AWS Client VPN設計の要点 認証・認可ルール・スプリットトンネル

ANSでは、リモートワーカーのVPC接続をどう設計するかが出題されます。Client VPNはマネージドなOpenVPNベースのサービスで、認証、認可、経路の3点を押さえます。

覚え方：3つの観点

• 認証：誰が接続できるか
• 認可：どのネットワークまで届くか
• 経路：どの通信をVPNに流すか

具体的な設計

認証方式：Active Directory、証明書による相互認証、SAMLによるフェデレーションから選びます。既存のIdPでMFAを使いたいならSAMLが適しています。

認可ルール：宛先のネットワークごとに、ADグループやSAMLグループ単位で許可します。開発者には開発VPC、運用者には本番VPCといった分離ができます。

スプリットトンネル：有効にすると、クライアントのルートテーブルにはAWS向けのルートだけが追加され、インターネット通信は端末から直接出ます。無効だと全通信がVPNを通り、帯域とコストが増えます。

セキュリティグループはターゲットサブネットに作られるENIに適用され、接続ログはCloudWatch Logsに出力できます。

チェックリスト

• 3つの認証方式と選ぶ条件を言える
• 認可ルールをグループ単位で設計できる
• スプリットトンネルの影響を説明できる
• クライアントCIDRの制約を覚えた

まとめ

認証、認可、経路の3点セットで設計問題を整理しましょう。 理解度はクイズで確認し、最新の出題範囲はAWS認定 公式ページで確認しましょう。