Amazon API Gatewayがバックエンド統合での相互TLS (mTLS) をサポート

Amazon API GatewayのREST APIにおいて、バックエンド統合に対する相互TLS (mTLS) がサポートされました。これにより、API GatewayはTLSハンドシェイク中にAWS Certificate Manager (ACM) で管理される証明書を提示できるようになり、信頼できる認証局 (CA) によって署名された証明書を利用可能です。ACMで証明書が更新された際は自動的に伝播されるため、再デプロイやダウンタイムなしで更新が行われます。本機能は、API Gateway REST APIが提供されているすべての商用リージョンおよびAWS GovCloud (US) リージョンで利用可能です。

課題と解決策

これまでAPI Gatewayからバックエンドへの接続では、API Gatewayが生成する自己署名証明書しか提示できず、厳格な認証要件を持つ環境（金融やヘルスケアなど）では、バックエンド側で信頼できるCAの証明書を要求することが困難でした。今回のアップデートでACM証明書を提示できるようになったため、エンドツーエンドでの強固な相互認証（mTLS）が実現可能になりました。

日本国内の利用状況

リサーチの結果、東京リージョンおよび大阪リージョンの両方で利用可能であることが確認されています。国内の規制要件を満たすシステム構築において、即座に導入検討が可能です。

実務上のアドバイス

• 証明書管理の効率化: ACMまたはAWS Private CAを使用することで、証明書の更新作業に伴うAPIの再デプロイやダウンタイムを回避できる点は運用上の大きなメリットです。
• ゼロトラストの実現: クライアントからAPIへのインバウンドmTLSと組み合わせることで、「クライアント ↔ API ↔ バックエンド」の全経路で相互認証を完結させることができます。

次のアクション

まずは、バックエンド側で受け入れ可能なCA証明書をACMにインポートし、API Gatewayの統合リクエスト設定でmTLSを有効化して接続テストを行うことを推奨します。

参考リソース

• Amazon API Gateway 開発者ガイド: https://docs.aws.amazon.com/apigateway/latest/developerguide/rest-api-backend-authentication.html