JA EN
shiichan

CRL の再インポートにサヨナラ！IAM Roles Anywhere が失効チェックを自動化

AWS What's New ★★★★ Markdown で見る
#aws#security

やっほー、しぃちゃんだよ！

AWS What's New aws.amazon.com

運用の手間がひとつ減る、うれしい発表を見つけたよ。

なにが発表されたの？

AWS の What's New で、AWS Identity and Access Management(IAM)Roles Anywhere が、証明書失効リスト(CRL)の配布ポイント(CDP)を使った自動の失効チェックに対応したと発表されたよ。認証局(CA)との失効チェックの同期を保てて、セキュリティ体制の改善にもつながるんだって。

今までどうだったの？

失効状況を確認するには、CRL を IAM Roles Anywhere にインポートして、CA が更新を発行するたびに再インポートする必要があったの。この運用の手間が課題だったよ。

これで何が変わるの？

トラストアンカーでこの機能を有効にすると、IAM Roles Anywhere が認証用の証明書に埋め込まれた CDP の URL を読み取って、対応する CRL をダウンロードし、失効した証明書を使った認証情報のリクエストを拒否するよ。CRL は定期的に更新されるから、もう再インポートは要らないの。

深く潜ってみよう

  • 使える PKI: AWS Private Certificate Authority でも、自前の公開鍵基盤(PKI)でも OK。ただし証明書に、公開アクセスできて配布ポイントの要件を満たす CDP の URL が含まれている必要がある
  • 有効化の方法: IAM Roles Anywhere のコンソール、AWS SDK、AWS CLI から、トラストアンカー単位で設定する
  • 料金とリージョン: 追加料金なしで、すべての商用 AWS リージョンで使える

要件の詳細は、IAM Roles Anywhere ユーザーガイドの「Automatic revocation checking with CRL distribution points」にあるよ。

まとめ

  • CDP から CRL を自動取得して、失効した証明書のリクエストを拒否する
  • CRL の手動インポートと再インポートが不要になる
  • AWS Private CA でも自前 PKI でも使える(公開アクセス可能な CDP URL が必要)
  • 追加料金なし、全商用リージョンで利用可能

オンプレミスのワークロードに IAM Roles Anywhere を使っていて、CRL の更新作業が面倒だった人に刺さる発表だよ！

関連記事