解説

Route 53 Resolver DNS Firewallは、VPC内のRoute 53 ResolverによるDNSクエリをドメインレベルでフィルタリングするマネージドサービスです。許可リスト（ALLOW）やブロックリスト（BLOCK）を含むルールグループを作成してVPCに関連付けるだけで、EC2インスタンスへのエージェントインストールや複雑なルーティング変更なしに複数VPCへ一元適用できます。ブロックされたクエリのログはCloudWatch Logsに送信でき、メトリクスフィルターでアラームをトリガーできます。新しいVPCへの適用もルールグループの関連付けのみで完了するため、「最小限の設定変更」という要件も満たします。 選択肢AのAWS Network Firewallは、ドメインリストルールでDNSフィルタリングが可能ですが、全VPCのDNSトラフィックをCentralized Inspection VPCへTransit Gateway経由で迂回させる必要があり、ルートテーブル変更の運用負荷が高い。またVPC Flow LogsはIPフローのメタデータのみ記録するためDNSクエリ単位のブロック監視には不十分。 選択肢CのカスタムDNSフォワーダーEC2は、フィルタリングロジックの自由度はあるが、高可用性確保のためのマルチAZ構成やインスタンス管理・パッチ適用が必要で運用オーバーヘッドが高く、「最小限の設定変更」要件を満たさない。 選択肢DのRoute 53 Resolver転送ルールは、オンプレミスDNSサーバーへのクエリ転送を行うが、Direct ConnectまたはVPN接続が前提となり、DNSレイテンシの増加やオンプレミス側での別途フィルタリング実装が必要になる。