ある大手金融機関が、Kubernetes（Amazon EKS）上で動作するマイクロサービス間の通信にmTLS（相互TLS認証）を実装することにしました。
要件は以下の通りです。
・各マイクロサービスに対してプライベート

Question

ある大手金融機関が、Kubernetes（Amazon EKS）上で動作するマイクロサービス間の通信にmTLS（相互TLS認証）を実装することにしました。
要件は以下の通りです。
・各マイクロサービスに対してプライベートX.509証明書を発行する
・証明書の有効期限管理と失効（CRL/OCSP）をAWSマネージドサービスで管理する
・証明書はインターネット上の信頼ストアに公開しない

これらの要件を最も適切に満たすAWSサービスおよびアーキテクチャはどれですか？

Accepted Answer

正解: AWS Private Certificate Authority（AWS Private CA）でプライベートCA階層を構築し、各マイクロサービス用のプライベートX.509証明書を発行・管理する。AWS Private CAはフルマネージドのプライベートPKIサービスで、インターネット非公開のX.509証明書の発行・失効（CRL/OCSP）・ライフサイクル管理をサポートします。EKSとの統合も可能でmTLS要件を完全に満たします。

選択肢AのACMパブリック証明書は、公的信頼ストアに登録されるため「インターネットに公開しない」要件に反し、EC2/EKS Podへの直接マウントも不可です。

選択肢CのCloudHSMはHSMハードウェアを提供しますがCA機能（CRL管理など）を持たず、Secrets Managerでの証明書配布も大規模管理には不向きです。

選択肢DのAWS IoT Coreの証明書機能はIoTデバイス向けであり、汎用マイクロサービスのmTLS基盤として設計されていません。

Answer

AWS Certificate Manager（ACM）のパブリック証明書を発行してEKS Podにマウントし、ACMが自動的にローテーションを管理する — ACMパブリック証明書は、公的信頼ストアに登録されるため「インターネットに公開しない」要件に反し、EC2/EKS Podへの直接マウントも不可です。

Answer

AWS CloudHSM でルートCAの秘密鍵を保護しながら自己署名証明書を生成し、AWS Secrets Manager を使って各Podに配布する — CloudHSMはHSMハードウェアを提供しますがCA機能（CRL管理など）を持たず、Secrets Managerでの証明書配布も大規模管理には不向きです。

Answer

AWS IoT Core の証明書プロビジョニング機能を使用してX.509証明書を管理し、mTLS認証を実装する — AWS IoT Coreの証明書機能はIoTデバイス向けであり、汎用マイクロサービスのmTLS基盤として設計されていません。

解説

解説