AIPAIの安全性、セキュリティ、ガバナンス複数選択
医療機関がAmazon Bedrockを使って患者の診断書を処理するシステムを構築している。HIPAA準拠のセキュリティ審査で以下の2つの要件が指摘された：
・すべてのBedrock API呼び出しをAWSプライベートネットワーク内に閉じ込め、パブリックインターネットを経由させないこと
・VPCエンドポイント経由以外からのBedrock API呼び出しを技術的に拒否すること（IAMポリシーで許可されていても直接呼び出し不可）
これら2つの要件を同時に満たす構成を2つ選べ。
Aアプリケーションが稼働するVPCにAmazon Bedrock用のInterface型VPCエンドポイント（AWS PrivateLink）を作成する
✓ 正解
VPCにInterface型VPCエンドポイントを作成することで、BedrockへのAPIリクエストがAWSバックボーンネットワーク経由で処理され、パブリックインターネットを経由しなくなる。要件①のプライベートネットワーク閉じ込めを実現する構成。
BBedrockのリソースベースポリシーにIAM条件キー「aws:SourceVpce」を追加し、作成したVPCエンドポイントIDからのリクエストのみを許可する
✓ 正解
BedrockのリソースベースポリシーでIAM条件キー「aws:SourceVpce」にVPCエンドポイントIDを指定することで、そのエンドポイント以外からの直接API呼び出しをBedrock側で技術的に拒否できる。IAMが許可していても機能し、要件②を実現する。
CAWS WAF WebACLをAPI Gatewayに設定し、プライベートIPアドレス範囲以外からのリクエストをブロックする
AWS WAFはCloudFront・ALB・API Gatewayなど特定リソースの前段に設置するウェブアプリケーションファイアウォールであり、Bedrock APIエンドポイントへの接続を直接制御することはできない。2つの要件をいずれも満たす手段にならない。
DVPCのNAT Gatewayを削除してすべてのアウトバウンドインターネット接続を遮断する
NAT Gatewayを削除するとVPC全体のアウトバウンドインターネット接続が遮断され、他サービスへの影響が大きい。さらにVPCエンドポイント経由のみへの制限（要件②）は実現できず、2つの要件を同時に満たすことができない。
EVPCエンドポイントポリシーにaws:PrincipalOrgIDを設定して自組織のAWSアカウントからのリクエストのみを許可する
VPCエンドポイントポリシーのaws:PrincipalOrgIDはエンドポイント経由リクエストの発信者を組織メンバーに限定できるが、Bedrockへのパブリックインターネット経由の直接呼び出しを遮断する機能はない。Bedrockリソースポリシーへのaws:SourceVpce設定（要件②）を代替できない。
解説
2つの要件にそれぞれ対応する構成が必要。
①パブリックインターネット経由の排除：Amazon Bedrock用のInterface型VPCエンドポイント（AWS PrivateLink）をVPCに作成すると、Bedrock APIへのリクエストがAWSバックボーンネットワークを経由して処理され、パブリックインターネットを経由しなくなる。
②VPCエンドポイント経由のみへの強制：BedrockのリソースベースポリシーにIAM条件キー `aws:SourceVpce` を使ってVPCエンドポイントIDを指定することで、そのエンドポイントを経由しないリクエスト（開発者のローカルPCや別VPCからの直接API呼び出し）をBedrock側で技術的に拒否できる。この条件はIAMポリシーが許可していても上位で機能する。
選択肢CのAWS WAFはCloudFront・ALB・API Gatewayなど特定リソース前段に設置するWebアプリケーションファイアウォールであり、Bedrock APIエンドポイントへの直接接続制御には使用できない。
選択肢DのNAT Gateway削除はVPC全体のインターネット接続を遮断するため他サービスへの影響が大きく、またVPCエンドポイント経由限定の強制（要件②）も実現できない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでAIPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →