解説

ALB（Application Load Balancer）は2023年末にmTLS（相互TLS）のネイティブサポートを追加しました。ALBのHTTPSリスナーに `mutual_authentication` 属性を `verify` モードで設定し、プライベートCAのCA証明書バンドルを格納したALBトラストストアを関連付けることで、TLSハンドシェイク時にクライアント証明書の検証が自動的に実施されます。有効なクライアント証明書を提示しない接続はALBの段階で拒否されるため、バックエンドアプリケーションコードの変更は一切不要です。なお `passthrough` モードではクライアント証明書の検証を行わずにバックエンドへ転送（カスタムHTTPヘッダーで証明書情報を付与）することも可能ですが、厳格な認証拒否には `verify` モードが必須です。 選択肢AのNetwork Load Balancerは、TCPパススルーモードではTLSターミネーションをバックエンドサービス側で行う必要があるため、各サービスに証明書検証ロジックを実装しなければならず、「アプリケーションコードの変更なし」という要件を満たさない。 選択肢BのAWS API Gatewayは、LambdaオーソライザーによるHTTPヘッダーの検査は既存のALBベースプラットフォームに新たなサービスレイヤーを追加する必要があり、HTTPヘッダーベースの検証は本物のTLSハンドシェイクレベルのmTLS認証とは異なりセキュリティ上の保証が低下する。 選択肢DのAWS Certificate ManagerとCloudFrontの組み合わせは、CloudFrontがmTLS（クライアント証明書検証）をサポートしていないため要件を満たさず、また既存のALBアーキテクチャを大幅に変更する必要がある。