ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、リモートワーカー向けのアクセスソリューションを刷新しています。現在はAWS Client VPNを使用していますが、VPN接続後にネットワーク全体へのアクセスが可能になる点がゼロトラストモデルに反するとして問題視されています。
新しいソリューションの要件は以下のとおりです：
・ユーザー認証：既存のOkta（SAML 2.0対応）を使用する
・デバイス制御：MDM（Mobile Device Management）で管理されたデバイスのみアクセスを許可する
・アクセス粒度：アプリケーション単位で制御する（ネットワーク全体への到達性は付与しない）
・監査：すべてのアクセス試行ログをS3バケットに保存する
・アプリケーションはプライベートサブネット上のEC2で稼働しており、インターネットに直接公開しない
上記をすべて満たす最も適切なAWSソリューションはどれですか？
AAWS Verified Access でOIDCトラストプロバイダーにOktaを設定し、MDM連携用のデバイストラストプロバイダーを追加する。各アプリケーションに Verified Access エンドポイントを作成し、ユーザー属性とデバイス状態を組み合わせたアクセスポリシー（CEL式）を定義する。アクセスログをS3に送信するよう設定する。
✓ 正解
AWS Verified Access はOIDC/SAMLでOktaと統合し、デバイストラストとCEL式ポリシーによりアプリ単位のアクセス制御とS3へのアクセスログ出力をサポートします。
BAWS Client VPN でOktaとのSAML認証を設定し、クライアント証明書でデバイス認証を補完する。VPCの認可ルールでアプリケーションサブネットごとにアクセスを制限し、VPC Flow Logs をS3にエクスポートしてアクセス監査ログとして使用する。
AWS Client VPN はネットワークレベルのアクセスを提供するためアプリ単位の制御に限界があり、VPC Flow LogsにはユーザーID単位の詳細なアクセスログが記録されません。
CApplication Load Balancer に Amazon Cognito ユーザープールを統合し、OktaをSAMLフェデレーションプロバイダーとして設定する。デバイス証明書の検証はカスタムLambdaオーソライザーで実装し、ALBアクセスログをS3に保存する。
ALB＋Cognito はMDMデバイスポスチャーチェックをネイティブにサポートせず、デバイス認証にはカスタムLambda実装が必要で運用コストが高まります。
DAWS IAM Identity Center でOktaとSCIM同期を設定し、AWS Systems Manager Session Manager のポートフォワーディングでアプリケーションにアクセスさせる。アクセス制御はIAMポリシーで行い、CloudTrailログをS3に保存する。
AWS Systems Manager Session Manager は管理者向けサーバーアクセスに特化しており、一般ユーザー向けWebアプリへのMDM統合には対応していません。
解説
AWS Verified Accessはゼロトラストアクセスを実現するサービスで、SAML/OIDCトラストプロバイダーでOktaと統合し、デバイストラストプロバイダーとの組み合わせでユーザーIDとデバイスポスチャーの両方を条件にしたポリシーをCEL式で定義できる。アプリケーションはプライベートのままVerified Accessエンドポイント経由でのみ公開され、アクセスログのS3出力もネイティブにサポートされる。
選択肢BのClient VPNはネットワークレベルのアクセスを提供するためアプリケーション単位の制御に限界があり、VPC Flow LogsはユーザーIDやアプリ単位のアクセス詳細を記録できない。
選択肢CのALB＋CognitoはMDMデバイスポスチャーチェックをネイティブにサポートせず、Lambda実装は複雑で管理コストが高い。
選択肢DのSession Managerは運用者向けのサーバーアクセスに適しており、一般ユーザーへのWebアプリケーション提供やMDM統合には不向き。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →