SCSインフラストラクチャのセキュリティ
ある企業はリモート従業員に社内ウェブアプリケーション群へのアクセスを提供しており、現在は Client VPN を利用しているが運用負荷とゲートウェイのスケーリングが課題となっている。新方式では VPN を廃止し、ユーザーの IDプロバイダー（IAM Identity Center）による認証に加えて、接続元デバイスのセキュリティ態勢（マルウェア対策の稼働状況）を評価したうえでアプリケーション単位でアクセス可否を判定し、全アクセス試行をログ記録したい。最も適した構成はどれか。
AAWS Verified Access を構成し、IAM Identity Center をユーザートラストプロバイダー、サードパーティのデバイス管理サービスをデバイストラストプロバイダーとして登録し、アプリケーション単位のアクセスポリシーを定義する
✓ 正解
Verified Access は VPN レスでゼロトラストアクセスを実現し、ユーザートラストプロバイダーとデバイストラストプロバイダーを併用してユーザー ID とデバイス態勢の双方を評価し、アプリ単位の許可とログ記録の全要件を満たす。
BAWS Client VPN を維持したまま SAML フェデレーションを有効化し、VPN エンドポイントの認可ルールでアプリケーションごとの CIDR ベースアクセスを制御する
Client VPN を維持する時点で VPN 廃止という要件に反する。認可ルールは CIDR ベースのネットワーク制御であり、デバイスのセキュリティ態勢を評価する仕組みを持たないため要件を満たせない。
CAWS Verified Access を構成し、IAM Identity Center をユーザートラストプロバイダーとして登録するが、デバイストラストプロバイダーは設定せずユーザー ID のみでアクセスを判定する
Verified Access の構成自体は妥当だが、デバイストラストプロバイダーを登録していないため、接続元デバイスのマルウェア対策稼働状況などのセキュリティ態勢を評価できず、要件を一部満たせない。
DApplication Load Balancer に Amazon Cognito 認証を統合し、AWS WAF で IP ベースのレート制限を適用してアプリケーションへのアクセスを制御する
ALB＋Cognito で ID 認証、WAF で IP レート制限は可能だが、接続元デバイスのセキュリティ態勢を評価して許可判定する機能を備えておらず、デバイス態勢評価の要件を満たせない。
解説
AWS Verified Access は VPN を使わずにゼロトラストでアプリケーションへのアクセスを提供するサービス。ユーザートラストプロバイダー（IAM Identity Center や OIDC）とデバイストラストプロバイダー（サードパーティの MDM/EDR）の両方を登録し、Cedar ベースのアクセスポリシーでユーザー ID とデバイス態勢の両方を評価してアプリ単位の許可判定を行える。全アクセス試行はログとして記録される。
選択肢Bは VPN を廃止する要件に反し、CIDR ベース制御ではデバイス態勢を評価できない。
選択肢Cはデバイストラストプロバイダーを設定していないため、デバイスのセキュリティ態勢評価という要件を満たせない。
選択肢Dの Cognito＋WAF は ID 認証とレート制限はできるが、デバイス態勢の評価機能を持たない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →