AWS認定資格 WEB問題集＆徹底解説

セキュリティ-専門知識

正解 B問題
分野5：データ保護 タスクステートメント5.1：転送中のデータのコントロールを設計し、実装する。
要復習（もう一度解きたい問題） 1 2 3 4
次の問題前の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAWSサービス解説を、24時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
IoT 機器の遠隔管理サービスを提供する企業が、フィールドに設置された機器からの HTTPS 接続を受け付けるバックエンドとして、旧世代の Classic Load Balancer の使用を中止し、Application Load Balancer (ALB) に切り替えた。切り替え後、出荷から数年が経過した旧型の TLS スタックを搭載した一部の IoT ゲートウェイ機器だけが、ALB に接続できなくなった。

この事象を引き起こしている原因として最も考えられるものはどれか。
  • Perfect Forward Secrecy (PFS) を有効にする設定が ALB 側で行われていない
  • ALB に設定されたセキュリティポリシーが要求する暗号スイートや TLS バージョンに、旧型ゲートウェイの TLS クライアントが対応していない
  • 移行時に新規作成した ALB のセキュリティグループが、インバウンドの 443 番ポート宛て通信を許可していない
  • ALB に関連付けたサーバー証明書のチェーンに、発行元 CA の中間証明書が含まれていない
解説 頻出度★★★★★
この問題は、「移行後 × 一部の古いクライアントだけが接続不能」という切り分けから、ALB のセキュリティポリシー（TLS バージョンと暗号スイートの組み合わせ）とクライアントの非互換を導けるかがポイントです。「全員が落ちる原因」と「古い機器だけが落ちる原因」を区別できれば一択に絞れます。

A. Perfect Forward Secrecy (PFS) を有効にする設定が ALB 側で行われていない

Perfect Forward Secrecy は ECDHE / DHE 系の鍵交換を使う暗号スイートが選ばれることで成立する性質で、ALB 側に「PFS を有効にする」という独立したスイッチはありません（セキュリティポリシーに含まれる暗号スイートで決まります）。
仮に PFS 対応の暗号スイートが提供されていなくても、それは接続できない理由にはならず、より古い鍵交換方式で接続が成立するだけです。
「新しい機器は接続でき、古い機器だけ接続できない」という事象の説明にもなりません。

正解

B. ALB に設定されたセキュリティポリシーが要求する暗号スイートや TLS バージョンに、旧型ゲートウェイの TLS クライアントが対応していない

ALB では TLS の終端にセキュリティポリシーを指定し、そこでサポートするTLS プロトコルバージョンと暗号スイートの組み合わせが決まります。Classic Load Balancer では暗号スイートを個別に選ぶカスタムポリシーが使えましたが、ALB は事前定義ポリシーから選ぶ方式で、旧式の暗号スイートを含まないものが多くあります。
その結果、古い TLS スタックしか持たない機器だけがハンドシェイクで共通の暗号スイート／プロトコルを合意できず、接続に失敗します。新しい機器は問題なく接続できるという症状と完全に一致します。
移行時によく起きる典型的な非互換であり、これが最も可能性の高い原因です。

C. 移行時に新規作成した ALB のセキュリティグループが、インバウンドの 443 番ポート宛て通信を許可していない

セキュリティグループが 443 番ポートを許可していなければ、すべてのクライアントが接続できません。
設問は「一部の旧型ゲートウェイ機器だけ」が接続できないと明示しており、症状と矛盾します。
ネットワーク層の遮断は機器の新旧を区別しないため、原因として成立しません。

D. ALB に関連付けたサーバー証明書のチェーンに、発行元 CA の中間証明書が含まれていない

中間証明書が欠けている場合、信頼チェーンを補完できないクライアントが検証に失敗します。古い機器で顕在化しやすい問題ではありますが、ALB では ACM で発行・インポートした証明書のチェーンが提供されるため通常は起こりません。
また証明書チェーンの不備はルート／中間 CA のストアが古いクライアント全般で発生し、TLS スタックの世代とは必ずしも一致しません。
設問が「旧型の TLS スタックを搭載した機器だけ」と TLS 実装の古さを指している以上、セキュリティポリシーの非互換の方が原因として妥当です。

これだけ覚える（記憶フック）
古い端末だけ TLS が切れたら、まず ALB のセキュリティポリシーを疑う。全滅ならネットワークか証明書。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
CLB から ALB へ移行した直後に発生 移行で変わったのは TLS 終端の設定方式。CLB のカスタム暗号スイート指定は ALB では事前定義ポリシーになる
→選択肢（B）が候補
影響を受けたのは「一部の旧型機器だけ」 全クライアントが落ちる原因は除外できる。セキュリティグループの閉塞は新旧を問わず全滅する
→選択肢（C）を消す
旧型の TLS スタックを搭載 古い実装は TLS 1.2 以上や新しい暗号スイートに未対応のことがあり、ハンドシェイクで合意に至らない
→選択肢（B）が正解
PFS は「有効化スイッチ」ではない PFS は選択された暗号スイート（ECDHE/DHE）の性質。未対応でも接続不能の直接原因にはならない
→選択肢（A）を消す
証明書チェーンの不備との切り分け チェーン欠落はCA ストアが古いクライアントの検証失敗を招くが、ALB は証明書チェーンを提供する。TLS スタックの世代差という記述にはセキュリティポリシーの方が合致
→選択肢（D）は候補だが最有力ではない
ひっかけポイント
  • 「一部の機器だけ」という限定が最大のヒント。セキュリティグループ・ルーティングなどネットワーク層の原因は全クライアントに等しく効くため、この一文だけで選択肢 C は消える
  • 選択肢 A の「PFS が有効になっていない」は、セキュリティが緩い＝接続できる方向の話。接続不能の原因を問われているのに、制限が緩む設定を選ばないよう注意
  • 中間証明書欠落（選択肢 D）も古い機器で起きやすい罠だが、これは証明書検証の問題で、設問が指すTLS スタックの古さ（対応プロトコル・暗号スイート）とは層が違う
  • ALB は CLB と違い暗号スイートを 1 つずつ選ぶカスタム設定ができない（事前定義のセキュリティポリシーから選ぶ）。移行時に「同じ設定を再現できない」ことが非互換の温床になる
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「古い機器を切り捨てず当面つなぎたい」 古い TLS バージョン・暗号スイートを含むセキュリティポリシー（TLS 1.0/1.1 対応のもの）へ変更するのが暫定策。ただしコンプライアンス上のリスクを併記する。
「TLS 1.3 のみを許可したい」 TLS 1.3 専用のセキュリティポリシーを選ぶ。当然ながら旧型クライアントはさらに切り離される。
「クライアント証明書で機器を認証したい」 ALB の相互 TLS（mTLS）を有効化し、トラストストアに CA を登録する構成が正解軸になる。
「TLS を終端せず、そのままバックエンドへ渡したい」 Network Load Balancer の TCP パススルーが正解軸。暗号スイートの制御はバックエンド側の実装に依存する。
関連サービスの解説 Elastic Load Balancing (ELB)
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 0%
No.19 解説
IoT 機器の遠隔管理サービスを提供する企業が、フィールドに設置された機器からの HTTPS 接続を受け付けるバックエンドとして、旧世代の Classic Load Balancer の使用を中止し、Application Load Balancer (ALB) に切り替えた。切り替え後、出荷から数年が経過した旧型の TLS スタックを搭載した一部の IoT ゲートウェイ機器だけが、ALB に接続できなくなった。

この事象を引き起こしている原因として最も考えられるものはどれか。
  • Perfect Forward Secrecy (PFS) を有効にする設定が ALB 側で行われていない
  • ALB に設定されたセキュリティポリシーが要求する暗号スイートや TLS バージョンに、旧型ゲートウェイの TLS クライアントが対応していない
  • 移行時に新規作成した ALB のセキュリティグループが、インバウンドの 443 番ポート宛て通信を許可していない
  • ALB に関連付けたサーバー証明書のチェーンに、発行元 CA の中間証明書が含まれていない

次の問題前の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報