ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、20個のVPCとオンプレミスデータセンターをDirect Connectで接続したハイブリッドアーキテクチャを持っています。
内部マイクロサービス間の通信にmTLS（Mutual TLS：クライアント・サーバー双方が証明書で相互認証するTLS方式）を実装する要件があります。
要件：
- EC2インスタンスおよびコンテナにプライベートTLS証明書を発行する
- 証明書の有効期限前に自動更新する
- ルートCAとリージョン別サブCAの階層構造をサポートする
- AWS Certificate Manager（ACM）と統合して証明書管理を自動化する
上記の要件を満たす最適な構成はどれですか？
AAWS Private CAでルートCAを1つ作成し、リージョンごとにサブCAを作成する。サブCAをAWS Resource Access Manager（RAM）でリージョン・アカウントと共有し、ACMを使用して各リージョンのリソースへの証明書発行と自動更新を行う。
✓ 正解
AWS Private CAではルートCA→リージョン別サブCAの階層を構築し、AWS RAMでサブCAをアカウント・リージョン間で共有できます。ACMとの統合により証明書の自動発行・更新が可能で、mTLS要件のすべてを満たします。
BAWS Private CAでルートCAを1つ作成し、すべてのリージョン・アカウントのEC2インスタンスへルートCAから直接証明書を発行する。証明書の更新はcronジョブを使用してACM APIを定期的に呼び出すことで自動化する。
ルートCAから直接リーフ証明書を発行するとCAの侵害リスクが高まり、PKIのベストプラクティスに反します。cronジョブによる更新はACMのマネージド更新より信頼性が低くスケーラビリティにも欠けます。
CACMでパブリック証明書を発行し、VPCエンドポイント経由でEC2インスタンスへ配布する。ACMのマネージド更新機能を使って自動更新を行い、プライベートネットワーク内のmTLS認証に使用する。
ACMのパブリック証明書は公開ドメインの検証用であり、内部プライベートネットワーク向けのmTLS認証には使用できません。秘密鍵をエクスポートできないためEC2インスタンスへの配布も不可能です。
DAWS Private CAでリージョンごとに独立したルートCAを作成し、各リージョンのACMと統合して証明書を発行する。すべてのEC2インスタンスのトラストストアに全リージョンのルートCA証明書を手動で配布する。
リージョンごとに独立したルートCAを作成すると統一されたPKI信頼チェーンが存在せず、クロスリージョンでの相互TLS認証が複雑になります。トラストストアへの手動配布は運用負荷が高くスケーラビリティに欠けます。
解説
AWS Private CAではルートCA→リージョン別サブCAの階層を構築し、AWS RAMでサブCAをアカウント・リージョン間で共有できます。ACMとの統合により証明書の自動発行・更新が可能で、mTLS要件のすべてを満たします。
選択肢BはルートCAから直接リーフ証明書を発行するとCAの侵害リスクが高まり、PKIのベストプラクティスに反します。cronジョブによる更新はACMのマネージド更新より信頼性が低くスケーラビリティにも欠けます。
選択肢CはACMのパブリック証明書は公開ドメインの検証用であり、内部プライベートネットワーク向けのmTLS認証には使用できません。秘密鍵をエクスポートできないためEC2インスタンスへの配布も不可能です。
選択肢Dはリージョンごとに独立したルートCAを作成すると統一されたPKI信頼チェーンが存在せず、クロスリージョンでの相互TLS認証が複雑になります。トラストストアへの手動配布は運用負荷が高くスケーラビリティに欠けます。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →