ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業はゼロトラストアーキテクチャを採用しており、5 つの VPC に分散した内部マイクロサービス間のすべての通信に相互 TLS（mTLS：クライアントとサーバーが互いに証明書を提示して認証する方式）を実施する要件があります。サービスは Application Load Balancer（ALB）によって公開されています。
セキュリティチームは以下の要件を定めました。
- クライアント証明書の検証を TLS トランスポート層（ALB レイヤー）で実施する
- 証明書の発行・管理を AWS マネージドサービスで一元化する
- 不正なクライアント証明書を持つリクエストを ALB で直接拒否する
これらの要件を満たす最適な構成はどれですか？
AAWS Private Certificate Authority（AWS Private CA）でルート CA を作成してクライアント証明書とサーバー証明書を発行し、ALB のリスナーで mTLS モードを verify に設定して ACM にアップロードしたトラストストアと関連付ける
✓ 正解
AWS Private Certificate Authority（AWS Private CA）でルート CA を作成してクライアント証明書とサーバー証明書を発行し、ALB のリスナーで mTLS モードを verify に設定して ACM にアップロードしたトラストストアと関連付ける。
AWS Private CA は組織内 PKI をマネージドで構築・運用でき、ALB の mTLS verify モードはトランスポート層でクライアント証明書の検証を実施して不正証明書のリクエストを TLS ハンドシェイク段階で拒否できる。3 つの要件を完全に満たすネイティブ AWS 構成である。
BAWS Certificate Manager（パブリック）でサーバー証明書を発行して ALB にアタッチし、クライアント証明書の検証は ALB に関連付けた AWS Lambda オーソライザーで実装する
ACM パブリック証明書はサーバー証明書専用でクライアント証明書を発行できず、Lambda オーソライザーはアプリケーション層の検証であり TLS 層での mTLS とは異なる。
CIAM サーバー証明書をクライアントに配布し、ALB の手前に NGINX プロキシを EC2 上に配置して mTLS を終端させてから ALB にトラフィックを転送する
IAM サーバー証明書はレガシー機能でスケールする PKI 管理には不適であり、NGINX プロキシの運用負荷も生じる。
Dクライアント証明書とプライベートキーを AWS Secrets Manager に格納し、Lambda 関数が証明書の有効性を検証した後に ALB のターゲットグループへリクエストを転送する
Secrets Manager 経由の証明書検証はアプリケーションコードによる実装であり、TLS ハンドシェイクレベルの mTLS 認証ではないためゼロトラスト要件を満たさない。
解説
AWS Private Certificate Authority（AWS Private CA）でルート CA を作成してクライアント証明書とサーバー証明書を発行し、ALB のリスナーで mTLS モードを verify に設定して ACM にアップロードしたトラストストアと関連付ける。
AWS Private CA は組織内 PKI をマネージドで構築・運用でき、ALB の mTLS verify モードはトランスポート層でクライアント証明書の検証を実施して不正証明書のリクエストを TLS ハンドシェイク段階で拒否できる。3 つの要件を完全に満たすネイティブ AWS 構成である。
選択肢B は ACM パブリック証明書はサーバー証明書専用でクライアント証明書を発行できず、Lambda オーソライザーはアプリケーション層の検証であり TLS 層での mTLS とは異なる。
選択肢C は IAM サーバー証明書はレガシー機能でスケールする PKI 管理には不適であり、NGINX プロキシの運用負荷も生じる。
選択肢D は Secrets Manager 経由の証明書検証はアプリケーションコードによる実装であり、TLS ハンドシェイクレベルの mTLS 認証ではないためゼロトラスト要件を満たさない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →