ある企業は、社内向けの複数の Web(HTTP/HTTPS)アプリケーションを VPC 内の Application Load Balancer 配下で稼働させている。従業員はリモートから社内アプリへアクセスするが、VP

Question

ある企業は、社内向けの複数の Web(HTTP/HTTPS)アプリケーションを VPC 内の Application Load Balancer 配下で稼働させている。従業員はリモートから社内アプリへアクセスするが、VPN クライアントの配布・維持をやめたい。セキュリティ要件として、ユーザー ID と接続端末のデバイス状態(コンプライアンス)をリクエストごとに評価し、条件を満たさないアクセスを拒否する必要がある。アプリはブラウザからアクセスされ、追加のエージェント導入は避けたい。この要件に最も適した構成はどれか。

Accepted Answer

正解: AWS Verified Access のエンドポイントを社内アプリの Application Load Balancer に関連付け、信頼プロバイダーとして IAM Identity Center とデバイス管理サービスを構成し、アクセスポリシーでリクエストごとに ID とデバイス状態を評価する。。AWS Verified Access は VPN を用いずにブラウザ経由で社内アプリへの安全なアクセスを提供するゼロトラストサービスである。信頼プロバイダーとして ID プロバイダー(IAM Identity Center 等)とデバイス管理(サードパーティ MDM 連携)を構成でき、アクセスポリシーによりリクエストごとに ID とデバイスコンプライアンスを評価して許可/拒否を判定する。
従業員側に VPN クライアントや専用エージェントを導入せずブラウザからアクセスできるため、すべての要件を満たす。

選択肢Bの Client VPN は VPN クライアントの配布・維持が前提で、リクエスト単位のデバイス状態評価も行えず要件に反する。
選択肢Cの ALB の OIDC 認証は ID の検証はできるがデバイスコンプライアンスをリクエストごとに評価する仕組みがなく、要件を満たさない。
選択肢Dの PrivateLink はネットワーク到達性の提供が目的で、ID やデバイス状態に基づくゼロトラスト評価の機能を持たない。

Answer

AWS Client VPN エンドポイントを構成し、相互認証と SAML ベースのフェデレーション認証を有効化して、接続確立後に社内アプリの Application Load Balancer へプライベートに到達できるようにする。 — Client VPN は VPN クライアントの配布・維持を前提とする点で「VPN をやめたい」という要件に反する。認証は行えても、リクエスト単位でデバイスのコンプライアンス状態を継続的に評価する仕組みを備えていない。

Answer

社内アプリの Application Load Balancer に OIDC 認証アクションを設定し、Amazon Cognito 経由で ID を検証したうえでアプリへルーティングし、AWS WAF でアクセス元 IP を制限する。 — ALB の OIDC 認証アクションと Cognito で ID 検証はできるが、接続端末のデバイスコンプライアンスをリクエストごとに評価する機能がない。WAF の IP 制限もデバイス状態評価の代替にはならず、要件を満たせない。

Answer

AWS PrivateLink で社内アプリをサービスとして公開し、利用者側 VPC からインターフェイス VPC エンドポイント経由で接続させ、セキュリティグループで送信元を制御する。 — PrivateLink はサービスへのネットワーク到達性を提供する仕組みで、ID やデバイス状態に基づくアクセス可否判断は行わない。ゼロトラスト的なリクエスト単位の評価ができないため本要件には適さない。

解説

解説