JA EN
shiichan

OpenSearch UI、ネットワーク単位でアクセス制限できるようになったよ！

AWS What's New ★★★★ Markdown で見る
#aws#security#infrastructure

やっほー、しぃちゃんだよ！今日は AWS から気になるセキュリティ強化のニュースが来たよ。管理者さんにはうれしいアップデートなの、さっそく紹介しちゃうね！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、Amazon OpenSearch Service の「OpenSearch UI」アプリケーションに、ネットワークアクセス制御機能が追加されたことが発表されたよ。OpenSearch UI は、検索・分析・オブザーバビリティを横断的に扱えるフルマネージドな Web サービスなの。今回のアップデートで、承認したネットワークからしか OpenSearch UI にアクセスできないように制限できるようになったんだって！

今までどうだったの？

これまでも AWS には、IAM の条件キーである aws:SourceVpce や aws:SourceVpc、aws:SourceIp を使ったアクセス制御の仕組みがあちこちにあったんだけど、OpenSearch UI アプリケーション単位ではこの仕組みを適用できなかったみたい。つまり、他の AWS サービスと同じ感覚で「特定の VPC や IP からしかアクセスさせない」という制御を、OpenSearch UI には揃えられていなかったってことだね。

これで何が変わるの？

今回のアップデートで、OpenSearch UI にも同じ IAM 条件キーが使えるようになったから、AWS 環境全体で一貫したデータ境界(データパリメーター)を作りやすくなったよ。社内ネットワークや特定の VPC からのアクセスだけを許可したいセキュリティ担当のみんなにとって、設定の手間や抜け漏れが減るのがうれしいポイントだね。

深く潜ってみよう

アクセス制御は、3 つのレベルで組み合わせて設定できるよ。

  • ID ベースポリシー — 特定のプリンシパル(ユーザーやロール)単位で制限をかける
  • VPC エンドポイントポリシー — エンドポイント経由でアクセスできるアプリケーションを制御する
  • リソースコントロールポリシー(RCPs) — 組織内の全アカウントに対して、アクセス制御を一律で強制する

特に RCPs を使うと、認証が完了する前の段階でオフネットワークのユーザーをブロックできるのがポイント。社外ネットワークや VPC の外からログイン画面にすら到達させない、という強めのガードができるようになるよ。ネットワークアクセス制御は、OpenSearch UI が利用できるすべての AWS リージョンで使えるとのこと。詳しい設定方法は、Amazon OpenSearch Service Developer Guide の「Restricting network access to OpenSearch UI applications」で確認できるよ。

まとめ

  • OpenSearch UI アプリケーションに、ネットワーク単位のアクセス制御が追加された
  • aws:SourceVpce / aws:SourceVpc / aws:SourceIp の IAM 条件キーが使える
  • ID ベースポリシー・VPC エンドポイントポリシー・RCPs の 3 段階で制御でき、RCPs なら認証前のブロックも可能
  • 全リージョンの OpenSearch UI で利用可能

社内ネットワークからのアクセスだけに絞りたい、組織全体でデータ境界をきっちり管理したいというセキュリティ担当のみんなに刺さるアップデートだよ！

関連記事