【Bitbucket Pipelines】BitbucketPipelinesによる自動デプロイとIP制限

Question

BitbucketPipelinesによる自動デプロイを実現しようとしています。
現在さくらサーバーにてファイルをアップロードしようと試みております。

国外IPアドレスフィルタの設定を無効にすれば問題なくパイプラインは作動するのですが、
有効にしてBitbucket指定のIPアドレスをホワイトリストに登録するやり方だとうまくいきません。

指定しているIPアドレス:https://onl.sc/Nmaurcp
(A valid IP address for your Bitbucket Pipelines build environmentの部分)

エラー内容は以下となります。
{code}Can't access remote 'ftp://xxxx:***@xxx.xxx.ne.jp'. Network down? Wrong URL? exiting...{/code}

他に.ftpaccessでの制限方法も試しましたが接続できずでした。
フィルタ設定を無効にすれば通るので指定の仕方が原因だと思うのですが、
解決方法が見つかりません。同じ事例を経験した方がいればヒントをいただけると幸いです。

Bitbucketの指定IPからコピーしてきたIPアドレスに空白があったりしたのでテキストベースで間違っていないかも確認しましたがそれが原因の指定ミスでもないようです。

Answer 1

さくらのレンタルサーバのヘルプ 国外IPアドレスをフィルタ設定したい に

ホワイトリストへの追加

国外IPアドレスフィルタが有効の状態で、ホワイトリストに登録されたIPアドレスから接続許可の指定が行えます。 ホワイトリストが適用される対象はウェブアクセス（HTTP/HTTPS 特定ファイルのみ）です。

とありますので、ウェブアクセス（HTTP/HTTPS 特定ファイルのみ） 以外はホワイトリストは適用されないのだと思います。

HTTP/HTTPS 以外のポートに 海外からアクセスを許可したい場合は、「国外IPアドレスフィルタ」を無効にするしか無いと思います。

---

追記

さくらのレンタルサーバのヘルプ「国外IPアドレスをフィルタ設定したい」に

SSH/SFTP 22 SSH接続を拒否します
※公開鍵認証は制限対象外です

とありますので、SSH/SFTP 接続で「公開鍵認証」の場合は、「国外IPアドレスフィルタ」が有効でも接続できると読み取れます。

また、Bitbucket Pipelines で SSH キーを使用する に

デプロイで、アーティファクトをアップロードする前にリモート ホストまたはサービスとの認証を行う必要がある
Bitbucket のリポジトリに SSH キーを追加すると、そのリポジトリへの書き込みアクセス権を持つすべてのユーザーがリモート ホストへのアクセス権を持ちます。

とあリますので、Bitbucket 側で デプロイ専用の SSH 鍵ペアを作成して、公開鍵を デプロイ先のサーバに登録することで、sftp によるデプロイができると記載があります。

この記載のとおりであれば、上記の設定を正しく設定すれば 「国外IPアドレスフィルタ」が有効な状況でも Bitbucket pipelines から sftp でさくらのレンタルサーバにデプロイができるのではないでしょうか。

Comments

[退会済みユーザー]

>とありますので、ウェブアクセス（HTTP/HTTPS 特定ファイルのみ） 以外はホワイトリストは適用されないのだ
>と思います。
>HTTP/HTTPS 以外のポートに 海外からアクセスを許可したい場合は、「国外IPアドレスフィルタ」を無効にするし>か無いと思います。

ご丁寧にご回答いただきありがとうございます。SSHでの接続は試していなかったのでテストしてみようと思います。上記について、勉強不足で調べてもよく理解できないのですが、「ウェブアクセス（HTTP/HTTPS 特定ファイルのみ） 以外はホワイトリストは適用されない」という部分を見てIPアドレス（ https://onl.sc/Nmaurcp ）が使用できないという判断ができなかったのですが、このURLのIPアドレスはウェブアクセスではないということなのでしょうか？

[CHERRY]

お使いのサービスは、「さくらのレンタルサーバ」で間違いないですか？　「さくらのVPS」等他のサービスの場合は、内容が変わってくると思います。

> 国外IPアドレスフィルタが有効の状態で、ホワイトリストに登録されたIPアドレスから接続許可の指定が行えます。 ホワイトリストが適用される対象はウェブアクセス（HTTP/HTTPS 特定ファイルのみ）です。

具体的にどこまで適用されているのかは「さくらのレンタルサーバのサポート」に問い合わせて確認する必要があると思いますが、ヘルプの文章を読んだ感じでは、「ウェブアクセス（HTTP/HTTPS 特定ファイルのみ）」というのは、ヘルプページ「国外IPアドレスをフィルタ設定したい」の「HTTP/HTTPS 制限対象範囲」に書かれている URL (パス部分) にアクセスした場合に「ホワイトリストに登録された IP アドレス」からであればアクセス許可されるという意味だと読み取りました。

つまり、ホワイトリストにIPアドレスを追加しても 「ftp のアクセス許可はされない」と解釈して回答しています。