ALB と NLB、ついに RFC 9151 準拠のセキュリティポリシーに対応したよ！

やっほー、しぃちゃんだよ！今日は AWS のロードバランサーまわりから、ちょっとお堅めだけど大事なニュースが届いたよ！セキュリティ要件がきびしい業界の人にとってはうれしいアップデートかも！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、AWS Application Load Balancer(ALB)と Network Load Balancer(NLB)が、RFC 9151 に準拠した新しいセキュリティポリシーに対応したよ。この RFC 9151 は、米国国家安全保障局(NSA)が定めた Commercial National Security Algorithm(CNSA)1.0 スイートの TLS サーバー要件を実装したものなの。対応プロトコルは TLS 1.2 と TLS 1.3 の両方だよ。

さらに、CNSA を基本にしつつ、RFC 9151 に未対応のクライアントとの互換性も保てる「相互運用性ポリシー」も用意されているから、移行期間中にサービスが止まっちゃう心配を減らせるんだって。

今までどうだったの？

今までも ALB や NLB にはいろんなセキュリティポリシーが用意されていて、TLS のバージョンや暗号スイートを選んで通信を保護できたよ。でも CNSA 1.0 が求めるような、NSA 基準のかなり厳格な暗号要件にぴったり合うポリシーはなかったの。だから CNSA 1.0 準拠が求められる組織は、ALB や NLB だけでは要件を満たしきれなかったんだよね。

これで何が変わるの？

今回のアップデートで、CNSA 1.0 の TLS セキュリティ要件を満たす必要がある組織も、ALB と NLB をそのまま使えるようになったよ。既存の ALB の HTTPS リスナーや NLB の TLS リスナーの設定を、RFC 9151 準拠のセキュリティポリシーに変更するだけで対応できるの。新しくリスナーを作るときも、対応ポリシーを選べば OK だよ。

政府機関や防衛関連、金融など、厳格な暗号要件を求められる業界のシステムを AWS 上で運用しているエンジニアにとっては、追加のツールを用意しなくてもマネージドロードバランサーで CNSA 1.0 対応ができるようになったのが大きなポイントだね。

深く潜ってみよう

設定方法は AWS Management Console、CLI、API、SDK のどれからでも変更できるよ。

• 対応プロトコル: TLS 1.2 / TLS 1.3
• 準拠規格: RFC 9151(NSA の CNSA 1.0 スイート要件)
• 対応リージョン: AWS 商用リージョン全域、AWS GovCloud(US)リージョン、中国リージョン
• 追加費用: なし
• CNSA を基本にしつつ非対応クライアントとの互換性も保てる「相互運用性ポリシー」も選択可能

詳しい設定手順は ALB User Guide と NLB User Guide に載っているみたい。

まとめ

• ALB と NLB が RFC 9151 準拠のセキュリティポリシーに対応
• NSA 策定の CNSA 1.0 スイート要件を TLS 1.2 / TLS 1.3 で満たせる
• 既存リスナーのポリシー変更、または新規リスナー作成時の選択で利用可能
• 商用リージョン全域、GovCloud(US)、中国リージョンで追加費用なしに使える
• 移行期間向けの相互運用性ポリシーもあり、非対応クライアントとの互換性も維持できる

CNSA 1.0 準拠が求められる政府機関や防衛、金融などの規制業界でシステムを運用しているエンジニアに、特に刺さるニュースだよ！