AWSのClientVPNとPrivateca

1. ClientVPNとPrivateCA

2. 自己紹介
名前：富松 広太（とみまつ こうた）
Blog：https://cloud-aws-gcp.hateblo.jp/
twitter：@kotamemento
所属：株式会社 Turn and Frontier（関西クラウドベンダー）
from：滋賀県

3. CLient VPNの概要
・クライアント端末からVPN接続
・AWSのNWに接続
・接続部分はマネージド

4. ・Active Directory認証（ADのユーザ/Passで認証）
・SAML連携（IDP等に登録したユーザで認証）
・相互認証（クライアント証明書で認証）
CLient VPNの認証方式

5. ・Active Directory認証（ADのユーザ/Passで認証）
・SAML連携（IDP等に登録したユーザで認証）
・相互認証（クライアント証明書で認証）
CLient VPNの認証方式
証明書管理のための
認証局の管理が必要だが
管理が面倒
そこでAWS ACM PrivateCA

6. 構成図(例)
Internet オンプレ
AWS AWS VPC
Subnet-a
PC
ACM Private CA
Client
VPN
Endpoint1
2
EC2
4
Subnet-c
ENI
NAT
3
VPN オンプレ
サーバ
5
証明書 証明書
PrivateCAで
証明書を発行
PrivateCAで
証明書を発行
PrivateCAで
証明書を発行

7. 証明書の運用(利用イメージ)
クライアントに配布する証明書と、ClientVPNに設定する証明書をACMで管理

8. 証明書の運用(ユーザ追加)
証明書を追加取得する

9. 証明書の運用(証明書失効)
証明書を失効(Revoke)させる(CLIやSDK)
S3にCRL(証明書失効リスト)が自動生成される

10. 証明書の運用(証明書失効)
CRLを
ClientVPNにインポート

11. まとめ & Tips
・ClientVPN相互認証の証明書管理にACM PrivateCAを利用可能
・サーバ管理不要
・証明書関連の操作に一部CLIやSDKが必要となる
・料金が高額(400$ぐらい)