ANSネットワーク管理と運用
ある企業は、AWS VPCとオンプレミスデータセンターをAWS Direct Connectで接続したハイブリッド環境を運用しています。最近、一部のEC2インスタンスからオンプレミスの内部ドメイン名（corp.example.internal）への名前解決が断続的に失敗するという問題が報告されています。運用チームは以下の要件でトラブルシューティングを行う必要があります。
・VPC内のEC2インスタンスが発行するすべてのDNSクエリ（送信元IP、クエリ名、応答コード）を記録すること
・ログはAmazon CloudWatch LogsまたはAmazon S3に保存すること
・Route 53 Resolverのアウトバウンドエンドポイント経由でオンプレミスDNSサーバーへ転送されたクエリのうち、どのクエリが失敗しているかを特定すること
この要件を満たす最も適切な方法はどれですか？
A対象のEC2インスタンスすべてにCloudWatch Agentをインストールし、OSのDNSリゾルバーログをCloudWatch Logsに転送する設定を行う
CloudWatch Agentによるローカルログ収集は、全EC2インスタンスへの個別設定が必要で運用コストが高く、またOSのリゾルバーログはRoute 53 Resolverの内部動作（フォワーダー選択や応答コード等）を反映しないため要件を満たしません。
BRoute 53 Resolverのクエリログ機能を有効にし、送信先としてCloudWatch LogsグループまたはS3バケットを設定する
✓ 正解
Route 53 Resolverクエリログ機能は、VPC内のEC2インスタンスが行うすべてのDNSクエリについて、送信元IPアドレス・クエリ名・クエリタイプ・レスポンスコード・使用したResolverエンドポイント情報などを詳細に記録します。CloudWatch LogsまたはS3バケットへ出力可能であり、アウトバウンドエンドポイント経由のフォワードクエリの失敗原因特定に最適なソリューションです。
CVPC Flow Logsをすべてのサブネットでフィルターなし（全ポート）で有効にし、UDPポート53の通信を手動でフィルタリングして分析する
VPC Flow LogsはTCP/UDP通信のメタデータを記録しますが、DNSクエリのドメイン名や応答コードは含まれません。どのドメインへのクエリが失敗したかを特定することはできません。
DAWS CloudTrailでRoute 53 APIアクティビティの記録を有効にし、Resolverエンドポイントの設定変更履歴からDNS障害の原因を特定する
AWS CloudTrailはRoute 53のAPIコール（リソースの設定変更等）を記録しますが、実際のDNS名前解決クエリの内容は記録しないため、クエリレベルのトラブルシューティングには使用できません。
解説
Route 53 Resolverクエリログ機能は、VPC内のEC2インスタンスが行うすべてのDNSクエリについて、送信元IPアドレス・クエリ名・クエリタイプ・レスポンスコード・使用したResolverエンドポイント情報などを詳細に記録します。CloudWatch LogsまたはS3バケットへ出力可能であり、アウトバウンドエンドポイント経由のフォワードクエリの失敗原因特定に最適なソリューションです。
選択肢AのCloudWatch Agentによるローカルログ収集は、全EC2インスタンスへの個別設定が必要で運用コストが高く、またOSのリゾルバーログはRoute 53 Resolverの内部動作（フォワーダー選択や応答コード等）を反映しないため要件を満たしません。
選択肢CのVPC Flow LogsはTCP/UDP通信のメタデータを記録しますが、DNSクエリのドメイン名や応答コードは含まれません。どのドメインへのクエリが失敗したかを特定することはできません。
選択肢DのAWS CloudTrailはRoute 53のAPIコール（リソースの設定変更等）を記録しますが、実際のDNS名前解決クエリの内容は記録しないため、クエリレベルのトラブルシューティングには使用できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →