無限ノック › ANS 練習問題一覧 › 問題ANS ネットワーク実装
ある企業は、自社のデータセンターから複数のAWSアカウント（開発、ステージング、本番）にそれぞれ存在するVPCへ、単一のAWS Direct Connect接続を介してプライベートなネットワーク接続を確立したいと考えています。アカウントが増加した場合の運用管理の複雑さを最小限に抑えつつ、オンプレミスルーター側のBGPセッションの数を最小化する最適なアーキテクチャはどれですか。
A Direct Connectゲートウェイを作成し、Transit Gatewayを関連付けた上で、各アカウントのVPCをTransit Gatewayにアタッチする
✓ 正解
Transit Gatewayによる一元的なルーティング管理と、Direct Connectゲートウェイを利用した1つのトランジットVIF構成の組み合わせは、BGPセッション数を1つに抑えつつマルチアカウント拡張に対応できる最もスケーラブルなソリューションです。
B 単一のパブリック仮想インターフェイス（Public VIF）を作成し、AWS VPNを利用して各アカウントのVPCにIPsecトンネルを個別に構築する
パブリックVIF上のIPsec VPNは、専用線の帯域幅を消費しつつVPNのIPsecスループット制限（1.25 Gbps）や暗号化のオーバーヘッドを受けるため非効率です。また、VPCごとにトンネルを構築するためBGP設定の数が減らず管理が複雑になります。
C アカウントごとに専用のプライベート仮想インターフェイス（Private VIF）を作成し、それぞれのVPCの仮想プライベートゲートウェイ（VGW）に接続する
アカウント（またはVPC）の数だけプライベートVIFを作成するアーキテクチャでは、追加のたびにVLAN設定やBGPセッションをオンプレミスルーターに追加する必要があり、管理上限（Direct ConnectごとのVIF数上限）にも達しやすいためスケーラビリティに欠けます。
D VPCピアリングを使用してすべてのアカウントのVPCをデイジーチェーン状に接続し、最初のVPCにのみDirect ConnectのPrivate VIFを接続する
VPCピアリングは推移的ルーティング（Transitive Routing）をサポートしていません。したがって、最初のVPCを通過してDirect Connectから後続のVPCにトラフィックを届けることはネットワークアーキテクチャ上の制約により不可能です。
解説 マルチアカウント環境におけるネットワークの集約には、「AWS Transit Gateway」と「Direct Connectゲートウェイ」の連携がベストプラクティスです。Transit GatewayをAWS Resource Access Manager経由で各アカウントと共有し、各VPCをアタッチします。Direct Connect側にTransit VIFを1つ作成してDirect Connectゲートウェイと関連付けることで、オンプレミスルーターとAWS間のBGPセッションを1つに集約でき、アカウント数が増加してもオンプレミス側の設定変更が不要になります。
単一のパブリックVIFとIPsec VPNの組み合わせは、プライベート接続要件に反するほか、アカウントごとにトンネルを個別構築するため管理が複雑化し、BGPセッション数も増加します。
アカウントごとにPrivate VIFを作成する方法は、BGPセッション数がアカウント数に比例して増加するため、スケーラビリティに欠け運用の複雑さが高まります。
VPCピアリングはトランジティブ（推移的）ルーティングをサポートしないため、デイジーチェーン構成では中間VPCを経由した通信が機能せず、実際には実現できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →