無限ノック › ANS 練習問題一覧 › 問題ANS ネットワークのセキュリティ、コンプライアンス、ガバナンス
ある金融機関は、オンプレミスデータセンターとAWSを10Gbps専用線のAWS Direct Connectで接続しています。規制当局の監査で「物理伝送レイヤー（Ethernet/Layer 2）でのデータ暗号化が必須」という要件が課されました。スループットへの影響を最小限に抑えながらこの要件を満たす方法はどれですか？
A Direct Connect接続の上にAWS Site-to-Site VPNトンネルを構成し、IPsec（Layer 3）で暗号化する
Site-to-Site VPNはIPsec（Layer 3）暗号化であり、物理伝送レイヤー（Layer 2）での暗号化という規制要件を満たしません。カプセル化オーバーヘッドにより10Gbps専用線のスループットも大幅に低下します。
B Direct Connectの専用接続（Dedicated Connection）でMACsecを有効化し、IEEE 802.1AE準拠のLayer 2暗号化を適用する
✓ 正解
MACsec（IEEE 802.1AE）はEthernetレイヤー（Layer 2）でAES-256-GCM暗号化を提供し、物理伝送レイヤーの暗号化要件を直接満たします。ワイヤースピードに近い処理でスループットへの影響も最小限です。
C Direct Connect接続を経由するすべてのアプリケーション通信にTLSを強制し、Layer 7で暗号化する
TLSはLayer 7（アプリケーション層）の暗号化であり、Layer 2暗号化の規制要件を満たしません。既存アプリケーションへの変更が必要で実装が複雑になり、TLS非対応プロトコルでは対応できないケースもあります。
D Transit VIFとAWS Transit Gatewayを使用し、Transit Gatewayのルーティングポリシーで暗号化を設定する
Transit VIFはDirect ConnectからTransit Gatewayへの論理インターフェースであり、Transit Gateway自体にはLayer 2暗号化機能はありません。ルーティングポリシーで暗号化を設定する機能も存在しません。
解説 MACsec（MAC Security）はIEEE 802.1AE規格に基づくLayer 2（Ethernet）の暗号化・認証プロトコルです。AWS Direct Connectの専用接続はMACsecをサポートしており、オンプレミスのMACsec対応ルーターとAWS Direct Connect Locationの間でAES-256-GCMによるワイヤースピードに近い暗号化を実現します。これによりLayer 2での暗号化という規制要件を直接充足でき、IPsecのようなカプセル化オーバーヘッドがないためスループットへの影響も最小限です。なお、MACsecは専用接続でのみサポートされ、ホスト接続（Hosted Connection）では利用できません。
選択肢AのAWS Site-to-Site VPNはIPsec（Layer 3）暗号化であり、Layer 2暗号化の規制要件を満たさない。カプセル化オーバーヘッドにより10Gbps専用回線のスループットが大幅に低下する。
選択肢CのTLS暗号化はLayer 7（アプリケーション層）であり、Layer 2暗号化の規制要件を直接満たすものではない。すべての通信へのTLS適用は実装が複雑で、一部プロトコルでは対応不可となる。
選択肢DのTransit VIFはDirect ConnectからTransit Gatewayへのルーティング接続に使う論理インターフェースであり、Transit Gateway自体に固有のLayer 2暗号化機能はない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →