ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、VPC 内の ALB 背後で稼働する複数の社内 Web アプリケーションへのアクセスを、従業員に対してインターネット経由で提供したいと考えている。要件は以下の通りである。
①VPN クライアントソフトを配布せずにブラウザだけでアクセスできること
②外部 IdP と連携したユーザー ID に加え、デバイスが企業管理下にあり EDR が稼働しているといったデバイスのセキュリティ状態をリクエストごとに評価してアクセス可否を判定すること
③アクセス判定ログを一元的に記録・監査できること
④運用負荷を最小化すること
この要件を満たす構成はどれか。
AAWS Client VPN エンドポイントを構成し、証明書ベースの相互認証と IdP フェデレーションを有効化する。Client VPN の認可ルールで Active Directory グループ単位のアプリアクセス制御を実施し、接続ログを CloudWatch Logs に送信する
VPN クライアントソフトの配布と接続確立が前提であり要件①に反する。証明書と IdP でユーザー認証はできるが、デバイスの EDR 稼働状況をリクエストごとに継続評価する仕組みがなく、要件②のデバイス信頼評価を満たせない
BAWS Verified Access を構成し、信頼プロバイダーとして IAM Identity Center とサードパーティのデバイス管理サービスを登録する。アプリごとに Verified Access エンドポイント（ALB 型）とアクセスポリシーを定義し、アクセスログを有効化する
✓ 正解
信頼プロバイダーにユーザー ID とデバイス管理を統合し、Cedar ポリシーで ID とデバイスのセキュリティ状態をリクエスト単位で評価する。VPN 不要でブラウザアクセスでき、アクセスログを標準出力できるため全要件を最小運用負荷で満たす
CALB のリスナールールに Amazon Cognito を統合して OIDC 認証を行い、認証済みユーザーのみをターゲットグループへ転送する。デバイスの発信元 IP をセキュリティグループで許可リスト化し、アクセスを制限する
Cognito による OIDC でユーザー認証は行えるが、管理デバイスや EDR 稼働といったデバイスのセキュリティ状態を評価する機能がない。発信元 IP 制限はデバイスの信頼性を担保できず、要件②を満たせない
DAWS Site-to-Site VPN と Transit Gateway 経由で従業員拠点から各アプリの VPC へ接続させ、Transit Gateway のルートテーブルとアタッチメントでアプリ単位のセグメンテーションを行い、Flow Logs で監査する
VPN 経路とルーティングによるネットワークセグメンテーションであり、VPN 接続を前提とする点で要件①に反する。ユーザー ID やデバイス状態に基づくリクエスト単位のアクセス判定も行えず要件②を満たせない
解説
AWS Verified Access は VPN を使わずにブラウザ経由でプライベートアプリへゼロトラストアクセスを提供するマネージドサービスである。信頼プロバイダーとしてユーザー ID プロバイダー（IAM Identity Center など）とデバイス管理サービスを統合でき、Cedar ベースのアクセスポリシーでユーザー ID とデバイスのセキュリティ状態を組み合わせてリクエストごとに評価する。
アクセスログを標準機能で出力でき、VPN クライアント配布も不要で運用負荷が小さい。
選択肢の AWS Client VPN は VPN クライアントソフトの配布・接続が前提で、デバイスの EDR 稼働状況をリクエスト単位で継続評価する仕組みがないため要件①②を満たさない。
選択肢の ALB + Amazon Cognito はユーザー認証は可能だが、管理デバイスや EDR といったデバイスの信頼状態を評価できず、IP 許可リストではデバイス状態を担保できない。
選択肢の Site-to-Site VPN + Transit Gateway はネットワーク経路とルーティングによるセグメンテーションであり、ユーザー ID・デバイス状態に基づくリクエスト単位の判定を行えない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →