AWS が提供する SPLA の RDS SALにおけるセキュリティ設計の注意点

こんにちは！イーゴリです。

環境によっては、セキュリティ要件が厳しい場合もあります。

この記事では、AWS が提供する SPLA の RDS SAL におけるセキュリティ設計上の注意点を共有します。

なお、AWS の公開情報にはAWS が提供する SPLA の RDS SALにおけるセキュリティ設計に関する明記がないため、本記事の内容は私の検証結果に基づくものです。
長期的な運用での検証は行えていないため、実施の際は自己責任でご判断ください。

AWS License ManagerのRDS SAL初期設定時にデフォルトセキュリティグループが使用されています。デフォルトセキュリティグループのアウトバウンドルールに許可がない場合、登録エラーが発生します。

Microsoft Remote Desktop Services (RDS) のための Active Directory XXXの登録に失敗しました
The specified domain either does not exist or could not be contacted. Please ensure that the default security group for the specified VPC allow traffic to your domain controllers(s).

そのため、最低限でもデフォルトのアウトバウンドルールに下記の許可ルールを追加する必要があります。

AWS License ManagerのRDS SAL初期設定登録後、下記のENIのセキュリティグループが自動で作成されますので、上記のルールは削除しても問題ありません。

注意：デフォルトセキュリティグループに正しい許可ルールを追加しても、下記のエラーが発生する可能性があります。

Microsoft Remote Desktop Services (RDS) のための Active Directory XXXの登録に失敗しました
The specified domain either does not exist or could not be contacted. Please ensure that the default security group for the specified VPC allow traffic to your domain controllers(s).

そのため、デフォルトセキュリティグループのインバウンドに許可ルールを追加してしまう方がいますが、デフォルトセキュリティグループのインバウンドに許可ルールがなくても問題ありません。デフォルトセキュリティグループ以外の、他の関連セキュリティグループに必要な許可ルールが追加されているかご確認ください。

対象ADのセキュリティグループのインバウンドルールが、対象ADのVPC内でドメイン環境で使用されるポートが解放されているかご確認ください。例えば、ADのIPは192.168.1.1、VPCのCIDRブロックは192.168.1.0/24になっている場合、192.168.1.1 ADのセキュリティグループのインバウンドルールにドメイン環境で使用されるポートの192.168.1.0/24 CIDRが許可されていることを確認する等。

jpwinsup.github.io

構築されたENIには、下記のセキュリティグループが自動的に作成・アタッチされます。

• インバウンドルール

• アウトバウンドルール

ただし、インバウンドルールで 0.0.0.0/0 をソースとして残してもよいかは、環境・要件によって異なります。個人的にこれは推奨できません。
0.0.0.0/0 の使用が禁止されている場合は、RDSH 用に構築された EC2 が属する VPC のみに限定してください。
さらに厳しい制約がある場合は、RDSH 用 EC2 のサブネット、または特定の EC2 の IP アドレスまで範囲を絞ります。

以上、御一読ありがとうございました。

blog.serverworks.co.jp

blog.serverworks.co.jp