ANSネットワーク管理と運用
ある企業のネットワーク管理者は、プライベートサブネットのEC2インスタンス（アプリケーションサーバー）からInterface型VPCエンドポイント経由でAmazon S3に接続できないという問題を受け付けた。VPCのルートテーブル、セキュリティグループ、NACLのどの設定が通信を遮断しているかを特定する必要があるが、本番環境のため実際のトラフィックを生成せずに設定のみで診断したい。また、問題箇所を特定後は設定変更の効果を本番トラフィックなしで事前検証したい。最も適切なAWSサービスとアプローチはどれか？
AVPC Flow LogsをCloudWatch Logsに送信し、EC2インスタンスENIのREJECTレコードをフィルタリングして通信が遮断されているネットワークレイヤーを特定する
VPC Flow Logsはトラフィックが実際に流れた後に記録されるため、トラフィックを生成せずに診断するという要件を満たせない。また、ルートテーブル・SG・NACLのどのコンポーネントが遮断しているかをレイヤー別に直接特定できず、原因の切り分けに追加の分析が必要。
BAWS Systems Manager Session Managerでインスタンスにログインし、S3エンドポイントへのリクエストを送信してHTTPレスポンスコードから問題を診断する
Session Managerはインスタンスへのログインと実際のS3リクエスト送信を伴うため、トラフィックを生成せずに診断するという要件に反する。HTTPレスポンスコードからどのネットワーク設定が問題かを直接特定することも困難。
CVPC Reachability Analyzerで送信元EC2から宛先VPCエンドポイントへのパスを静的分析し、遮断しているルートテーブル・セキュリティグループ・NACLの設定を特定する
✓ 正解
静的なネットワークパス分析を行い実トラフィックを送信しないため本番環境への影響がなく、ルートテーブル・セキュリティグループ・NACLの問題箇所をコンポーネント単位で特定し、設定変更後の再分析で効果を事前検証できる正しいアプローチ。
DAWS Network Access AnalyzerでS3エンドポイントへの意図しないアクセスパスを検出し、阻害している設定を確認してネットワークポリシーを修正する
Network Access Analyzerはネットワーク設定の意図しないアクセスパス（外部からの予期しない経路など）を発見するセキュリティ監査ツールであり、特定の送受信元間の接続問題をトラブルシュートするためのツールではない。
解説
VPC Reachability Analyzerは実際のトラフィックを送信することなく、ソースリソースから宛先リソースへのネットワークパスを静的に分析するツール。ルートテーブル、セキュリティグループ、NACLの設定を包括的に評価し、どのコンポーネントが通信を遮断しているかをコンポーネント単位で具体的に特定する。設定変更後に再分析を実行することで、本番トラフィックを使わずに変更効果を事前検証できる。送信元にEC2インスタンス、宛先にVPCエンドポイントを指定するだけで診断が実行できる。
選択肢AのVPC Flow Logsは実際にトラフィックが発生しないと記録されないため、「トラフィックを生成せずに診断」という要件を満たさない。また、どのコンポーネント（ルートテーブル・SG・NACL）が遮断しているかをレイヤー別に直接特定できず、原因の切り分けに追加分析が必要。
選択肢BのSystems Manager Session Managerはインスタンスへの実際のログインとS3リクエスト送信を伴うため実トラフィックが発生し要件に反する。HTTPレスポンスコードからネットワーク設定レイヤーの原因特定も困難。
選択肢DのNetwork Access Analyzerはネットワーク設定の意図しないアクセスパスを検出するセキュリティ監査ツールであり、特定の送受信元間の接続問題トラブルシューティングにはReachability Analyzerを使用する。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →