ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある企業は、Amazon VPC Lattice を使用して異なるAWSアカウントに展開された複数のマイクロサービスを接続しています。セキュリティチームは以下の要件を定めました：
・アカウントA（111111111111）の注文処理サービスが使用するIAMロール `order-processor` のみが、アカウントB（222222222222）の在庫サービスを呼び出せる
・認証されていないリクエストはデフォルトですべて拒否する
・在庫サービス側のアプリケーションコードに認証ロジックを追加しない
VPC Lattice でこの要件を満たす最も適切な設定はどれですか？
AアカウントBの在庫サービスのVPC LatticeサービスにAuth TypeをAWS_IAMに設定する。Principalに `arn:aws:iam::111111111111:role/order-processor` を指定したALLOWステートメントを持つAuth Policyをサービスに適用する。
✓ 正解
VPC LatticeはサービスレベルのAuth PolicyでIAMベースの認証・認可を実現します。Auth TypeをAWS_IAMに設定すると未認証リクエストはデフォルトで拒否され、Auth PolicyのPrincipalにクロスアカウントのIAMロールARNを直接指定できます。認証はVPC Latticeのデータプレーンが処理するため、在庫サービスのアプリケーションコードを変更する必要がありません。
BVPC Latticeサービスネットワークに、アカウントAのVPC CIDRを送信元とするアクセスを許可するIPアドレスベースのAuth Policyを設定し、在庫サービスのEC2インスタンスのセキュリティグループでアカウントAのサブネットCIDRからのアクセスのみを許可する。
VPC LatticeのAuth PolicyはIPアドレスCIDRベースの条件では呼び出し元のIAMロールを特定できません。
CAWS Resource Access Manager（RAM）でVPC LatticeサービスをアカウントAに共有し、アカウントBのVPCとアカウントAのVPCの間にVPCピアリングを設定する。ルートテーブルで注文処理サービスのサブネットCIDRのみを在庫サービスサブネットへルーティングする。
VPCピアリング＋ルートテーブルはIPレベルのネットワーク制御であり、特定のIAMロールによる認証強制は実現できません。
DアカウントBの在庫サービスをNetwork Load Balancerの背後に置き、AWS PrivateLinkでアカウントAにサービスエンドポイントを公開する。VPCエンドポイントポリシーで `arn:aws:iam::111111111111:role/order-processor` からのアクセスのみを許可する。
PrivateLink＋エンドポイントポリシーはNLBの追加構成が必要で複雑度が高くなります。
解説
VPC LatticeはサービスレベルのAuth PolicyでIAMベースの認証・認可を実現します。Auth TypeをAWS_IAMに設定すると未認証リクエストはデフォルトで拒否され、Auth PolicyのPrincipalにクロスアカウントのIAMロールARNを直接指定できます。認証はVPC Latticeのデータプレーンが処理するため、在庫サービスのアプリケーションコードを変更する必要がありません。
選択肢Bの VPC LatticeのAuth PolicyはIPアドレスCIDRベースの条件では呼び出し元のIAMロールを特定できません。
選択肢Cの VPCピアリング＋ルートテーブルはIPレベルのネットワーク制御であり、特定のIAMロールによる認証強制は実現できません。
選択肢Dの PrivateLink＋エンドポイントポリシーはNLBの追加構成が必要で複雑度が高くなります。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →