IAM Roles Anywhere が証明書失効リスト (CRL) の自動チェック機能に対応

AWS Identity and Access Management (IAM) Roles Anywhere において、証明書失効リスト (CRL) 分配点 (CDP) を利用した自動失効チェック機能が導入されました。トラストアンカーに対してこの機能を有効化すると、認証証明書に埋め込まれた CDP URL を読み取り、対応する CRL を自動的にダウンロードして定期的に更新します。これにより、失効した証明書を使用した認証リクエストを自動的に拒否することが可能になります。本機能は、AWS Private CA および独自の PKI 環境の両方で利用可能です。追加料金なしで、すべての商用 AWS リージョンで利用可能となっています。

🛠️ 運用負荷の大幅な軽減につながるアップデート

これまでの IAM Roles Anywhere での証明書失効管理は、CA (証明書発行局) が CRL を更新するたびに、手動で CRL をインポートし直す必要があり、運用上のオーバーヘッドが非常に高い状態でした。今回のアップデートにより、**「自動取得・定期更新」**が実現し、失効情報の同期が自動化されるため、セキュリティポスチャの維持が格段に容易になります。

📍 日本国内リージョンの状況

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能であることが確認されています。国内のオンプレミス環境から AWS への接続を管理しているエンジニアにとって、非常に使い勝手の良いアップデートです。

💡 実務上のアドバイス

• CDP の公開性: 証明書に埋め込まれた CDP URL が、AWS 側からアクセス可能な「パブリックにアクセス可能な URL」である必要があります。独自の PKI を利用している場合は、URL の到達性を事前に確認してください。
• コスト: 本機能の利用に伴う追加料金は発生しません。
• セキュリティ: 失効チェックを自動化することで、失効した証明書による不正アクセスを防止する「リアルタイム性」が向上します。

🚀 次のアクション

まずは、現在利用している証明書に適切な CDP URL が含まれているかを確認し、IAM Roles Anywhere のコンソールまたは CLI からトラストアンカーの設定変更を試してみることをお勧めします。

参照ドキュメント: IAM Roles Anywhere User Guide - Automatic revocation checking with CRL distribution points https://docs.aws.amazon.com/rolesanywhere/latest/userguide/trust-model.html#crl-distribution-point-revocation