ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
あるSaaS企業は、AWS上でホストするデータ処理APIをAWS PrivateLinkのVPCエンドポイントサービスとして顧客企業に提供しています。コンプライアンス要件として、契約済みの特定の顧客AWSアカウントのみがエンドポイントサービスへの接続リクエストを作成できるようにし、未契約アカウントからのリクエストはAWSプラットフォームレベルで拒否される必要があります。最も適切な実装方法はどれですか？
A顧客側の各インターフェースエンドポイントにVPCエンドポイントポリシーを設定し、許可するIAMプリンシパルとアクションを制限する
VPCエンドポイントポリシーはコンシューマー側がエンドポイント経由でアクセスできるリソース・アクションを制限するもので、プロバイダー側が接続許可アカウントを制御するメカニズムではない。未契約アカウントのリクエストをAWSプラットフォームレベルで拒否する要件は満たせない。
BVPCエンドポイントサービスの許可プリンシパルリストに契約済み顧客アカウントARNを登録し、手動承認モードを有効にする
✓ 正解
Allowed Principalsリストに登録されていないアカウントからの接続リクエストはAWSプラットフォームレベルで自動拒否される。Acceptance Requiredと組み合わせることでプロバイダーによる個別承認の二重ゲートが実現し、契約済み顧客のみに接続を限定できる。
Cエンドポイントサービスの背後にあるNetwork Load BalancerにセキュリティグループをアタッチしてIPアドレスベースでアクセスを制限する
NLBへのセキュリティグループアタッチはIPアドレス・CIDRベースの制御であり、AWSアカウントIDによる認可には対応していない。顧客の送信元IPが変動するたびに設定変更が必要となり、アカウント単位のアクセス制御要件を満たせない。
DAWS RAMでVPCエンドポイントサービスを特定のOrganizationsアカウントと共有し、SCPで未契約アカウントのアクセスをブロックする
AWS RAMはTransit GatewayやサブネットなどのAWSリソースをアカウント間で共有するサービスで、PrivateLinkエンドポイントサービスのアクセス制御機能はない。外部顧客アカウントは自社Organizationに属さないためSCPの適用対象外にもなる。
解説
AWS PrivateLinkのVPCエンドポイントサービスには「許可されたプリンシパル（Allowed Principals）」という設定があり、接続リクエストを作成できるAWSアカウントのARNまたはIAMプリンシパルARNをホワイトリスト登録できます。このリストに含まれないアカウントからの接続リクエストはAWSプラットフォームレベルで拒否されます。さらに「手動承認モード（Acceptance Required）」を有効にすることで、許可されたアカウントからのリクエストであっても、サービスプロバイダー側で個別に承認・拒否できる二重のゲートが設けられ、契約管理との連動が可能になります。
選択肢AのVPCエンドポイントポリシーはコンシューマー（顧客）側がエンドポイントを経由してアクセスできるリソースやアクションを制限するためのものであり、サービスプロバイダー側が接続を許可するアカウントを制御するメカニズムではない。
選択肢CのNLBへのセキュリティグループアタッチメントはIPアドレス・CIDRによる制御であり、AWSアカウントIDによる認可には対応していない。顧客の送信元IPが変わるたびに設定変更が必要となり管理も困難。
選択肢DのAWS Resource Access Managerは、Transit GatewayやサブネットなどのAWSリソースをアカウント間で共有するサービスであり、PrivateLinkエンドポイントサービスのアクセス制御機能はない。また、外部顧客アカウントは自社のOrganizationに属さないためSCPも適用できない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →