L 3306:localhost:3306 （ユーザー名）@*****.gehirn.ne.jp

既定値 ¶

RS2 Plus の MySQL は、次の既定値を持ちます。これらの値はテーブル作成時に上書きすることができます。

データベースへの接続方法 ¶

RS2 Plus の MySQL では、ユーザ名はデータベース名と同一 に設定されます。
DSN（Data Source Name）形式の場合、mysql://dbname:password@localhost:3306/dbname と表現されます。

• データベースを追加する
  MySQL データベースを作成する手順について解説します。
• データベースのパスワードを変更する
  MySQL データベースにアクセスするユーザのパスワードを変更する手順について解説します。
• データベースを削除する
  MySQL データベースを削除する手順について解説します。

UNIX ユーザの追加 ¶

ユーザを作成すると OS のローカル ユーザ アカウントが作成されます。ユーザは必ず users グループと www-data グループ、それに作成したユーザ名と同じ名前のグループの 3 つに所属します。 ユーザ名と同じ名前のグループがプライマリ グループとなり、users と www-data はサブ グループです。

ホームディレクトリは /home/ユーザ名 として作成されます。 このホーム ディレクトリの所有権は作成されたユーザのみが持っており、他のユーザがこのディレクトリにアクセスすることはできません。 そのため、他のユーザと共有しないデータを保存したり、プログラムごとにユーザを分けて、悪意のあるプログラムが実行された場合でも、ほかのユーザのホームディレクトリのデータに影響を及ぼさないようにすることができます。

/var/www ディレクトリは www-data グループへのアクセスが許可されているため、すべての UNIX ユーザがこのディレクトリにアクセスできるため、Web サイトの共同管理を行うことができます。

• UNIX ユーザを追加する
  サーバ内にユーザを作成する手順について解説します。
• UNIX ユーザを削除する
  サーバ内のユーザを削除する手順について解説します。

UNIX ユーザの認証方式設定 ¶

RS2 Plus では、UNIX ユーザへのアクセス認証に、公開鍵方式、パスワード方式、パスワード＋タイムベース認証方式を使用することができます。SSH や SFTP、SCP を使用する場合、通常は公開鍵方式でログインすることをおすすめします。そのために、公開鍵を UNIX ユーザに登録する必要があります。パスワード方式は必要がある場合に限って有効にしてください。パスワード方式を有効にする場合には、合わせてタイムベース認証を有効にすることをおすすめします。

• UNIX ユーザのパスワードを設定する
  サーバ内のユーザにパスワードを設定する手順について解説します。
• UNIX ユーザのタイムベース認証を設定する
  サーバにパスワードと TOTP を使用した多要素認証でログインする手順について解説します。
• UNIX ユーザの公開鍵を設定する
  サーバ内のユーザに公開鍵を設定する手順について解説します。

UNIX ユーザへのアクセス ¶

UNIX ユーザを使用して、SSH や SFTP アクセスをする場合には、Web コンソールの UNIX ユーザ ページに表示されている「SSH コマンド例」を参考にしてください。SSH アクセスに必要な接続先やポート番号は、RS2 Plus アカウントのダッシュボードにも表示されています。

スナップショット ¶

Gehirn RS2 Plus では、ゲヒルンが自社の事業継続のために開発・採用しているデータ保護の仕組みを使用して、すべてのアカウントのデータを自動的に多重バックアップしています。

そのひとつにスナップショットがあります。スナップショットを使用することで、人為的なミス、ソフトウェア バグなどによるデータ消失を数秒でリカバリできます。スナップショットは、お客様の任意のタイミングで取得できるほか、自動取得のサイクルは最短 30 分からお客様が設定できます。

なお、スナップショットの保存や復元に料金はかかりません。お客様の都合に合わせて、いつでも無料で保存や復元ができます。また、スナップショットのデータは、特別な領域に保存され、お客様のディスク領域とは別に管理されています。そのため、スナップショットを保存した場合でもお客様のディスク領域が圧迫されたり、容量が減ることはありません。

スナップショットの保存間隔 ¶

スナップショットは、お客様が設定せずとも自動で定期的に保存されます。保存されたスナップショットは自動的に世代管理が行われ、最大で 12 世代保存されます。

スナップショットの保存間隔を 30 分に設定した場合は 12 世代分の 6 時間前までのデータが保護されます。最長の 1 日間隔に設定した場合には 12 日前までのデータが保護されます。デフォルトでは 8 時間に設定されており、1 日 3 回、4 日前までのデータが保護されます。保存間隔は、データの更新頻度と保存期間のバランスに合わせてお客様が設定することができます。

• スナップショットを自動取得を設定する
  自動スナップショットの取得頻度を設定する手順について解説します。

ロールバック ¶

スナップショットをロールバック（復元）すると、RS2 Plus アカウントの仮想マシンが再起動します。復元中は、お客様のアカウントにアクセスできなくなるため、Web サイトへのアクセスが行えないほか、実行中のプログラムが終了します。

ロールバックは通常、数秒のうちに完了し、過去のデータをもった仮想マシンが起動し直されます。

また、過去のスナップショットにロールバックしても、それより新しいスナップショットは消えることなく引き続き使用できます。そのため、ロールバック操作前に一旦、最新のスナップショットを保存しておき、過去のスナップショットにロールバックしてデータを救出したのちに、最後に手動で保存したスナップショットに再びロールバックすることもできます。

• スナップショットを手動取得する
  スナップショットを即時取得する手順について解説します。
• スナップショットからロールバックする
  スナップショットからサーバ環境を復元する手順について解説します。

プロセス ¶

Gehirn RS2 Plus では常駐プログラムが許可されています。常駐プログラムの支援機能として、プロセス機能があります。1 つのアカウントのなかに複数のプロセスを構成することができます。構成できるプロセスの数に制限はありません。

プロセス機能を使用することで、RS2 Plus アカウントの仮想マシンが再起動したときや、プログラムが異常終了したときに、プロセスを自動的に再起動するよう設定できます。

また、常駐プログラムを Web コンソール、API、コマンドラインから操作することができます。

ログ管理 ¶

プロセス機能は、実行しているプロセスが標準出力、標準エラー出力する内容をログ ファイルに記録します。ログは /var/log/process/ ディレクトリに [プロセス名].stdout.log と [プロセス名].stderr.log として記録されています。標準出力と標準エラー出力のそれぞれのログが、最大 10MB を 10 世代まで保存し、以後は自動的にローテーションします。

supervisorctl コマンド ¶

コマンドライン上で次のコマンドを使用することで SSH アクセス中にプロセスの操作を行うことができます。

• プロセスを追加する
  常駐プロセスの管理設定を追加する手順について解説します。
• プロセスの設定を変更する
  常駐プロセスの管理設定をする手順について解説します。
• プロセスを操作する
  管理している常駐プロセスを起動・終了・定義された再起動シグナルを発行する手順について解説します。
• プロセスを削除する
  常駐プロセスの管理設定を削除する手順について解説します。

チュートリアル ¶

このセクションでは、操作のチュートリアルについて紹介します。

• FileZilla を利用してファイルを転送する
  ファイルの転送手順について解説します。

ライセンス ¶

本サービス内で使用しているソフトウェア ライセンス情報です。

• ソフトウェアライセンスについて
  本サービス内で使用しているソフトウェア・ライセンスです。