SAA / ドメイン1 セキュアなアーキテクチャの設計
AWS Client VPN
は、個々の利用者のPCから AWS やのリソースへ安全にアクセスするための、マネージドなクライアントベース サービスです。
SAA では、拠点間接続ではなく、在宅勤務者や管理者などのリモートアクセス要件で選びます。
概要
OpenVPN ベースのクライアントから へ します。エンドポイントを または に接続し、ルートと認可ルールで到達可能なネットワークを制御します。
主要技術
①認証方式
| 認証方式 | 用途 |
|---|---|
| 相互証明書認証 | クライアント証明書で端末や利用者を認証します。 |
| 認証 | と連携します。 |
| 認証 | SAML 2.0 と連携します。 |
認証後も、認可ルールとの両方を確認します。
②ターゲットネットワークとルート
を へ関連付けるとネットワークインターフェイスが作成されます。利用者へ到達させる宛先は Client VPN のへ追加します。
③認可ルール ⚠️ 頻出
認可ルールは、どの利用者またはグループがどのネットワークへアクセスできるかを制御します。デフォルトではアクセスが許可されないため、必要な宛先だけを明示的に許可します。
④可用性、ログ、IP対応
複数 のを関連付けると可用性を高められます。接続ログを Logs へ送り、利用者の接続状況を監査できます。は IPv4、IPv6、デュアルスタックの構成に対応します。
試験対策
| 要件 | 選ぶサービス |
|---|---|
| 個々の社員PCからAWSへ接続 | |
| オフィスネットワーク全体をへ接続 | |
| 専用の安定回線 | |
| グループ単位で接続先を制限 | Client VPN + AD認証 + 認可ルール |
「誰が接続するか」で切り分けます。利用者単位なら Client VPN、ネットワーク拠点単位なら Site-to-Site VPN です。