ANSネットワーク設計
あるセキュリティ製品ベンダーは、自社VPC内で稼働する検査サービスを、複数の顧客AWSアカウントへ提供する。要件として、顧客側からは固定のプライベートIPでアクセスでき、CIDR重複を気にせず接続できること、クライアントとサービス間のTLSをベンダー側で復号せずエンドツーエンドで維持すること、毎秒数百万の新規TCPフローを低レイテンシーで処理できることが求められる。これらをすべて満たす接続方式はどれか。
AApplication Load Balancerを作成しHTTPSリスナーで終端したうえで、ALBをVPCエンドポイントサービスとして公開し顧客にインターフェイスエンドポイントを作成させる
Application Load BalancerはHTTPSリスナーでTLSを終端しL7で処理するため、ベンダー側で復号が発生しクライアントとサービス間のエンドツーエンドTLS維持という要件に違反するため不適切。
BNetwork Load BalancerをTCPリスナーで構成しVPCエンドポイントサービス（PrivateLink）として公開して、顧客側にインターフェイスエンドポイントを作成させる
✓ 正解
NLBのTCPリスナーは中身を復号せずL4でそのまま転送するためTLSがエンドツーエンドで維持され、PrivateLinkでフロントに利用でき、固定プライベートIP・CIDR非依存・数百万フロー処理の全要件を満たす。
CNetwork Load BalancerをTLSリスナーで構成して証明書で終端したうえで、VPCエンドポイントサービスとして公開し顧客にインターフェイスエンドポイントを作成させる
NLBのTLSリスナーは証明書でTLSを終端する構成のため、ベンダー側で復号が発生し、クライアントとサービス間のエンドツーエンドTLSを維持する要件を満たせず不適切。
DGateway Load BalancerをGENEVEで構成しVPCエンドポイントサービスとして公開して、顧客側にゲートウェイロードバランサーエンドポイントを作成させる
Gateway Load BalancerはGENEVEで通信をインラインのセキュリティアプライアンスへ透過的に転送する用途で、アプリケーションサービスとして公開しL4で接続させる本要件の構成には適合しない。
解説
AWS PrivateLinkのVPCエンドポイントサービスはNLBまたはGLBをフロントに構成する。TCPリスナーのNLBは中身を復号せずL4でそのまま転送するため、TLSはクライアントとバックエンド間でエンドツーエンドに維持される。
インターフェイスエンドポイント経由のアクセスは顧客VPC内のENIプライベートIPで完結し、CIDR重複の影響を受けない。
NLBは超高スループット・低レイテンシーで数百万フローを処理できる。
選択肢AのApplication Load BalancerはHTTPSで終端しL7処理するためTLSがベンダー側で復号され、エンドツーエンドTLS要件に反する（かつ用途上L7終端が前提）。
選択肢CのNLB TLSリスナーは証明書でTLSを終端するため、ベンダー側で復号が発生しエンドツーエンド維持の要件を満たさない。
選択肢DのGateway Load Balancerは、GENEVEでトラフィックをインライン検査アプライアンスへ転送する用途であり、サービスをアプリケーションとして公開する構成には適さない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →