ALB/NLB が RFC 9151 準拠の TLS セキュリティポリシーをサポート

AWS Application Load Balancer (ALB) および Network Load Balancer (NLB) において、CNSA 1.0 (Commercial National Security Algorithm 1.0) の要件を満たす RFC 9151 準拠の TLS セキュリティポリシーが追加されました。TLS 1.2 および TLS 1.3 プロトコルに対応しており、Strict（厳格）ポリシーと、非準拠クライアントとの互換性を維持する Interop（相互運用）ポリシーの 2 種類が提供されます。本機能は、すべての AWS 商用リージョン、AWS GovCloud (US) リージョン、および中国リージョンで追加料金なしで利用可能です。

🛡️ セキュリティ要件への対応が容易に

今回のアップデートは、特に米国国家安全保障局 (NSA) が定義する CNSA 1.0 の暗号要件を満たす必要がある組織にとって非常に重要なアップデートです。これまで、高度なセキュリティ要件を満たすために、クライアント側とサーバー側の暗号スイートを厳密に管理する必要がありましたが、RFC 9151 準拠のポリシーを ALB/NLB で直接選択できるようになったことで、運用負荷が軽減されます。

🇯🇵 日本国内リージョンの利用状況

リサーチの結果、本機能は東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) を含むすべての AWS 商用リージョンで利用可能です。大阪リージョンについても、ローカルゾーンではなくフルリージョンとして本機能の提供対象に含まれることが確認されています。

💡 運用上のアドバイス

• 移行のステップ: いきなり Strict ポリシーを適用すると、古いクライアントが接続できなくなるリスクがあります。まずは INTEROP ポリシー（例: ELBSecurityPolicy-TLS13-1-2-RFC9151-INTEROP4-FIPS-2023-07）を使用して、接続ログを確認しながら、段階的に移行を進めるのが実務的なアプローチです。
• コスト: 追加料金なしで利用可能です。
• セキュリティ: TLS 1.3 を優先的に使用する構成にすることで、より強固な暗号化通信を実現できます。

🚀 次のアクション

既存の HTTPS/TLS リスナーのセキュリティポリシーを更新するか、新規作成時に RFC 9151 準拠のポリシーを選択してください。まずは検証環境で Interop ポリシーを適用し、クライアントの互換性をテストすることをお勧めします。

参照ドキュメント:

• ALB User Guide: https://docs.aws.amazon.com/elasticloadbalancing/latest/application/describe-ssl-policies.html
• NLB User Guide: https://docs.aws.amazon.com/elasticloadbalancing/latest/network/describe-ssl-policies.html