IAM Roles Anywhereが証明書失効リストの自動チェック機能（CDP）に対応、手動インポートが不要に

公式発表で確認できる事実

• AWS Identity and Access Management (IAM) Roles Anywhereが、CRL配布ポイント（CDP）を使った自動失効チェック機能をサポートしました。
• トラストアンカーでこの機能を有効にすると、IAM Roles Anywhereは認証証明書に埋め込まれたCDP URLを読み取り、対応するCRLをダウンロードします。
• 失効した証明書を使った認証情報リクエストは拒否されます。
• CRLは定期的に自動更新されるため、CAがCRLを更新するたびに手動で再インポートする必要がなくなりました。
• AWS Private Certificate Authorityまたは独自のPKIと組み合わせて利用できます。ただし、証明書に配布ポイント要件を満たす公開アクセス可能なCDP URLが含まれている必要があります。
• IAM Roles Anywhereコンソール、AWS SDK、またはAWS CLIからトラストアンカーに対して有効化できます。
• すべての商用AWSリージョンで追加料金なしで利用できます。
• 詳細はIAM Roles Anywhere User GuideのAutomatic revocation checking with CRL distribution pointsを参照してください。

当サイトの考察

従来の手動CRLインポート方式では、CAが失効リストを更新するたびに管理者が再インポートを行う必要があり、タイムラグが生じるリスクがありました。CDP対応により、失効情報が自動的に同期されるため、セキュリティポスチャの維持が容易になります。既存のトラストアンカーを利用している場合は、証明書にCDP URLが含まれているかを確認したうえで、有効化を検討する価値があります。

確認できていない事項

• 東京リージョン（ap-northeast-1）や大阪リージョン（ap-northeast-3）での提供有無は資料から確認できません（「すべての商用AWSリージョン」とのみ記載）
• CDP機能の有効化後にCRLが更新される具体的な頻度（更新間隔）は資料に記載がありません
• 配布ポイント要件の具体的な内容は資料本文には記載がなく、User Guideを参照する必要があります

この記事は、AWS 公式の発表をもとに AI が作成し、自動で公開しています。