イントロダクション
この記事では、AWSプリセールス業務でつかうヒヤリングシートについてよくあるヒヤリングシート事項について記載します。
【1つ目】
<質問内容>
AWS環境お渡しするのはプライベートCAのみでよろしいでしょうか。
<お客様想定回答例>
問題ないです。
【2つ目】
<質問内容>
プライベートCAについてはいくつのアカウント
(対象アカウントも教えてください。)に共有する必要がございますか。
<お客様想定回答例>
共有アカウントにプライベートCAを作成し、SSL/TLS証明書を作成できるようにしたいと考えています。AWSマルチアカウント環境のもとで稼働しているすべてのEC2の中で使用できるSSL/TLS証明書を作成したいです。
【3つ目】
<質問内容>
プライベートCAを使用するのはEC2でよいでしょうか
(共有した先の使い方について)
<お客様想定回答例>
AWSマルチアカウント環境のもとで稼働しているすべてのEC2が対象です。
イントラ環境向けオンプレWebアプリケーションで行内でhttps通信させたいためにSSL/TLS証明書を作成したいです。
【4つ目】
<質問内容>
中間証明書を必要とし、中間CAを構築すると、もし証明書が危険にさらされた場合、中間証明書を失効とするだけで対処することができ、ルート証明書に直接影響が与えられることを避け安全に保護することができますが、追加でプライベート証明書を発行する必要があるため、料金が2倍かかってしまう。(プライベート証明書ひとつあたり400$/月なので、計800$/月)
証明書が社内向けのWebサイト用途であれば、今回はコスト対効果を考慮し、割愛でも良いかと考えますがいかがでしょうか。
<お客様想定回答例>
割愛で構わないと思います。
【5つ目】
<質問内容>
想定のプロジェクト期間、スケジュールをご教示願います。
<お客様想定回答例>
yyyy年m月～m月。
【6つ目】
<質問内容>
管理者（CAオーナー）に付与する権限と証明書利用者（アプリ担当者）に付与する権限の希望はございますか。
<お客様想定回答例>
特定の管理者のみがSSL/TLS証明書を作成できるものと想定しています。
【7つ目】
<質問内容>
サブジェクトの識別名のオプションの指定はございますか。
組織(O)：xxxxxxxxx
組織単位(OU)：xxxxx
国名©：日本(JP)
州名/都道府県名：xxxxx
市町村名：xxxx
共通名(CN)：xxxxxxx.local
※CAの作成後にこれらの名前を変更することはできません。
<お客様想定回答例>
以下でお願いします。
組織(O)：xxxxxxxxx
組織単位(OU)：xxxxx
国名©：日本(JP)
州名/都道府県名：xxxxx
市町村名：xxxx
共通名(CN)：xxxxxxx.local
【8つ目】
<質問内容>
キーアルゴリズムのオプションに指定はありますか。
<お客様想定回答例>
RSA2048以上
【9つ目】
<質問内容>
証明書失効オプションの以下の設定は必要でしょうか。
・CRLディストリビューションをアクティブ化
・OCSPをオンにする
※証明書を失効させて、もはや信頼すべきではないことをクライアントに伝えることができます。証明書失効リスト(CRL)ディストリビューションまたはオンライン証明書ステータスプロトコル(OCSP)を有効にして、失効ステータスを伝えることができます。
<お客様想定回答例>
設定不要。
【10つ目】
<質問内容>
ルートCA証明書と下位CA証明書をインストールする際に有効期限と
署名アルゴリズムを設定できますが、指定ございますか。
(例)有効期限：2036/2/27
署名アルゴリズム：SHA256RSA
<お客様想定回答例>
有効期限：365日
署名アルゴリズム：SHA256RSA
今後PQC（量子コンピュータによる解析）対策により、上記変化していくものと想定しています。
。AWS は 2024 年に 以下の参考記事にてPQC 移行計画を発表しています。
【参考記事】https://aws.amazon.com/jp/blogs/security/aws-post-quantum-cryptography-migration-plan/
【11つ目】
<質問内容>
本案件にて弊社に期待する成果物が何か、
想定しているものがあればご教示いただけますでしょうか。
<お客様想定回答例>
①プライベートCA構築
②プライベートCA運用に関する設計書、手順書
→かかる費用の考え方、CA運用手順、SSL/TLS証明書の作成、更新手順 など
まとめ
最後までご覧いただきありがとうございます！！ヒヤリングシートフォーマットについて記載してみました！他のリソースにも着手していきたいと考えています！