補足説明 http://d.hatena.ne.jp/hrendoh/20110531/1306852199

1. Google Secure Data Connector概要
株式会社 co-meeting
遠藤裕之

2. Google Secure Data Connector とは
Google Appsとイントラネットのデータを安全に連携するため
に提供されているGoogle Appsの一機能です
SDCを利用して、連携できるAppsのサービス
✔ Google AppEngine
✔ Google Sites
✔ Google Apps Script
✔ Google SpreadSheet

3. Google Secure Data Connector のしくみ
Google Appsとイントラネットの連携は、SDCエージェントをイントラ
ネットにインストールしてSSLトンネリングで通信します。
接続はSDCエージェント
(図中4.Secure Data Connector)から
Tunnel Servers(図中2)に対して行われる
ので、FWはアウトバウンドの443ポートの
み空いていれば通信可能
※実際の通信はSSL-VPNではなく、エージェント起
動時にエージェントからTunnel ServerにSSLソ
ケットをオープンしシャットダウンまで保持される。
データはこのSSLソケットの中をProtocol Buffers
にラップし送受信される。

4. SDC + Google Sites
infoScoopでお馴染みのガジェットをSDC対応することで Google
Sitesに社内情報を
表示できるようになります
var params = {};
params[gadgets.io.RequestParameters.CONTENT_TYPE]
= gadgets.io.ContentType.TEXT;
params['AUTHORIZATION'] = 'SIGNED';
params['OAUTH_ADD_EMAIL'] = 'true'
params['OAUTH_ENABLE_PRIVATE_NETWORK'] = 'true'
var url = "YOUR_URL";
gadgets.io.makeRequest(
url,
function(response){log(response);},
params);

5. SDC + Google SpreadSheet&Apps Script
Google SpreadSheetに社内のCSVをインポート可能に
=importData("http://corp.example.com/contacts.csv")
<resourceRules>
<rule repeatable="true">
<ruleNum>1</ruleNum>
<agentId>sdc42-agent</agentId>
<viewerEmail repeatable="true">
pollyhedra@example.com
</viewerEmail>
<url>http://corp.example.com/contacts.csv</url>
<urlMatch>URLEXACT</urlMatch>
<apps>
<service>Spreadsheets</service>
<allowAnyAppId>true</allowAnyAppId>
</apps>
</rule>
</resourceRules>

6. SDC + Google AppEngine
社内ネットワークのリソースを利用するアプリケーションをPublicク
ラウドのGoogle AppEngine上にセキュアに構築できます
from google.appengine.api import urlfetch
result = urlfetch.fetch(
url="http://www.corp.example.com/sales.csv",
headers={'use_intranet': 'yes'})
if result.status_code == 200:
parseCSV(result.content)
Secure Data Connector
Intranet

7. AppEngineアプリをドメインに限定して公開
App Engine上のアプリケーションを指定したGoogle Appsドメイ
ンにのみ公開することで半プライベートなクラウドとして利用が可
能となります

8. Google Appsドメイン内ユーザのアクセス制御
SDCエージェントへのアクセスは、以下の指定が可能
➢ ドメイン内のユーザ全体
➢ アカウント名で指定(グループでメンバーを指定はできない)
<resourceRules>
<rule repeatable="true">
<ruleNum>1</ruleNum>
<resourceRules> <agentId>sdc42-agent</agentId>
<rule repeatable="true"> <viewerEmail repeatable="true">
<ruleNum>1</ruleNum> pollyhedra@example.com
<agentId>sdc42-agent</agentId> </viewerEmail>
<allowDomainViewers> <url>http://corp.example.com/contacts.csv</url>
true <urlMatch>URLEXACT</urlMatch>
</allowDomainViewers> <apps>
<url>http://corp.example.com/contacts.csv</url> <service>Spreadsheets</service>
<urlMatch>URLEXACT</urlMatch> <allowAnyAppId>true</allowAnyAppId>
<apps> </apps>
<service>Spreadsheets</service> </rule>
<allowAnyAppId>true</allowAnyAppId> </resourceRules>
</apps>
</rule>
</resourceRules>

9. 検証環境について
AWS EC2のインスタンスにSDCエージェ
ントを配備
セキュリティグループ(FW)のInbound
ポートは22のみ開放

10. demo

11. 認証データの受け渡しについて
SDCエージェントからイントラネット内のサービスへAppsの認証
情報を受け渡す機能は
ガジェット
OauthのSignedReuqestの仕組みを利用
params['AUTHORIZATION'] = 'SIGNED';
params['OAUTH_ADD_EMAIL'] = 'true'
params['OAUTH_ENABLE_PRIVATE_NETWORK'] = 'true'
var url = "YOUR_URL";
AppEngine, SpreadSheet
認証データの引渡し機能は用意されていない
POSTやヘッダで渡すなど独自で実装するしかない

12. ソフトウェアVPNと比較したメリット・デメリット
メリット
VPNサーバーを構築する必要がない
セキュリティはGoogle Appsにお任せ
Publicクラウドの安全な利用が可能 Google AppEngine
デメリット
Google Apps for Businessのライセンスが必要
http以外の通信はできない

13. RestletでEC2もSDCエージェントと連携
未検証だが、これができたらおもしろいかも
http://blog.noelios.com/2011/03/31/leveraging-sdc-beyond-google-cloud-with-restlet/