470-AWS SAP AWS 「理論・実践・一問道場」WorkSpacesディレクトリにIPアクセスコントロールグループ

type

status

date

slug

summary

理論

Amazon WorkSpacesにおけるセキュリティ制御のベストプラクティス

Amazon WorkSpacesを利用する際、企業のセキュリティポリシーを満たすための主な手法とその特徴を以下にまとめます。

1. IPアクセスコントロールグループ

概要 WorkSpacesへのアクセスを許可するIPアドレスの範囲を制御します。

利点

支店や拠点ごとの公開IPアドレスをリスト化し、WorkSpacesディレクトリに適用可能。
新しい支店を開設した場合でも、IPリストを更新するだけで対応可能。

運用効率 管理がシンプルで、セキュリティ要件に容易に適合。

2. AWS Firewall Manager

概要複数のAWSアカウントでファイアウォールルールを一元管理します。

適用例 Webアプリケーションファイアウォール（AWS WAF）と組み合わせてWebトラフィックを制御。

注意点 Amazon WorkSpacesの直接的なIP制御には使用できない。

3. デバイス証明書と認証

概要 AWS Certificate Manager（ACM）を利用してデバイス証明書を発行し、信頼されたデバイスのみアクセスを許可します。

利点高度なセキュリティを実現。

課題導入コストと運用負担が大きく、小規模なネットワークには不向き。

4. カスタムWorkSpaceイメージ

概要カスタムイメージを作成し、Windows Firewallやその他のセキュリティ設定を適用。

課題

各WorkSpaceに個別設定が必要。
拡張性に乏しく、管理負担が増大。

5. その他の考慮事項

セキュリティ要件の変化 新しい拠点や従業員増加に柔軟に対応できる仕組みが必要。

コストと効率 導入コストを抑え、運用のシンプルさを重視することが重要。

結論

運用効率とセキュリティのバランスを考慮すると、IPアクセスコントロールグループはAmazon WorkSpacesのアクセス制御に最適な方法です。この方法は、拡張性が高く、企業のセキュリティポリシーに適合します。

実践

略

一問道場

質問 #470

ある企業は、Amazon WorkSpacesを薄型クライアントデバイスと組み合わせて、老朽化したデスクトップを置き換えたいと考えています。従業員は、臨床試験データと連携するアプリケーションにアクセスするためにデスクトップを使用しています。企業のセキュリティポリシーでは、アプリケーションへのアクセスを会社の支店所在地に限定する必要があります。企業は、今後6ヶ月以内に追加の支店を開設する予定です。

最も運用効率の良い方法でこの要件を満たすソリューションはどれですか？

A. 支店の公開アドレスのリストを使用して、IPアクセスコントロールグループのルールを作成します。WorkSpacesディレクトリにIPアクセスコントロールグループを関連付けます。

B. AWS Firewall Managerを使用して、支店所在地の公開アドレスのリストを持つIPセットを使用してWeb ACLルールを作成します。Web ACLをWorkSpacesディレクトリに関連付けます。

C. AWS Certificate Manager（ACM）を使用して、支店所在地に展開されたマシンに信頼されたデバイス証明書を発行します。WorkSpacesディレクトリで制限されたアクセスを有効にします。

D. 支店の公開アドレスにアクセスを制限するように設定されたWindows Firewallを使用してカスタムWorkSpaceイメージを作成します。そのイメージを使用してWorkSpacesを展開します。

解説

正解は A. 支店の公開アドレスのリストを使用して、IPアクセスコントロールグループのルールを作成します。WorkSpacesディレクトリにIPアクセスコントロールグループを関連付けます。です。

理由

セキュリティポリシーの要件

企業のセキュリティポリシーは、アプリケーションへのアクセスを支店所在地に限定することを求めています。この要件を満たすために、IPアドレスベースの制御が適切です。

運用効率

IPアクセスコントロールグループは、Amazon WorkSpacesディレクトリに直接関連付けて使用できる機能で、特定のIPアドレスまたはアドレス範囲からのアクセスのみを許可します。

新しい支店が開設された場合でも、IPアドレスをリストに追加するだけで対応可能であり、管理が容易です。

他の選択肢と比較

B. AWS Firewall Manager Firewall Managerは主にWebアプリケーションファイアウォール（WAF）の管理に使用され、Amazon WorkSpacesのディレクトリに直接関連付けることはできません。

C. AWS Certificate Manager デバイス証明書を利用する方法は複雑で、管理オーバーヘッドが高くなります。また、この要件に適合する最適な方法ではありません。

D. Windows Firewallを使用したカスタムイメージ 各WorkSpaceに個別設定を適用する必要があり、運用効率が悪く、拡張性に欠けます。

補足

IPアクセスコントロールグループは、Amazon WorkSpacesのセキュリティ要件に対応する標準的な方法であり、簡単かつ効率的に管理できます。