471-AWS SAP AWS 「理論・実践・一問道場」GWLB

type

status

date

slug

summary

理論

AWSでのセキュリティアプライアンスのスケーリングと高可用性

AWS環境でセキュリティアプライアンス（例：防火壁、IDS/IPS）のスケーリングと高可用性を実現するためのベストプラクティスを以下に簡潔にまとめます。

1. Gateway Load Balancer (GWLB)

概要：GWLBは、セキュリティアプライアンス（防火壁、ネットワークセキュリティサービスなど）を横断的にスケーリングするための専用サービスです。

特徴：トラフィックを自動でセキュリティインスタンスに分散し、需要に応じてインスタンスのスケーリングが可能。

メリット：セキュリティアプライアンス専用に設計されており、高可用性とスケーラビリティを簡単に実現。

2. Auto Scaling Group (ASG)

概要：Auto Scalingを使用して、インスタンスのスケールアウト/スケールインを自動化します。特にセキュリティインスタンスに適用可能。

特徴：トラフィックの増加に応じてインスタンス数を自動的に調整。設定スクリプトやテンプレートを利用してインスタンスを自動構成。

メリット：コスト効率良く、需要の変動に対応できる。

3. VPCエンドポイント (PrivateLink)

概要：VPCエンドポイントは、VPC内からAWSサービスやカスタムサービスへのプライベートな接続を提供します。

特徴：セキュアな接続を提供し、外部インターネット経由ではなく、AWS内部のネットワーク経由でアクセスを確保します。

メリット：セキュリティ向上と通信コスト削減、信頼性の高い接続を提供。

4. 高可用性と冗長性の設計

概要：インスタンスの複数アベイラビリティゾーンへの展開により、障害に対する冗長性を確保します。

特徴：障害発生時でもトラフィックが他のインスタンスに自動的にリダイレクトされ、ダウンタイムを最小限に抑えます。

メリット：サービスの高可用性を維持し、運用の信頼性を向上。

まとめ

Gateway Load BalancerとAuto Scalingの組み合わせで、セキュリティアプライアンスはスケーラブルで高可用な状態を実現可能です。

VPCエンドポイントは、メンバーアカウントとの効率的な接続をサポートします。

高可用性を確保するためには、複数のアベイラビリティゾーンでのデプロイが重要です。

これらを駆使することで、ネットワークセキュリティの強化と運用効率を高めることができます。

実践

略

一問道場

質問 #471

ある企業はAWS Organizationsを使用しています。この企業は、中央ネットワークアカウント内で2つのファイアウォールアプライアンスを運用しています。各ファイアウォールアプライアンスは、高可用性を手動で構成したAmazon EC2インスタンス上で実行されています。トランジットゲートウェイを使用して、中央ネットワークアカウントのVPCとメンバーアカウントのVPCを接続しています。各ファイアウォールアプライアンスは静的なプライベートIPアドレスを使用しており、メンバーアカウントからインターネットへのトラフィックをルーティングするために使用されています。

最近のインシデントでは、誤った構成のスクリプトが原因で両方のファイアウォールアプライアンスが終了しました。ファイアウォールアプライアンスの再構築中に、企業は起動時にファイアウォールアプライアンスを構成する新しいスクリプトを作成しました。

この企業は、ファイアウォールアプライアンスの展開を近代化したいと考えています。ネットワークが拡張されたときに増加するトラフィックを処理できるように、ファイアウォールアプライアンスが水平スケールできる必要があります。また、企業ポリシーに準拠するため、ファイアウォールアプライアンスを引き続き使用する必要があります。ファイアウォールアプライアンスのプロバイダーは、最新バージョンのファイアウォールコードがすべてのAWSサービスで動作することを確認しています。

この要件を最も費用対効果の高い方法で満たすために、ソリューションアーキテクトが推奨すべき手順の組み合わせはどれですか？（3つ選択してください）

A. 中央ネットワークアカウントにGateway Load Balancerをデプロイします。AWS PrivateLinkを使用するエンドポイントサービスを設定します。

B. 中央ネットワークアカウントにNetwork Load Balancerをデプロイします。AWS PrivateLinkを使用するエンドポイントサービスを設定します。

C. Auto Scalingグループと、ユーザーデータとして新しいスクリプトを使用してファイアウォールアプライアンスを構成する起動テンプレートを作成します。インスタンスタイプのターゲットグループを作成します。

D. Auto Scalingグループを作成します。ユーザーデータとして新しいスクリプトを使用してファイアウォールアプライアンスを構成するAWS Launch Wizardのデプロイを設定します。IPターゲットタイプのターゲットグループを作成します。

E. 各メンバーアカウントにVPCエンドポイントを作成します。ルートテーブルを更新してVPCエンドポイントを指すようにします。

F. 中央ネットワークアカウントにVPCエンドポイントを作成します。各メンバーアカウントのルートテーブルを更新してVPCエンドポイントを指すようにします。

解説

この問題は、ネットワークセキュリティとトラフィック管理の要件を満たすために、Amazon EC2を使用して構築された現行の防火壁アーキテクチャをどのように最適化するかを問うものです。以下は解説です：

背景のポイント

現行の構成

2台のEC2インスタンスが防火壁として動作し、インターネットトラフィックを検査。

中央ネットワークアカウントに配置され、静的なプライベートIPでトラフィックをルーティング。

メンバーアカウントのVPCからのトラフィックは、Transit Gatewayを介してこの防火壁に送信される。

問題

高可用性の欠如：最近のインシデントで2台のインスタンスが誤って終了した。

スケーラビリティの不足：現在の構成では、トラフィックが増加した場合に対処できない。

手動設定の負担：防火壁の設定は再構築時にスクリプトで対応しているが、自動化が不足。

要件

水平スケーリング：ネットワークの成長に合わせてトラフィックを処理できるようにする。

高可用性：誤動作や障害時にも迅速に復旧できる仕組みを確保。

既存ポリシーの継続使用：既存の防火壁アプライアンスを使い続ける。

選択肢の詳細解説

以下は各選択肢の解説です。

A. Gateway Load Balancerを使用する（推奨）

内容 Gateway Load Balancer（GWLB）を中央ネットワークアカウントにデプロイし、AWS PrivateLinkを使用してエンドポイントサービスを設定する。

利点

GWLBはネットワークトラフィックを防火壁インスタンスに自動分散できる。
インスタンスのスケールアウト（増加）やスケールイン（減少）をサポートし、水平スケーリングが容易になる。
PrivateLinkを使うことで、メンバーアカウントのVPCとの統合が簡単になる。

適用性 非常に効率的で、推奨されるモダンなアプローチ。

B. Network Load Balancerを使用する

内容 Network Load Balancer（NLB）を中央ネットワークアカウントにデプロイし、AWS PrivateLinkを使用してエンドポイントサービスを設定する。

利点

NLBはトラフィックの分散が可能。
GWLBと比較するとセキュリティアプライアンス専用ではないため、柔軟性は低い。

適用性 GWLBが利用可能な状況では、NLBはあまり推奨されない。

C. Auto Scaling Group + Launch Template（推奨）

内容 Auto Scaling Group（ASG）を作成し、起動テンプレートを利用して防火壁のインスタンスを自動的にスケールアウト/スケールインできるようにする。

利点

トラフィック増加時に自動でインスタンスを追加し、負荷を分散できる。
インスタンス起動時にスクリプトを実行し、設定を自動化。

適用性 防火壁インスタンスの水平スケーリングと自動化を実現する重要なステップ。

D. Auto Scaling Group + AWS Launch Wizard

内容 AWS Launch Wizardを使用してASGとターゲットグループを設定。

利点

IPターゲットタイプを使うことで動的にインスタンスを管理可能。
ただし、Launch Wizardは特定のユースケースに最適化されており、柔軟性が低い。

適用性 Launch WizardよりもLaunch Templateの方が一般的かつ柔軟なため、こちらは優先度が低い。

E. 各メンバーアカウントにVPCエンドポイントを作成

内容各メンバーアカウントでVPCエンドポイントを作成し、ルートテーブルを更新してトラフィックをリダイレクトする。

利点

トラフィックのルーティングが確実になる。
ただし、スケーラビリティや効率性を向上させるには不十分。

適用性 運用負担が大きいため、優先度が低い。

F. 中央ネットワークアカウントにVPCエンドポイントを作成（推奨）

内容中央ネットワークアカウントでVPCエンドポイントを作成し、メンバーアカウントのルートテーブルを更新。

利点

中央化された管理が可能。
トラフィックを効率的にルーティングできる。

適用性 Gateway Load Balancerと組み合わせることで、より効果的な構成になる。

推奨される解答

以下の3つの選択肢が、要件を最も効果的に満たします：

A. Gateway Load Balancerを使用する

C. Auto Scaling Group + Launch Template

F. 中央ネットワークアカウントにVPCエンドポイントを作成する

この組み合わせにより、防火壁アーキテクチャが以下のように改善されます：

水平スケーリングと高可用性が実現。

メンバーアカウントとの接続が簡略化。

全体の管理が効率化し、コスト効果も向上。