【re:Inforce2024】DAP201-NEW | [NEW LAUNCH] Secure and increase mobile workforce productivity with AWS for MDM

こんにちは、ひろかずです

Medium使い始めました。今後もご贔屓に。

re:Inforce2024に行ってきたので、一筆書きます

今回は、新しくLaunchされた(まだプレビュー)AWS Private CA Connector for SCEPについてのセッションブログです

TL;DR的な何か

• AWS Private CAと従来の認証局との比較とAWS Private CAのユースケースを交えながら、AWS Private CA Connector for SCEPとMDMとを接続する流れの共有
• AWS Private CA Connector for SCEPが、AWS Private CAとActive DirectoryやK8sとをどのような形で接続するのかというイメージの共有
• 補足としてのSCEPの解説

注意事項

• 本ブログは、2024年6月12日時点の情報に基づいて記載しています
• AWS Private CA Connector for SCEPは、執筆時点でプレビューです
• ご利用の際は、最新のドキュメントを参照することをお勧めします

参考ドキュメント

SCEP (Simple Certificate Enrollment Protocol) 用の AWS プライベート CA コネクタ (プレビュー)

AWS プライベート CA がモバイルデバイス向け SCEP コネクタを導入 (プレビュー)

AWS Private CA Connector for SCEPとは

• 一般的なMDMソリューションとPrivate CAを使って、モバイルデバイスを自動登録する
• プライベート証明書を使ってモバイルデバイスを保護する運用コストと複雑さを軽減する
• マネージドSCEPサービスを備えたマネージドなプライベートCAを使って、PKI操作を合理化する
• 企業向けに単一のプライベートCAソリューションを使う

(補足)SCEP is 何

SCEPとは、Simple Certificate Enrollment Protocolの略で、証明書の管理のためのプロトコルです。

SCEPは、デバイスやアプリケーションへの証明書の発行・更新・削除など一連の操作を行います。

(補足)そもそものSCEPの使いどころ

1. ネットワークデバイス機器間で使う証明書の管理

• VPNゲートウェイの場合、ユーザーがVPNに接続するとSCEPを使って認証局から証明書を取得し、ユーザーの機器とネットワークデバイス間での通信を暗号化します

2. MDMソリューションにおける、組織のモバルデバイスに対しての証明書発行と管理

• MDMソリューションは、SCEPを通じて取得した証明書を組織のモバイルデバイスに対してプッシュします
• 企業のネットワークは、その証明書に基づいてネットワークへの接続を許可します

本題に戻ります

なぜ、証明書が必要であるか？

• 証明書を発行して、転送中のデータの暗号化とデバイスの識別を行うため

AWSの証明書サービス

AWS Certificate Manager(ACM)

• AWSサービスや内部接続リソースで使うパブリック・PrivateSSL/TLS証明書を簡単にプロビジョニング、管理、デプロイできる

AWS Private CA

• 独自のPrivate認証局を運用するための先行投資や継続的なメンテナンスコストが不要な、可用性の高いPrivate認証局サービス

AWS Signer

• フルマネージドなコード署名サービス

伝統的な認証局のチャレンジ

• PKI運用は複雑
• 手動運用は遅く、ヒューマンエラーの温床
• 自動化やスケールがしにくい
• PKI運用には多額のコストがかかる

AWS Private CAとの違いは？

• Private認証局の作成と管理が簡単
• 認証局と証明書管理の自動化が可能
• 高い可用性とスケール
• 他のAWSサービスとのインテグレーション

AWS Private CA Connector for SCEP

• MDMソリューションを使うと、企業の管理者は接続されたデバイス上でポリシーを管理・適用できる
• MDMソリューションは、企業へのアクセスを許可する前にデバイスがより安全な様態であることを確認するのに役立つ

(補足)つまるところのAWS Private CA Connector for SCEPとは

• 要するに、AWS Private CA Connector for SCEPは、[(補足)そもそものSCEPの使いどころ]のケース2においてMDM(モバイルデバイス)とAWS Private CAとのやりとりを仲介するコネクタを提供するというものです
• 冒頭で「一般的なMDMソリューション」とありますが、これはMicrosoft IntuneやJamf ProのようなSCEP互換のMDMソリューションを指します

デモ

1. CAの作成

2. 一般タイプのコネクタを作成

3. Microsoft Intuneタイプのコネクタを作成

4. Microsoft Intune側の構成プロファイルの作成

5. デバイスのエンロール

デモでは、AWSプライベートCAを作成し、Miceosoft Intuneコネクタを作成したうえで、Microsoft Intune側にデバイスへ証明書を配布するため構成プロファイルを作成し、デバイスに配布した証明書の確認を行いました。

• ここまで数分の操作でした

オペレーションの参考ドキュメント

手順については、こちらのドキュメントが参考になりそうです

• Microsoft Intune の SCEP コネクタの使用

ちなみにJamf Pro向けのドキュメントも掲載されていました

• Jamf Pro で SCEP 用コネクタを使用する

ADとの接続

• AWS Directory Serviceを中継してオンプレADとAWS Private CAの疎通を確立する
• ドメイン参加しているPCは、AWS Private CA Connectorを通じてAWS Private CAと接続する

k8sとの接続

• K8s環境で使用するためのcert-manager用のオープンソース発行者プラグインを用いる
• 伝統的に暗号化は以下のいずれかで終端される

1. ELBで終端させる

2. k8sのigress Connectorで終端させる

3. Podで終端させる

4. Pod間でのセキュアな通信

AWS Private CAを使うとき

• AWS上のリソースとAWS外のリソースにプライベート証明書を発行する
• IoTデバイスとAppにプライベート証明書を発行する
• K8s環境にプライベート証明書を発行する

AWS Private CAのベネフィット

• セキュアでマネージドなプライベート認証局
• デリバリーと俊敏性をサポート
• ルート認証局と完全な認証局のヒエラルキー
• プライベート証明書のカスタマイズと柔軟性

セキュアなマネージドプライベート認証局

• ハードウェアセキュリティモジュール(HSM)
• アクセスコントロールのためのIAMポリシー
• マネージドな証明書失効リスト (CRL)、オンライン証明書ステータス プロトコル (OCSP)をAPIを通じて運用する
• 監査レポートの出力

まとめ

• AWS Private CAは、複雑性や認証局のための高い運用コストを排除したフルマネージドな認証局である
• AWS Private CAは、幅広いエンタープライズのPKIユースケースをサポートする
• 接続性としては、k8sやActive Directory, モバイルデバイス
• AWS Private CAは、他の鍵管理系のAWSサービスと連携できる
• IAMやAmazon EKS、Amazon Workspaces、Amazon ECSなどなど

所感

• AWS Private CA Connector for SCEPが来たことで、いよいよAWS Private CAを使える環境が揃ってきたように思えます
• Wifi証明書の更新など、使い勝手を試していきたいですね！

今日はここまでです。お疲れ様でした。