ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
あるメディア企業は、Amazon CloudFrontをグローバルなコンテンツ配信ネットワークとして使用し、背後にあるApplication Load Balancer (ALB) をオリジンとして設定しています。ALBと背後のEC2インスタンスは一般公開されていますが、セキュリティ要件により、ALBに対する直接的なインターネットからのアクセスをすべてブロックし、必ずCloudFrontを経由したリクエストのみを処理させる必要があります。これを実現するための最もセキュアで推奨されるアプローチはどれですか。
ACloudFrontとALB間の接続にAWS WAFをアタッチし、CloudFrontのカスタムヘッダーを検査して特定のシークレット値を持つリクエストのみを許可する
✓ 正解
CloudFrontで独自のシークレットを含むカスタムHTTPヘッダーを付与し、ALBにアタッチされたAWS WAFでそのヘッダーを検証する手法は、IPベースの制限を回避する攻撃や他のAWSアカウントからの転送を防ぐ最も強力でセキュアなアクセス制御です。
BAWSマネージドプレフィックスリストを使用して、ALBのセキュリティグループでCloudFrontのIPアドレス範囲からのインバウンドアクセスのみを許可する
マネージドプレフィックスリストを使用してCloudFrontのIP範囲のみを許可することは推奨されるステップの一つですが、これ単体では別のAWSユーザーが作成したCloudFrontディストリビューションからあなたのALBをオリジンとして指定されるリスク（直接アクセスの類似）を防げません。
CCloudFrontからオリジンに対してIAMロール（OAC）を使用してリクエストに署名し、ALB側でIAMリソースポリシーを使用して認証を強制する
オリジンアクセスコントロール（OAC）による署名機能は、Amazon S3バケットやLambda関数URL、MediaStoreへのアクセス制御には使用可能ですが、ALBに対してIAMベースの署名認証を直接適用する機能はサポートされていません。
DCloudFrontディストリビューション設定内で「オリジンアクセスアイデンティティ（OAI）」を作成し、ALBのターゲットグループにアタッチする
オリジンアクセスアイデンティティ（OAI）は、プライベートなAmazon S3バケットへのアクセスをCloudFrontに限定するための専用の機能です。ALBやEC2インスタンスなどのカスタムオリジンに対してOAIを使用することは設計上不可能です。
解説
CloudFrontからApplication Load Balancer (ALB) へのトラフィックのみを許可し、ALBへの直接アクセスを防ぐAWSのベストプラクティスは、カスタムヘッダーとAWS WAFを組み合わせたアプローチです。
CloudFrontのオリジン設定で秘密のカスタムHTTPヘッダー（例: X-Shared-Secret）を付与し、ALBにアタッチしたWAF Web ACLでそのヘッダーが存在し値が一致するリクエストのみを許可・それ以外をブロックするルールを設定します。プレフィックスリストよりもセキュアな理由は、CloudFrontのIPは他のAWSユーザーと共有されているため、IP制限だけでは他者のCloudFrontディストリビューション経由のアクセスを防げないためです。
AWSマネージドプレフィックスリストによるIP制限は有効ですが、CloudFrontのIPを共有する他のAWSユーザーからのアクセスを防げないため、単体では最もセキュアなアプローチとは言えません。
CloudFront OACによるリクエスト署名はS3やMediaStoreでは利用できますが、ALBにはIAMリソースポリシーが存在しないため、このアプローチでALBへの直接アクセスをブロックすることはできません。
オリジンアクセスアイデンティティ（OAI）はS3オリジン専用の旧機能であり、ALBのターゲットグループにアタッチする機能は存在しません。OAIはALBのアクセス制限には使用できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →