> For the complete documentation index, see [llms.txt](https://docs.roboflow.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.roboflow.com/deployment/ja/serufuhosuto/enterprise/secure-gateway.md).

# Secure Gateway

Secure Gateway は、Roboflow Inference Server をインターネットからファイアウォールで隔離する場合に使用する、Roboflow API とモデルの重みのためのプロキシです。これは次の後継です： [ライセンスサーバー](/deployment/ja/serufuhosuto/enterprise/license-server.md) また、モデルの重みとコンテナイメージのローカルキャッシュを追加し、推論サーバー群が制御された単一の外部通信ポイントを共有できるようにします。

{% hint style="info" %}
このページでは基本事項を説明します。完全な設定および運用リファレンスについては、次を参照してください： [Secure Gateway マニュアル](https://secure-gateway.roboflow.com/manual/).
{% endhint %}

## 前提条件

* Docker Engine 20.10 以降、または Kubernetes v1.24 以降
* api.roboflow\.com および repo.roboflow\.com にアクセスできるホスト
* ポート 80 が利用可能であり、TLS はゲートウェイの前にあるロードバランサー、またはコンテナ内で終端されていること
* 4GB 以上のメモリ
* S3 バケット、またはキャッシュ用に 50GB 以上のローカルディスク

{% hint style="info" %}
Red Hat Enterprise Linux にデプロイしますか？ [Podman を使用した RHEL 上の Secure Gateway](/deployment/ja/serufuhosuto/enterprise/secure-gateway-podman.md) Docker または Kubernetes を使用しない RHEL ホストについて説明し、 [MicroShift 上の Secure Gateway](/deployment/ja/serufuhosuto/enterprise/secure-gateway-microshift.md) MicroShift を実行する Red Hat Device Edge ホストについて説明します。どちらも、同じエアギャップバンドルモデルを採用した専用インストーラーを使用します。
{% endhint %}

## Secure Gateway の使用

次にアクセスできるマシン上で `https://api.roboflow.com` および `https://repo.roboflow.com` （およびポート `80` がプライベートネットワーク内で実行されている Inference Server に対して開放されていること）、Secure Gateway コンテナをプルします：

```
docker pull repo.roboflow.com/roboflow-edge/secure-gateway:latest
```

この `latest` タグは最新リリースを追跡します。本番環境、特にエアギャップ環境へのデプロイでは、アップグレードを意図的かつ再現可能なものに保つため、代わりに特定のバージョンを固定してください。例： `repo.roboflow.com/roboflow-edge/secure-gateway:0.2.0`.

ローカルディスクキャッシュを使用して実行します：

```
docker run -d --name secure-gateway -p 80:80 --restart unless-stopped \
    -v gateway-cache:/var/cache/secure-gateway \
    repo.roboflow.com/roboflow-edge/secure-gateway:latest
```

実行中であることを確認します：

```
curl http://localhost/health
```

ローカルディスクではなく S3 にキャッシュするには、次を設定します： `CACHE_S3_BUCKET` および `CACHE_S3_REGION` 環境変数。インスタンスまたは IAM ロールを使用するには、認証情報を未設定のままにします。

## TLS 証明書

デフォルトでは、ゲートウェイはプレーン HTTP で待ち受け、その前にあるロードバランサーで TLS を終端します。ゲートウェイ自体から HTTPS を提供するには、証明書と秘密鍵をコンテナにマウントし、両方を設定します： `TLS_CERT_FILE` および `TLS_KEY_FILE`。その後、ゲートウェイは設定されたポートで HTTPS を提供します：

```
docker run -d --name secure-gateway -p 443:443 --restart unless-stopped \
    -e PORT=443 \
    -e TLS_CERT_FILE=/etc/ssl/certs/gateway.crt \
    -e TLS_KEY_FILE=/etc/ssl/private/gateway.key \
    -v /path/to/certs:/etc/ssl:ro \
    -v gateway-cache:/var/cache/secure-gateway \
    repo.roboflow.com/roboflow-edge/secure-gateway:latest
```

両方とも `TLS_CERT_FILE` および `TLS_KEY_FILE` 受信 HTTPS を有効にするために必要であり、それぞれが PEM エンコードされたファイルを指します。

ゲートウェイの送信トラフィックが、Zscaler などの企業向け TLS インスペクションプロキシを経由する場合は、次を設定します： `TLS_CA_BUNDLE` をそのプロキシの CA バンドルに設定し、ゲートウェイが api.roboflow\.com および repo.roboflow\.com への接続を信頼できるようにします：

```
-e TLS_CA_BUNDLE=/etc/ssl/certs/corporate-ca.pem
```

## Inference Server の接続

各 Inference Server を、次の `SECURE_GATEWAY` 環境変数を使用してゲートウェイに向けます。スキームなしで、ゲートウェイのホスト名または IP アドレスを設定します。すると Inference Server は、インターネットへ直接アクセスする代わりに、Roboflow API 呼び出しとモデルの重みのダウンロードをゲートウェイ経由でルーティングします。

```
sudo docker run --net=host \
    --env SECURE_GATEWAY=10.0.1.1 \
    roboflow/inference-server:cpu
```

ゲートウェイが 80 以外のポートで待ち受ける場合は、そのポートも含めます。例： `SECURE_GATEWAY=10.0.1.1:8080`。スキームを含まない値は、次として扱われます： `http://`。そのため、Inference Server はこのアドレスの HTTP 経由でゲートウェイに接続します。ホストとポートが Inference Server のネットワークから到達可能であることを確認してください。

ゲートウェイがプレーン HTTP ではなく HTTPS を提供している場合、 [Podman を使用した RHEL](/deployment/ja/serufuhosuto/enterprise/secure-gateway-podman.md) および [MicroShift](/deployment/ja/serufuhosuto/enterprise/secure-gateway-microshift.md) のデプロイではどちらもそうですが、値にスキームを含めてください（`SECURE_GATEWAY=https://gateway.example.com`）。また、Inference Server がゲートウェイの証明書を信頼することを確認してください。

api.roboflow\.com および repo.roboflow\.com への送信アクセスが必要なのはゲートウェイのみです。Inference Server の起動後、モデルを実行し、リクエストがゲートウェイのアクセスログに表示されることを確認してください。

レガシーの `LICENSE_SERVER` 変数は、引き続き次のエイリアスとして受け入れられます： `SECURE_GATEWAY`。そのため、既存のデプロイは引き続き動作します。これは非推奨であり、2026 年第 3 四半期末に削除される予定です。

## キャッシュ

Secure Gateway は、各レスポンスを初回ダウンロード時にキャッシュし、コンテンツの変更頻度に応じて保持期間を階層化します。コンテンツアドレス指定されたコンテナブロブとモデルの重みは最も長く保持され、変更可能な API レスポンスはより短い期間保持されます。いずれの Inference Server からの後続リクエストもキャッシュから提供されるため、帯域幅の使用量とフリート全体でのコールドスタートを削減します。