ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、Amazon EKS上で動作する複数のマイクロサービス間の通信をセキュアにしたいと考えています。以下の要件があります。
・サービス間通信で相互TLS認証（mTLS：Mutual TLS Authentication）を実装したい
・クライアント証明書とサーバー証明書の両方を自社の内部認証局（CA）で署名したい
・証明書の自動ローテーションを実現したい
・パブリックインターネットには証明書を公開せず、プライベートなトラストチェーンを維持したい
・証明書管理にAWSマネージドサービスを使用し、自社でのCA運用負担を最小化したい
この要件を最も効率的に満たすAWSソリューションはどれですか？
AAWS Private CA でプライベートCAを作成し、Amazon EKS上の cert-manager と AWS Private CA Issuer プラグインを統合してサービス証明書の自動発行・自動更新を実現する
✓ 正解
AWS Private CA（旧ACM Private CA）はフルマネージドのプライベート認証局サービスで、内部サービス向けのクライアント証明書・サーバー証明書の両方を発行できます。Amazon EKS環境では cert-manager の AWS Private CA Issuer プラグインを使用することで証明書の自動発行・自動ローテーションが実現できます。証明書はパブリックに公開されず、社内トラストチェーンのみで検証されます。
BAWS Certificate Manager（ACM）でパブリック証明書を発行し、ALBに設定する。クライアント証明書の検証はサービスメッシュのカスタム実装で対応する
ACMパブリック証明書はパブリックCAによって署名されるため「証明書を公開したくない」という要件に反します。
CAWS Secrets Manager に自己署名証明書と秘密鍵を保存し、Lambda 関数で定期的にEKS Secretsを更新することで証明書ローテーションを実現する
Secrets Manager による自己署名証明書管理はCA階層の構築・管理が複雑になり、証明書失効の仕組みもないためセキュリティ上不十分です。
DAWS IoT Core のカスタムエンドポイント機能でプライベートCAを管理し、マイクロサービス向けにmTLS証明書を発行する
AWS IoT Core はIoTデバイス向けのサービスであり、マイクロサービス間のmTLS証明書管理用途には設計されていません。
解説
AWS Private CA（旧ACM Private CA）はフルマネージドのプライベート認証局サービスで、内部サービス向けのクライアント証明書・サーバー証明書の両方を発行できます。Amazon EKS環境では cert-manager の AWS Private CA Issuer プラグインを使用することで証明書の自動発行・自動ローテーションが実現できます。証明書はパブリックに公開されず、社内トラストチェーンのみで検証されます。
選択肢Bの ACMパブリック証明書はパブリックCAによって署名されるため「証明書を公開したくない」という要件に反します。
選択肢Cの Secrets Manager による自己署名証明書管理はCA階層の構築・管理が複雑になり、証明書失効の仕組みもないためセキュリティ上不十分です。
選択肢Dの AWS IoT Core はIoTデバイス向けのサービスであり、マイクロサービス間のmTLS証明書管理用途には設計されていません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →