TRANXACT.AI ヘルプ

ネットワークトポロジー

顧客ネットワークがTRANXACTに到達する5つの方法、ネットワークチームがVPNまたはプライベート接続のために準備するもの、/22アドレスの計画とサブネットのレイアウト、ハブアンドスポークピアリング、DNSと証明書、エグレス、およびオペレーターアクセス。

導入作業において、ネットワーク構築は多くの時間をロスする要因となります。以下のオプションはすべてAWS、Microsoft Azure、Google Cloudで利用可能で、製品名のみが異なります。

5つの接続オプション

オプション状態それは何なのかフィットするときR&R
パブリックHTTPSデフォルトユーザーはロードバランサーとWAFを介してTLS 1.2+でTRANXACTにアクセスし、顧客のIdPを介してSSOを行います。すべてウェブユーザー向け、またはHTTPS統合です。ネットワーク構築は不要で、最速で稼働開始できます。INFRA_2.6.01（標準）
サイト間VPNオプション顧客ネットワークからTRANXACT VPC/VNetへの冗長IPsecトンネル。プライベートなシステム統合（MES、レガシーシステム）、管理者による制限。INFRA_2.2.03 – 2.2.05
プライベート接続オプションAWS Direct Connect、Azure ExpressRoute、Google Cloud Interconnect。予測可能な帯域幅とレイテンシ。VPNを自動バックアップパスとして使用。高い、安定した通信量、またはインターネット経路を禁止するポリシー。INFRA_2.2.06 – 2.2.07
ピアリング／プライベートリンクオプション同一クラウド内の顧客のランディングゾーンとのVPC/VNetピアリング。選択したサービス用のプライベートエンドポイント。ローカルまたはグローバルなピアリング。顧客は既に同じクラウド内にランディングゾーン（最も低遅延なプライベートパス）を運用している。INFRA_2.2.08、2.2.10
交通ハブオプションAWS Transit Gateway、Azure Virtual WAN、またはGCP Network Connectivity Centerに接続します。TRANXACTはスポークとして接続されます。ハブアンドスポーク型の着陸地点。INFRA_2.2.09 – 2.2.10

顧客ネットワークチームが地域ごとに準備するもの

アイテムサイト間VPN（IPsec）プライベート接続
顧客デバイス静的パブリックIPアドレスを持つIPsec対応ファイアウォールまたはルータークラウド接続場所にある顧客またはキャリアのエッジルーター
トンネル／回路地域ごとに2つのトンネルを設置し、クラウドゲートウェイを分離する。冗長回線を推奨。VPNをバックアップ経路として使用。
プロトコルIKEv2、AES-256、SHA-256、DHグループ14以上（推奨デフォルト）プライベート仮想インターフェース/ピアリング上のBGP
ルーティングBGPを推奨。静的ルートも可。合意されたAS番号とルートフィルタを使用したBGP
帯域幅選択したクラウドのゲートウェイ制限まで顧客が注文する回線サイズ（例：1～10Gbps）
Live DRLive DR領域への2つ目のトンネルペア（INFRA_2.2.04）Live DR領域への回線またはVPN
所有顧客：デバイス、ISP、オンプレミスファイアウォールルール（除外）。TRANXACT：クラウドゲートウェイ。顧客：回線および通信事業者契約（対象外）。TRANXACT：ゲートウェイ接続機器。

契約締結時に専用回線を注文してください。回線開通には通信事業者から数週間かかる場合があるため、回線が開通するまではVPNをご利用ください。

住所計画

  • リージョンごとに少なくとも /22 のプライベート (RFC 1918) 範囲 (1,024 アドレス) が必要です。
  • Live DR地域用の、2つ目の異なる/22。
  • どちらも、顧客、パートナー、またはランディングゾーンのネットワーク（オフィス、データセンター、その他のクラウドなど）と重複してはならない。
  • Kubernetesのポッドとサービスの範囲は、範囲内または範囲に隣接して計画され、ルーティングされる場合は同じ重複禁止ルールが適用されます。
  • クラウドプロバイダーが予約しているアドレス範囲やリンクローカルアドレス範囲は避けてください。
  • 範囲を指定するのは顧客の責任です（INFRA_2.2.02、除外）。ビルド後に範囲を変更すると、再ビルドが必要になります（INFRA_2.2.12、追加サービス、変更要求による）。

選択する前に、顧客の完全なIPプランを収集してください。重複が1つでも発生すると、VPN、ピアリング、DRルーティングが同時にブロックされ、/22が1つでも欠落すると、構築全体が遅れる可能性があります。

1つのリージョン内のサブネット

サブネットホールド
イングレスロードバランサー、WAF、パブリックIP
ノード · AZ1、AZ2、AZ3Kubernetesワーカー、ゾーンごとに1つのサブネット
データベース私専用、インターネット接続なし
出口許可リストに登録された宛先へのNATゲートウェイ
ゲートウェイVPN / プライベート接続の終了
管理者バスティオン／オペレーター向けゼロトラストアクセスポイント

10.40.0.0/22 を作成する方法の 1 つ — これはトレーニング用の例であり、TRANXACT の標準ではありません。実際の計画は、設計段階で Ledger Architect によって設定されます。

Primary region   10.40.0.0/22   (10.40.0.0 - 10.40.3.255)
  ingress        10.40.0.0/26
  gateway        10.40.0.64/27
  admin          10.40.0.96/27
  egress (NAT)   10.40.0.128/27
  database AZ1   10.40.0.192/27
  database AZ2   10.40.0.224/27
  nodes AZ1      10.40.1.0/24
  nodes AZ2      10.40.2.0/24
  nodes AZ3      10.40.3.0/24

Live DR region   10.40.4.0/22   (same layout, never overlapping the primary)

ピアリング：ハブアンドスポーク

同じクラウド内に既存のランディングゾーンを持つ顧客の場合、TRANXACTはスポーク、顧客のランディングゾーンはハブとなります。ピアリングは境界点です。ハブゲートウェイはトラフィックをオフィスやデータセンターに転送し、顧客はハブ内に独自のファイアウォールやネットワーク仮想アプライアンスを設置できます。

ハブを経由する推移的ルーティングは明示的に許可する必要があり、ハブのルーティングと検査は顧客の権限となります（INFRA_2.2.10、除外）。構築前に、ルートの所有権と検査ポイントについて顧客のクラウドチームと合意してください。

名前解決と証明書

顧客が提供するTRANXACTは
ドメインまたはサブドメイン、例: erp.customer.com (INFRA_2.3.01)グローバルトラフィックマネージャ（INFRA_2.3.03）の背後にある、両方のライブリージョンのイングレスエンドポイント
FQDN 用のパブリック CA 証明書、ワイルドカードが使用可能 (INFRA_2.3.02) — ただし、管理証明書オプションが契約されている場合は除く (INFRA_2.3.06)証明書のインストールと更新、有効期限が切れる30日前にアラートが表示されます（INFRA_2.3.05、TO_4.11.01）
パブリックDNSレコード。プライベートアクセスを使用する場合は、プライベートゾーンまたは条件付き転送。低いDNS TTL、監視および訓練用の地域固有のホスト名、およびDNSフェイルオーバー実行マニュアル（INFRA_2.3.04）

ユーザーと統合機能は、場所を問わない単一の名前で接続します。この名前は、両方の稼働リージョンにまたがるトラフィックマネージャによって解決されるため、稼働Live DRへのフェイルオーバー時に、どこにも再構成は必要ありません。

統合において、.localサフィックス、ハードコードされたIPアドレス、または地域固有の名前は絶対に使用しないでください。有効期限切れの証明書やDRレコードの欠落は、最もよくある回避可能な障害です。これら両方を共通の運用マニュアルに含めてください。

転送中のデータ

TRANXACTへ向かうTRANXACTからの出発
ロードバランサーとWAF経由でHTTPSのみ（TLS 1.2以降）宛先の許可リストを使用したNAT経由の送信
顧客のIDプロバイダーを介したシングルサインオン（SSO）。MFAはそこで強制適用されます。典型的な例：銀行、税務／電子請求書ポータル、給与計算プロバイダー、電子メール、AIエンジン
スコープ付きロールを使用して統合クライアントごとに認証されたAPI発信通話にはTLSを使用し、認証情報はシークレットストアに保存されます。
オプションのIPアドレス許可リストまたはプライベートアクセスノードまたはデータベースからのその他のインターネットへの出力はありません
クラスター内のサービストラフィックは暗号化されます

顧客はすべての送信先をリストアップします（INFRA_2.6.03、除外）。TRANXACTは許可リストを管理し、送信先ごとに1つのサービスリクエストを管理します（INFRA_2.6.02）。

許可リストへの登録漏れがあると、初日から支払いや申請がブロックされます。設計段階で登録し、運用開始週に登録しないようにしてください。

TRANXACTのオペレーターがどうやって侵入するか

  • 専用の管理サブネット内のゼロトラストまたはバスティオンアクセスポイントを介してアクセスします。ノードやデータベースは直接公開されません。
  • ジャストインタイム、時間制限付き昇降、変更またはインシデントごとに承認 - 顧客による承認（TO_4.5.05、除外）。
  • すべてのオペレーターIDに対して多要素認証（MFA）を適用する。権限の最小化。ロールベース。
  • すべての管理者セッションとクラウドAPI呼び出しはログに記録され、顧客のSIEMにエクスポート可能です。
  • プラットフォームの管理はオペレーターが行います。ビジネスデータへのアクセスは、顧客が承認したチケットに基づいてのみ可能です。

設計段階で、顧客側でオペレーターの権限昇格を承認できる人物、および本番データへのアクセスに共同署名が必要かどうかを合意しておく。

一般的な統合シナリオ

シナリオパターン方向接続性エンドポイントの所有者
銀行取引と決済API / ホスト間SFTP両方出口許可リスト。提供されている場合はプライベートリンク。お客様
税金と電子請求書API発信出口許可リストお客様
給与と福利厚生API / SFTP両方送信許可リストまたはVPNお客様
身元フェデレーション（SAML/OIDC）、SCIM受信パブリックHTTPSお客様
BIおよびデータプラットフォームAPIの読み取り/スケジュールされた抽出発信プライベートリンクまたはHTTPSジョイント
レガシー＆ショップフロアAPI / イベント両方VPNまたはプライベート接続お客様
メールと通知SMTP / API発信出口許可リストジョイント
ASK向けAIエンジンAPI発信出口許可リストTRANXACT、またはBYOKを持つ顧客

すべての統合はTRANXACT APIまたはマネージドファイル転送を介して行われます。データベースへの接続は一切ありません。

「提案されたデフォルト値」と表示されている値は、導入ガイドで推奨されている初期値です。お客様ごとにそれぞれ確認してください。契約書、注文書、SLA、DPAがこのページの内容よりも優先されます。

図解とチェック付きでこのコースを受講してください