ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある金融機関は、VPC内のApplication Load Balancerでホストされている社内業務アプリケーションへのアクセスをゼロトラストモデルで実現したい。要件は以下の通りである。
①従業員はインターネット経由でアクセスし、VPNクライアントソフトウェアのインストールは不要とする
②IAM Identity Center（AWS SSO）によるユーザー認証を必須とする
③エンドポイントデバイスのコンプライアンス状態（パッチ適用・マルウェア対策の有効性）を評価してアクセス可否を動的に決定する
④アプリケーションコードの変更なしに実装する
この要件を最も効果的に満たすAWSのアーキテクチャはどれか。
AAWS Client VPNをSAMLベースのIDプロバイダー認証と組み合わせ、接続後のアクセス制御はAWS Systems Manager Session Managerを使用して実施する
VPNクライアントのインストールが必要であり、VPN不要という要件を満たせない。Session ManagerはEC2インスタンスへのシェルアクセスに使うサービスであり、Webアプリケーションへのゼロトラストアクセス制御（デバイスポスチャー評価を含む）には対応していない。
BAmazon Cognitoユーザープールを使用してALBの認証機能でユーザーIDを検証し、AWS Lambdaオーソライザーでデバイスコンプライアンス状態を評価する構成とする
Cognitoによるユーザー認証は可能だが、エンドポイントのパッチ適用状態やマルウェア対策の有無を評価するデバイスポスチャー機能をネイティブに持たず、ゼロトラストのデバイスコンプライアンス評価要件を完全には実現できない。
CAWS Verified Accessを使用し、IAM Identity Centerをユーザートラストプロバイダーとして設定し、デバイス管理ソリューションをデバイストラストプロバイダーとして構成する
✓ 正解
ユーザーIDトラストプロバイダー（IAM Identity Center）とデバイストラストプロバイダーの両方を設定でき、VPNなしでゼロトラストアクセスを実現できる。アプリケーション変更不要でデバイスポスチャー評価も含む全要件を満たす最適なサービスである。
DAWS Site-to-Site VPNとAWS Directory Service（AD Connector）を組み合わせ、Active Directoryグループポリシーでデバイスコンプライアンスを管理しNLBでルーティングする
Site-to-Site VPNは固定拠点間を接続するサービスであり、インターネット経由で個々の従業員がリモートアクセスするユースケースには適さない。またVPNクライアント不要という要件にも反する構成となる。
解説
AWS Verified Accessは、VPNを使用せずにAWS上の社内アプリケーションへのゼロトラストアクセスを実現するマネージドサービスである。トラストプロバイダーとして、ユーザー識別にはIAM Identity CenterやOIDCプロバイダー、デバイスポスチャー評価にはJumpCloud・CrowdStrike・Jamf等のデバイス管理ソリューションをそれぞれ独立して設定できる。アクセスポリシーでユーザー属性とデバイスコンプライアンス状態の両方を条件として評価し、どちらかが不適合の場合はアクセスを拒否する。既存のALBターゲットへの変更は不要で、Verified Accessエンドポイントを介してプロキシされるためアプリケーションコードの変更も不要であり、全要件を満たす。
選択肢AのAWS Client VPNはVPNクライアントのインストールが必要であり、VPNクライアント不要という要件に反する。
選択肢BのAmazon Cognitoはユーザー認証には対応できるが、エンドポイントデバイスのパッチ適用状態やマルウェア対策の有効性を評価するデバイスポスチャー評価機能をネイティブには持たない。
選択肢DのAWS Site-to-Site VPNは固定拠点間のネットワーク接続に使用するサービスであり、個々の従業員がインターネット経由でアクセスするゼロトラストのユースケースには適合せず、VPNクライアント不要要件にも反する。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →