チュートリアル: AWS Client VPN を使用したプライベートネットワークアクセスの設定

1. ユーザー許可を確認してください。AWS Identity and Access Management (IAM) のアカウントに VPC リソースを作成および管理するための十分な権限があることを確認してください。

2. Amazon MWAA VPC を使用してください。このチュートリアルでは、クライアント VPN を既存の VPC に関連付けることを前提としています。Amazon VPC は、Amazon MWAA 環境と同じ AWS のリージョンにある必要があり、かつ 2 つのプライベートサブネットを持っている必要があります。Amazon VPC を作成していない場合、オプション 3: インターネットにアクセスせずに Amazon VPC ネットワークを作成する で AWS CloudFormation テンプレートを使用してください。

1. 既存の Amazon VPC に対して、AWS CloudFormation テンプレートを使用して AWS Client VPN エンドポイントを作成します。

2. サーバーおよびクライアントの証明書とキーを生成し、その後、Amazon MWAA 環境と同じ AWS のリージョンにある AWS Certificate Manager にサーバー証明書とキーをアップロードします。

3. クライアント VPN のクライアント VPN エンドポイント設定ファイルをダウンロードして変更し、このファイルを使用して、デスクトップ用クライアント VPN を用いて接続するための VPN プロファイルを作成します。

クライアント VPN の CIDR を識別するには

1. Amazon VPC コンソールの Amazon VPC ページを開きます。

2. ナビゲーションバーのリージョンセレクターを使用して、Amazon MWAA 環境と同じ AWS リージョンを選択します。

3. Amazon VPC を選択してください。

4. プライベートサブネットの CIDR が以下のようになっていると仮定します。

   • プライベートサブネット 1: 10.192.10.0/24

   • プライベートサブネット 2: 10.192.11.0/24

   Amazon VPC の CIDR が 10.192.0.0/16 の場合、クライアント VPN に指定するクライアント IPv4 CIDR は 10.192.0.0/22 になります。

5. この CIDR 値と VPC ID の値を後続のステップのために保存してください。

セキュリティグループを特定するには

1. Amazon VPC コンソールのセキュリティグループページを開きます。

2. ナビゲーションバーのリージョンセレクターを使って、AWS リージョンを選択します。

3. VPC ID で Amazon VPC を探し、その VPC に関連付けられているセキュリティグループを特定します。

4. セキュリティグループと VPC の ID を後続のステップのために保存します。

クライアント証明書を作成するには

1. 以下の簡単な手順に従って、クライアントの認証と認可:相互認証 の AWS CLI から証明書を作成し、ACM にアップロードします。

2. これらの手順では、サーバーおよびクライアント証明書をアップロードする際に、AWS CLI コマンドで Amazon MWAA 環境と同じ AWS リージョンを指定する必要があります。ここでは、これらのコマンドでリージョンを指定する方法を例で示します。

   1. 例 サーバー証明書のリージョン

      aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region us-west-2

   2. 例 クライアント証明書のリージョン

      aws acm import-certificate --certificate fileb://client1.domain.tld.crt --private-key fileb://client1.domain.tld.key --certificate-chain fileb://ca.crt --region us-west-2

   3. これらの手順の後、サーバー証明書およびクライアント証明書の ARN に関する AWS CLI のレスポンスで返された値を保存してください。これらの ARN を使用して、クライアント VPN を作成するための AWS CloudFormation テンプレートに ARN を指定します。

3. この手順では、クライアント証明書とプライベートキーがコンピューターに保存されます。ここでは、これらの認証情報の確認場所の例。

   1. 例 macOS 上

      macOS では、内容は /Users/youruser/custom_folder に保存されます。このディレクトリのすべての (ls -a) 内容を一覧表示すると、次のような内容が表示されるはずです。

      .
      ..
      ca.crt
      client1.domain.tld.crt
      client1.domain.tld.key
      server.crt
      server.key

   2. これらの手順の後、クライアント証明書の内容または場所を client1.domain.tld.crt に保存し、プライベートキーの場所を client1.domain.tld.key にメモしてください。これらの値をクライアント VPN の設定ファイルに追加します。

• 次のテンプレートの内容をコピーし、mwaa_vpn_client.yaml としてローカルに保存します。テンプレートをダウンロードすることもできます。

  以下の値を置き換えます。

  • YOUR_CLIENT_ROOT_CERTIFICATE_ARN — ClientRootCertificateChainArn の client1.domain.tld 証明書のARN。

  • YOUR_SERVER_CERTIFICATE_ARN — ServerCertificateArn 内のサーバー証明書の ARN。

  • ClientCidrBlock のクライアント IPv4 CIDR ルール。10.192.0.0/22 の CIDR ルールが提供されています。

  • VpcId の Amazon VPC ID 。vpc-010101010101 の VPC が提供されています。

  • SecurityGroupIds 内の VPC セキュリティグループ ID。sg-0101010101 のセキュリティグループが提供されています。

  AWSTemplateFormatVersion: 2010-09-09
  Description: This template deploys a VPN Client Endpoint.
  Resources:
    ClientVpnEndpoint:
      Type: 'AWS::EC2::ClientVpnEndpoint'
      Properties:
        AuthenticationOptions:
          - Type: "certificate-authentication"
            MutualAuthentication:
              ClientRootCertificateChainArn: "YOUR_CLIENT_ROOT_CERTIFICATE_ARN"
        ClientCidrBlock: 10.192.0.0/22
        ClientConnectOptions:
          Enabled: false
        ConnectionLogOptions:
          Enabled: false
        Description: "MWAA Client VPN"
        DnsServers: []
        SecurityGroupIds:
          - sg-0101010101
        SelfServicePortal: ''
        ServerCertificateArn: "YOUR_SERVER_CERTIFICATE_ARN"
        SplitTunnel: true
        TagSpecifications:
          - ResourceType: "client-vpn-endpoint"
            Tags:
            - Key: Name
              Value: MWAA-Client-VPN
        TransportProtocol: udp
        VpcId: vpc-010101010101
        VpnPort: 443

AWS Client VPN を作成するには

1. AWS CloudFormation コンソールを開きます。

2. [テンプレートは準備できている]、[テンプレートファイルをアップロードする] を選択します。

3. [ファイルのを選択] を選択し、mwaa_vpn_client.yaml ファイルを選択します。

5. [次へ]、[次へ] を選択します。

6. アクノレッジメントを選択し、[スタックを作成] を選択します。

プライベートサブネットを AWS Client VPN に関連付けるには

1. Amazon VPC コンソールを開きます。

2. [クライアント VPN エンドポイント] ページを選択します。

3. クライアント VPN を選択し、次に [アソシエーション] タブの [アソシエイト] を選択します。

4. ドロップダウンリストから次の項目を選択します。

   • [VPC] 内の Amazon VPC。

   • [関連付けるサブネットを選択] にあるプライベートサブネットの 1 つ。

5. [関連付ける] を選択します。

CIDR を AWS Client VPN に追加するには

1. Amazon VPC コンソールを開きます。

2. [クライアント VPN エンドポイント] ページを選択します。

3. クライアント VPN を選択し、[承認] タブの [進入を許可] を選択します。

4. 次を指定します:

   • [有効化する送信先ネットワーク] にある Amazon VPC の CIDR ルール。例:

     10.192.0.0/16

   • [アクセスを付与する対象] で、[すべてのユーザーにアクセスを許可する] を選択します。

   • [説明] で、分かりやすい名前を入力します。

5. [認可ルールを追加する] を選択します。

設定ファイルをダウンロードするには

1. Client VPN エンドポイント設定ファイルのダウンロードにある Client VPN 設定ファイルをダウンロードするには、以下の簡単な手順に従ってください。

2. このステップでは、クライアント VPN エンドポイントの DNS 名の前に文字列を追加するように求められます。例を示します。

   1. 例 エンドポイント DNS 名

      クライアント VPN エンドポイントの DNS 名が次のようになっている場合

      remote cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

      クライアント VPN エンドポイントを識別する文字列を次のように追加できます。

      remote mwaavpn.cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

3. これらの手順では、クライアント証明書の内容を新しい <cert></cert> のタグの間に追加し、プライベートキーの内容を新しい <key></key> のタグの間に追加するように求められます。例を示します。

   1. コマンドプロンプトを開き、ディレクトリをクライアント証明書とプライベートキーの場所に変更します。

   2. 例 macOS client1.domain.tld.crt

      macOS で client1.domain.tld.crt ファイルの内容を表示するには、cat client1.domain.tld.crt を使用できます。

      ターミナルから値をコピーし、downloaded-client-config.ovpn に貼り付けます。以下のようになります。

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>

   3. 例 macOS client1.domain.tld.key

      client1.domain.tld.key の内容を表示するには、cat client1.domain.tld.key を使用できます。

      ターミナルから値をコピーし、downloaded-client-config.ovpn に貼り付けます。以下のようになります。

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>
      <key>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.key
      -----END CERTIFICATE-----                
      </key>

クライアント VPN に接続するには

1. AWS Client VPN for Desktop をダウンロードしてインストールします。

2. AWS Client VPNを開きます。

3. VPN クライアントメニューで [ファイル]、[管理対象プロファイル] を選択します。

4. [プロファイルを追加] を選択し、downloaded-client-config.ovpn を選択します。

5. [表示名] にわかりやすい名前を入力します。

6. [プロフィールを追加] を選択し、[完了] を選択します。

7. [接続]を選択します。