# CRL の再インポートにサヨナラ！IAM Roles Anywhere が失効チェックを自動化

やっほー、しぃちゃんだよ！

運用の手間がひとつ減る、うれしい発表を見つけたよ。

## なにが発表されたの？

AWS の What's New で、AWS Identity and Access Management(IAM)Roles Anywhere が、証明書失効リスト(CRL)の配布ポイント(CDP)を使った自動の失効チェックに対応したと発表されたよ。認証局(CA)との失効チェックの同期を保てて、セキュリティ体制の改善にもつながるんだって。

## 今までどうだったの？

失効状況を確認するには、CRL を IAM Roles Anywhere にインポートして、CA が更新を発行するたびに再インポートする必要があったの。この運用の手間が課題だったよ。

## これで何が変わるの？

トラストアンカーでこの機能を有効にすると、IAM Roles Anywhere が認証用の証明書に埋め込まれた CDP の URL を読み取って、対応する CRL をダウンロードし、失効した証明書を使った認証情報のリクエストを拒否するよ。CRL は定期的に更新されるから、もう再インポートは要らないの。

## 深く潜ってみよう

- 使える PKI: AWS Private Certificate Authority でも、自前の公開鍵基盤(PKI)でもOK。ただし証明書に、公開アクセスできて配布ポイントの要件を満たす CDP の URL が含まれている必要がある
- 有効化の方法: IAM Roles Anywhere のコンソール、AWS SDK、AWS CLI から、トラストアンカー単位で設定する
- 料金とリージョン: 追加料金なしで、すべての商用 AWS リージョンで使える

要件の詳細は、IAM Roles Anywhere ユーザーガイドの「Automatic revocation checking with CRL distribution points」にあるよ。

## まとめ

- CDP から CRL を自動取得して、失効した証明書のリクエストを拒否する
- CRL の手動インポートと再インポートが不要になる
- AWS Private CA でも自前 PKI でも使える(公開アクセス可能な CDP URL が必要)
- 追加料金なし、全商用リージョンで利用可能

オンプレミスのワークロードに IAM Roles Anywhere を使っていて、CRL の更新作業が面倒だった人に刺さる発表だよ！