個人または少人数チームでWebアプリを構築・運用する際のなるべく安価でセキュアなインフラの技術選定について

Question

個人でWebサービスを運用する際でも、例えば氏名やメールアドレスをDB上に保持する場合は流出などに十分配慮が必要になりますよね。
ただ、アプリケーションやファイアウォールの設定レベルでの脆弱性は開発時の考慮である程度なんとかできても長期間システムを運用するとなると
脆弱性情報の監視と迅速なセキュリティパッチの適用などが必要になり、OS/ミドルウェアまで考慮を入れると個人でやるにはかなりエネルギーがかかる認識です。

専任の要員を雇える金もリソースもない場合はそういったセキュリティ面の担保はできる限り外部に投げたいと思っているのですが、
個人開発などでこういった事情からインフラを選定したい場合のできる限り安価で安全な選択肢って何が最適解だと思いますか？

• ConohaやさくらのVPSなどのVPS ← 自由度高く値段も安いけどパッチ適用などは基本全部自分でやる
• AWS,GCP等 ← EC2的なところは結局VPSと条件変わらない？あと個人にはちょっとお高い
• FirebaseなどのBaaS ← 今だったらこれかなぁ……
• HerokuなどのPaas ← apacheレベルもパッケージ化されてて自動でセキュリティパッチ充ててくれる、LAMPに慣れてる人間だと学習コストかかるのと重要課金破産とか怖いけど割と良い？
• さくらのレンタルサーバ的なもの ← 安いけどスケーリングできない、自由度低い

うーん、Firebaseか、普通にPHP + MySQLとか使いたいならHerokuが良いのかなぁ……

Answer 1

どうせ答えはないので私見を書きます。

ConohaやさくらのVPSなどのVPS ← 自由度高く値段も安いけどパッチ適用などは基本全部自分でやる
AWS,GCP等 ← EC2的なところは結局VPSと条件変わらない？あと個人にはちょっとお高い
さくらのレンタルサーバ的なもの ← 安いけどスケーリングできない、自由度低い

この辺は同意見です。
レンタルサーバは最近良くなってるんですかね？
もはや興味がないので事情を知りません。

FirebaseなどのBaaS ← 今だったらこれかなぁ……

フロントエンド（or アプリ）のスキルがあってバックエンドの学習コストを最低限に抑えたいならこれです。

HerokuなどのPaas ← apacheレベルもパッケージ化されてて自動でセキュリティパッチ充ててくれる、LAMPに慣れてる人間だと学習コストかかるのと重要課金破産とか怖いけど割と良い？

LAMPに慣れてる人間だと学習コストがかかる → 学習コスト限りなくゼロと思いますが。
重要課金破産 → 従量課金のことでしょうか？ Herokuは基本的には従量課金サービスではないという認識ですが（高価格帯Dynoのオートスケールは例外、あと従量課金のアドオンがあるかも）。

個人的にFaaSとNoSQLをサービスのメインに据えて使うのは辛いと感じているのでHerokuをメインにAWSとFirebaseのサービス（S3, SES, Authentication等）を部分的に使うのが良いと思っています。

Comments

[opoonabst]

ご回答ありがとうございます！
Herokuについては認識不足でした。。。

Answer 2

私は断然Serverlessがおすすめです。
いわゆるAWSで言うところのRoute53 + S3 + Lambda + DynamoDBのような構成です。
気にされているセキュリティ部分はCognito User Poolsで実現できるかと思います。

Serverless構成は基本的にマネージドサービスであり
セキュリティパッチだとか冗長化を気にしなくてよいのも利点です。
EC2/RDSのような構成はは基本的に冗長化を省けず、最小構成にしてもそこそこな金額になります。

Servelessに懸念があるとすれば負荷ですね。
質問内容は書かれていないので、どれだけのアクセス数やデータ量を
見込んでいるかは分かりませんが、
Serverless構成は固定費が掛からない分、変動費は高くつくことが多いです。
ただAWSの場合、かなりの無料枠があり（初回12カ月分を除いたとしても）、
アクセス数が多くないのであれば安価で運用可能です。

アクセス数が多い／少ないの捉え方は人それぞれですので
詳しくは各サービスの料金ページをご確認ください。
DyanamoDBだけは計算がややこしいですが、それ以外は割と分かりやすいかと思います。

従量課金によるAWS破産の懸念は、
請求アラームで緩和できるかと思います。
事前の設定は必要ですが、特定の料金に達した、または達しそうなときに
AWSがメールを送ってくれます。
メールを受け取って例えば一時的にサービスを停止する、
という選択が可能であれば予想以上の課金を防ぐことはできます。

この辺は運用方針なども加味してご検討ください。

Answer 3

セキュリティ設計をしなければ、なんとも言えないかと。
セキュリティ設計ができていれば、その設計に合致した「各サービスのサービス仕様」を検討すればよいです。

例えば、決済プロバイダを使用しない支払いシステムを含んだサービス作ろうと考えると、ほとんどのレンタルサーバが使えなくなります。
また、自身の提供するサービスと SLA のレベルが合致しなければ、そういったサービスは使用できません。

そもそも各社のサービスの仕様に詳しくなければ、設定の間違いからセキュアでない状態で公開してしまうことも十分あります。

自身がどれだけサービスを使いこなせるのか？または使いこなせるようになるまでどの程度かかるのか？で、そのサービスは、設計上の仕様を満たすのか？そういった観点で選択してください。

質問に記述のある観点での選定は危険すぎます。。。

追記
ちょうどタイムリーに、徳丸さんがインタビューの中でインフラの設計不備に関して言及していたので紹介します。
いまだに起きるクレジットカード情報流出と“別人問題”

また、こちらの記事でも興味い内容を紹介しています。
「Firebaseの脆弱性で1億件超漏洩」の真相とは？

Answer 4

OpenShift と Compose

PHP と MySQL なら、日本の共有レンタルサーバで十分かと。

スケールアップとスケールアウトは、一時的なもの。しっかり毎日サーバー状況をモニタリングして、やばそうなら引っ越す。で、いいかと。モニタリングは Datadog

サービスする内容にもよるのではないでしょうか？

基本、海外のサービスを利用した方がいいです。スタートアップとか盛んなので、色々なサービスを選べますし、そもそもあなたような人をターゲットにして、サービスを提供しているので。