ANSネットワーク実装
あるSaaSベンダーは、AWSアカウントBのVPC（CIDR 10.0.0.0/16）でHTTPSアプリケーションをNetwork Load Balancerの背後に公開しています。顧客企業はアカウントAのVPC（同じく10.0.0.0/16）からこのアプリケーションへ接続する必要があります。両VPCのCIDRは完全に重複しており、再アドレッシングは許されません。通信は顧客側からベンダー側への一方向のみで、公開対象は単一のアプリケーションエンドポイントに限定されます。最小限の構成でこの要件を満たす方法はどれですか。
AアカウントBでNetwork Load BalancerをエンドポイントとするVPCエンドポイントサービスを作成し、アカウントAのVPCにインターフェイスVPCエンドポイントを配置してAWS PrivateLinkで接続する
✓ 正解
PrivateLinkはエンドポイントのENIを消費側VPCのローカルCIDRで生成しNLBへ転送するため、CIDR重複の影響を受けない。単一エンドポイントの一方向公開という最小公開要件にも合致し、再アドレッシング不要で要件を満たす。
B両VPCをTransit Gatewayにアタッチし、Transit Gatewayルートテーブルで顧客からベンダー方向のみの静的ルートを設定して通信させる
Transit GatewayはアタッチするVPCのCIDRが重複しているとルートテーブルで宛先を一意に解決できず、重複CIDR間の直接ルーティングが成立しない。静的ルートを設定しても通信は確立できないため不適。
CアカウントAとアカウントBのVPC間でVPCピアリング接続を作成し、ルートテーブルに片方向のみのルートを追加して通信を限定する
VPCピアリングは接続する2つのVPCのCIDRが重複・一致する場合、ピアリング接続の確立自体が許可されない仕様。片方向ルートの工夫以前に接続を作成できないため、この要件には利用できない。
DAWS Resource Access ManagerでアカウントBのサブネットをアカウントAへ共有し、顧客のリソースを同一サブネットに配置して直接通信させる
Resource Access Managerのサブネット共有は、所有者VPC内のサブネットに他アカウントがリソースを起動する仕組みであり、独立した2つのVPCを接続するものではない。重複CIDRの相互接続という課題を解決しない。
解説
AWS PrivateLinkは、CIDRが重複していてもサービスを公開・消費できる。消費側VPCにはインターフェイスエンドポイントのENIがローカルCIDR内のIPで作成され、提供側のNetwork Load Balancerへトラフィックが転送されるため、両VPCのアドレス空間が衝突しない。
通信は消費側→提供側の一方向で、公開対象もエンドポイントサービスに紐づく単一エンドポイントに限定されるため、最小権限・最小公開の要件に合致する。
選択肢2のTransit Gatewayは、アタッチされるVPCのCIDRが重複しているとルーティングが成立せず、重複CIDR同士を直接ルーティングできない。
選択肢3のVPCピアリングは、重複・一致するCIDR間ではピアリング自体を確立できない仕様のため利用不可。
選択肢4のResource Access Managerによるサブネット共有（Shared VPC）は、共有先アカウントが同一VPC内にリソースを配置する仕組みであり、独立した2つの重複VPCを相互接続する用途ではない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →