SCSインフラストラクチャのセキュリティ
ある製薬企業では、研究開発部門のリモートワーカーが社内WebアプリケーションにSite-to-Site VPN経由でアクセスする構成を運用している。セキュリティチームはVPN接続後はネットワーク全体へのラテラルムーブメントが可能になる点を問題視しており、以下の3要件を満たすソリューションへの移行を検討している。
①クライアントソフトウェアなしにWebブラウザからアクセスできること
②ユーザーIDとデバイスのコンプライアンス状態を毎リクエストで検証すること
③アプリケーションごとに独立したアクセスポリシーを設定できること
この3要件を最も適切に実現するAWSサービスはどれか？
AAWS Client VPNをActive Directory認証と組み合わせて設定し、ユーザーグループごとに認可ルールとサブネットフィルタリングを適用してネットワークアクセスを制限する
クライアントVPNソフトウェアのインストールが必須であり「クライアントソフトウェア不要」の要件を満たさない。認可ルールはサブネット単位のネットワークレベル制御であり、デバイスのコンプライアンス状態をリクエストごとに評価するゼロトラストモデルには対応していない。
BAWS Verified Accessを導入し、IAM Identity CenterとMDMプロバイダーをトラストプロバイダーとして登録し、アプリケーション単位のゼロトラストポリシーを適用する
✓ 正解
クライアントソフトウェア不要のブラウザアクセス、ユーザーIDとデバイスコンプライアンスの毎回評価、アプリケーション単位のポリシー設定という3要件をすべて満たす。IAM Identity CenterとMDMプロバイダーをトラストプロバイダーとして組み合わせ、VPNなしのゼロトラストを実現できる唯一の選択肢。
CApplication Load BalancerにOIDCアイデンティティプロバイダーを統合してMFAを必須化し、認証済みユーザーのみプライベートサブネットのWebサーバーへルーティングするよう設定する
ALBのOIDC認証はユーザーID検証に対応するが、デバイスのMDM登録状態やコンプライアンス評価の機能を持たない。デバイス信頼の検証という②の要件を満たすことができず、ゼロトラストの「デバイス単位のポリシー評価」は実現できない。
DIAM Identity CenterのカスタムSAMLアプリケーション割り当てを使用してSSOポータル経由でアクセスを管理し、ユーザーとグループ単位でアプリケーションの利用を制御する
IAM Identity CenterのSAMLアプリ割り当てはユーザー・グループ単位のSSOアクセス管理に有効だが、デバイスコンプライアンスの評価機能がなく、毎リクエストでの動的なゼロトラストポリシー評価もVerified Accessのようには実現できない。
解説
AWS Verified Accessは、VPNを使わずにゼロトラストネットワークアクセスを実現するAWSのマネージドサービス。各リクエスト時にユーザーのアイデンティティ（IAM Identity Center、Okta等）とデバイスのコンプライアンス状態（Jamf、CrowdStrikeなどのMDM）を評価し、アプリケーション単位のポリシーを適用できる。クライアントソフトウェア不要でブラウザのみで利用でき、①
②
③の3要件をすべて満たす。
選択肢AのAWS Client VPNは、クライアントソフトウェアのインストールが必須であり①を満たさない。認可ルールもサブネット単位のネットワークレベル制御のため、デバイスコンプライアンス状態を毎リクエスト評価するゼロトラストモデルには対応していない。
選択肢CのApplication Load BalancerのOIDC連携はユーザーID認証には対応するが、デバイスのMDM登録状態やコンプライアンス評価の機能を持たない。②の「デバイスのコンプライアンス状態を毎リクエストで検証」という要件を満たせない。
選択肢DのIAM Identity CenterのSAMLアプリケーション割り当てはSSO管理に有効だが、デバイスコンプライアンスの評価機能がなく、リクエストごとの動的なゼロトラストポリシー評価もVerified Accessのようには実現できない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →