AWSで最低限セキュアな構成について

Question

こちらのページにあるセキュアな構成についてです。
AWSで最低限セキュアな構成を組む

この例はアマゾンの公式ドキュメントにも載っている構成です。
シナリオ 2: パブリックサブネットとプライベートサブネットを持つ VPC（NAT）

あくまで批判する目的ではなく、
疑問に思ったことがあるので教えてください。

1.NATの必要性

AWSでNATを挟むメリットってなんでしょうか。

攻撃された時に直接はWEBサーバーではなく、
NATサーバーだからセキュリティ的に安全という感じなのでしょうか。

AWSであればセキュリティグループの
アウトバウンドをオンオフすれば、
それでいいのではと思ってしまいますが。

セキュリティグループでのオンオフは面倒だから、
NATサーバーを通すというのも理解はできます。

他にもメリットとかがあれば教えてほしいです。

セキュア構成とかでNAT構成がよく出ますが、
いまいちそのメリットが書かれてないので分かりません。

2.踏み台サーバーの必要性

踏み台サーバーを通してアクセスするのですが、
この踏み台サーバーって必要なのでしょうか?

必要な時以外は停止しておけば、
確かにWEBサーバーなどにSSH接続などができず、
セキュリティ面は安心かもしれません。

ただ個人的にはセキュリティグループで
SSH接続を特定IPアドレス(自宅など)に限れば、
セキュリティ的には問題ないのではないかと思います。

自宅PCがハッキングされて踏み台にされれば、
WEBサーバーにアクセスされてしまいますが、
そこまでされたら何をしても同じな気がします。
(AWSの管理画面にもログインできると思いますし・・・)

管理者が複数いたり、
特定の場所以外のリモートからも保守管理したいなら、
そういう踏み台サーバーは意味があると思います。

3.WEBサーバーをプライベートサブネットに置く理由

WEBサーバーだけをプライベートサブネットに置いていますが、
WEBサーバーをパブリックサブネットに置くと、
問題があるんでしょうか。

このセキュア構成であれば、
WEBサーバーには踏み台サーバーとELBからしか
アクセスができないのであれば、
プライベートサブネットに置く意味はなんだろうと。

パブリックサブネットに置いてても、
セキュリティグループで通信が制限されていればいいのではと思います。

今はサーバー一つですがデータベースサーバーとか
いろいろ増えていくと一つ一つ制限すると面倒だから、
サブネットでまとめて管理するのでしょうか。

とても勉強になるので、
こういう構成例をもっと勉強したいです。

Answer 1

自己解決しました。ありがとうございます。

Answer 2

Qiitaなんだから書いた人にコメントで直接質問すればいいじゃない

Comments

[1nakaji]

こちらの方がいろんな人から回答いただけそうだったので、こちらで質問させていただきました。