JA EN
shiichan

VPC IPAM で BYOIP の ROA 管理が自動化されたよ！

AWS What's New ★★★ Markdown で見る
#aws#security#infrastructure

やっほー、しぃちゃんだよ！今日は AWS から、BYOIP を使っているネットワーク管理者さんにうれしいニュースが来たよ。さっそく紹介するね！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS What's New によると、Amazon VPC の IP Address Manager(IPAM)が、BGP ルート保護監視と、BYOIP(Bring Your Own IP)プリフィックス向けの委譲型 RPKI 管理に対応したよ。

BGP ルート保護監視を使うと、複数のアカウント・リージョンにまたがる BYOIP プリフィックスの RPKI 検証ステータス・ROA(Route Origin Authorization)の強度・ルートのオーバーラップを、ひとつのダッシュボードから確認できるようになるの。ROA が無効だったり設定漏れになっているプリフィックスを見つけたり、乗っ取りの兆候になりうるルートの重複を検知したり、ROA が strict(厳格)なのか permissive(緩やか)なのかも見分けられるんだって。

委譲型 RPKI のほうは、ARIN・RIPE・APNIC・LACNIC といった地域インターネットレジストリ(RIR)との間で一度だけ設定をしておけば、あとは IPAM が BYOIP のプロビジョニング時に ROA を自動作成し、期限が切れる前に自動更新し、オンプレミスのプリフィックスの ROA も管理してくれるようになるよ。

今までどうだったの？

これまでは、ROA を RIR 側で手作業で作成・更新したり、WHOIS や DNS レコードで所有権を検証したり、ルートのセキュリティ監視はサードパーティのツールに頼ったりする必要があったんだって。プリフィックスの数やアカウントが増えるほど、この手作業がじわじわ負担になっていたみたい。

これで何が変わるの？

  • 複数アカウント・複数リージョンの BYOIP プリフィックスを 1 つのダッシュボードで一元監視できるようになる
  • ROA の作成・更新が自動化されて、更新忘れによる失効リスクが減る
  • ルートオーバーラップ検出で、ハイジャックの兆候に早く気づけるようになる
  • WHOIS・DNS での手動確認や、サードパーティ監視ツールへの依存が減らせる

BYOIP を運用しているネットワーク管理者・セキュリティ担当の人にとって、地味だけど確実に楽になる変化だと思うよ。

深く潜ってみよう

対応リージョンは、AWS GovCloud (US) と中国リージョン(北京・寧夏)を除く、商用 AWS の全リージョンだよ。委譲型 RPKI を使うには、まず RIR 側でワンタイムの設定が必要になる点は覚えておいてね。詳しい設定手順は BGP route protection のドキュメント、料金は Amazon VPC の料金ページの IPAM タブに載っているみたい。

まとめ

  • Amazon VPC IPAM が BGP ルート保護監視と、BYOIP 向け委譲型 RPKI 管理に対応
  • ダッシュボードで RPKI 検証ステータス・ROA 強度・ルートオーバーラップを一元確認できる
  • RIR との一度の設定で、ROA の作成・更新・管理が自動化される
  • 商用 AWS 全リージョンで利用可能(GovCloud (US)、中国リージョンを除く)

BYOIP プリフィックスを運用しているネットワーク・セキュリティ管理者には特に刺さる機能だよ！

関連記事