SCSインフラストラクチャのセキュリティ
あるグローバル企業のセキュリティチームは、リモート勤務の従業員が社内Webアプリケーションに安全にアクセスできる新しい仕組みを構築している。既存のVPNを廃止し、以下の要件をすべて満たすゼロトラストアーキテクチャを実現したい。
・既存のSAMLベース社内IdPを使用した従業員認証
・MDM（モバイルデバイス管理）ツールによるデバイスコンプライアンス状態の評価
・ネットワーク全体ではなくアプリケーション単位での細粒度アクセス制御
これらすべての要件を最も直接的に満たすAWSサービスはどれか。
AAWS Client VPNにSAMLフェデレーション認証とクライアント証明書を組み合わせ、ユーザーグループ別のサブネットアクセスポリシーを設定する
AWS Client VPNはサブネットレベルのネットワークアクセスを提供するため、アプリケーション単位での細粒度アクセス制御が難しく、VPN廃止とゼロトラスト原則（最小ネットワーク権限）を求める要件には適合しない。
BALBにOIDCベースのIdP連携を設定し、Lambdaオーソライザーでデバイスコンプライアンス状態を検証するカスタム認証基盤を構築する
ALBのOIDC統合とLambdaオーソライザーによる実装は技術的には可能だが、MDMとの標準統合がなくデバイスコンプライアンス評価ロジックを独自開発する必要があり、AWS Verified Accessのようなマネージドサービスと比較して運用負荷が高い。
CAWS Verified Accessにアイデンティティトラストプロバイダーとデバイストラストプロバイダーを設定し、アプリケーション単位のアクセスポリシーを定義する
✓ 正解
AWS Verified AccessはSAML/OIDCのIdPによるユーザー認証と、CrowdStrike・JamfなどMDMのデバイストラストプロバイダーによるコンプライアンス評価を組み合わせ、アプリケーション単位のゼロトラストアクセスをVPN不要で実現できる。
DAmazon CognitoユーザープールにSAML IdPをフェデレーションし、AWS WAFのマネージドルールでデバイスフィンガープリントを評価してアクセスを制御する
Amazon CognitoはSAML IdPフェデレーションによる認証を提供するが、MDMのデバイスコンプライアンス状態を評価する組み込み機能はなく、AWS WAFもデバイス管理状態の評価には対応していないため三つの要件を同時には満たせない。
解説
AWS Verified Accessは、VPNを使用せずにゼロトラスト原則に基づいてAWSリソースへの安全なアクセスを実現するサービスです。アイデンティティトラストプロバイダー（IAM Identity CenterまたはSAML/OIDCのIdP）を通じたユーザー認証と、デバイストラストプロバイダー（CrowdStrikeやJamfなどのMDM/EDRソリューション）を通じたデバイスコンプライアンス評価を組み合わせ、アプリケーションごとに独立したアクセスポリシーを定義できる。ネットワーク全体への過剰なアクセスを排除したアプリケーション単位の制御により、三つの要件をすべて満たすことができる。
選択肢AのAWS Client VPNはネットワークレベルのアクセスを提供するサービスであり、アプリケーション単位の細粒度制御が難しく「ネットワーク全体ではなくアプリケーション単位」というゼロトラスト要件に適合しない。
選択肢BのALB+Lambdaオーソライザーは技術的に実装可能だが、MDMコンプライアンス評価の標準統合がなく、アプリケーションごとに独自開発が必要であり、AWS Verified Accessと比較して運用負荷が大きい。
選択肢DのAmazon Cognitoはアイデンティティ管理機能を持つが、MDMによるデバイスコンプライアンス状態の評価機能はなく、AWS WAFもデバイス管理状態の評価には対応していないため要件を満たせない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →