ある企業は、リモートワーカーが社内の機密性の高いWebアプリケーション（社内ポータル、管理ツール）に安全にアクセスできるようにしたいと考えています。以下の要件があります。
・VPNクライアントソフトウェアの配布・管理を廃

Question

ある企業は、リモートワーカーが社内の機密性の高いWebアプリケーション（社内ポータル、管理ツール）に安全にアクセスできるようにしたいと考えています。以下の要件があります。
・VPNクライアントソフトウェアの配布・管理を廃止したい
・既存のSAML 2.0対応の企業IDプロバイダー（IdP）を利用したい
・アクセス要求ごとにユーザーのアイデンティティとデバイスの状態（デバイスコンプライアンス）を検証したい
・アクセスログをコンプライアンス目的でS3に保存したい
・社内アプリケーションはプライベートサブネットに配置されており、インターネットに直接公開したくない

この要件を最小限の運用負担で満たすソリューションはどれですか？

Accepted Answer

正解: AWS Verified Access を使用し、SAML 2.0 IdP をトラストプロバイダーとして設定する。アクセスポリシーでデバイスコンプライアンスを条件に定義し、アクセスログを S3 に配信する。AWS Verified Access はVPNなしでプライベートアプリケーションへのゼロトラストアクセスを提供するマネージドサービスです。SAML 2.0 IdP および IAM Identity Center をトラストプロバイダーとして設定でき、リクエストごとにユーザーアイデンティティとデバイスコンプライアンスを評価します。アクセスログの S3 配信もネイティブサポートされており、エージェント不要でプライベートサブネットのアプリケーションへのアクセスを制御できます。

選択肢A の AWS Client VPN はVPNクライアントソフトウェアが必要なため「VPNクライアントの廃止」という要件を満たしません。

選択肢C の ALB + Cognito の組み合わせは認証をサポートしますが、デバイスコンプライアンス評価はネイティブに提供されず、カスタム実装が必要で運用負担が増加します。

選択肢D の API Gateway + Lambda オーソライザーはAPI用途であり、一般的な内部Webアプリケーションのリバースプロキシには適しておらず、デバイスコンプライアンス評価にも追加実装が必要です。

Answer

AWS Client VPN をデプロイし、SAML 2.0フェデレーションを設定する。Lambda 関数でデバイスコンプライアンスを評価するカスタム認証ロジックを実装する — AWS Client VPN はVPNクライアントソフトウェアが必要なため「VPNクライアントの廃止」という要件を満たしません。

Answer

Application Load Balancer に Amazon Cognito User Pool を統合し、SAML フェデレーションを設定する。Lambda オーソライザーでデバイスコンプライアンスを検証する — ALB + Cognito の組み合わせは認証をサポートしますが、デバイスコンプライアンス評価はネイティブに提供されず、カスタム実装が必要で運用負担が増加します。

Answer

Amazon API Gateway をリバースプロキシとして使用し、Lambda オーソライザーで SAML トークンを検証する。AWS WAF のカスタムルールでデバイスフィンガープリントを評価する — API Gateway + Lambda オーソライザーはAPI用途であり、一般的な内部Webアプリケーションのリバースプロキシには適しておらず、デバイスコンプライアンス評価にも追加実装が必要です。

解説

解説