ANSネットワーク実装
ある企業は、SaaSプロバイダーとして自社のアプリケーションを複数の顧客VPCへ提供しています。顧客の一部は、自社が使用しているVPC CIDR（10.0.0.0/16）と全く同じCIDRを利用しており、VPCピアリングやTransit Gatewayでは重複CIDRのためルーティングが成立しません。企業は、顧客側で複雑なルート設定やNATを行わせることなく、単方向（顧客→SaaS）で安全にサービスを公開したいと考えています。この要件を満たす最も適切な実装はどれですか。
ASaaS側のNetwork Load Balancerの前段にAWS PrivateLinkのVPCエンドポイントサービスを作成し、顧客はインターフェイスVPCエンドポイント経由でプライベートに接続する
✓ 正解
PrivateLinkはNLB背後のエンドポイントサービスをインターフェイスVPCエンドポイント経由で公開し、VPC間のルート交換を不要にするためCIDRが完全重複していても単方向接続が成立し、顧客側の追加設定も不要で要件に合致します。
BSaaS側VPCと各顧客VPCの間にTransit Gatewayを配置し、Transit Gatewayルートテーブルでプレフィックスリストによる重複CIDRの変換ルートを設定する
Transit Gatewayはルートテーブルに基づく接続でIPアドレス変換機能を持たず、10.0.0.0/16同士の完全重複CIDRではルートが一意に定まらず通信が成立しないため要件を満たせません。
CSaaS側にApplication Load Balancerを配置し、VPCピアリング接続上でセカンダリCIDRを付与して重複を回避しつつ顧客からアクセスさせる
VPCピアリングは重複CIDRを持つVPC間では接続自体を確立できず、セカンダリCIDRを付与しても既存の重複範囲のルーティング競合は解消されないため、顧客への公開手段として機能しません。
DSaaS側VPCにNATゲートウェイを設置し、顧客VPCとのピアリングで送信元IPをマスカレードして重複CIDRの競合を解消する
NATゲートウェイはアウトバウンド通信のアドレス変換が主目的で、VPCピアリング上の重複CIDRを透過的に解消する仕組みではなく、双方向の複雑なルート・NAT設計が必要になり要件に反します。
解説
AWS PrivateLinkは、Network Load Balancerを背後に置いたエンドポイントサービスを介して、サービスを単方向（コンシューマー→プロバイダー）でプライベートに公開する仕組みです。接続はインターフェイスVPCエンドポイント（ENI）を通じて確立され、両VPC間のルート交換を必要としないため、CIDRが完全に重複していても問題なく通信できます。顧客側は複雑なルーティングやNATを設定する必要がありません。
選択肢BのTransit Gatewayはルートテーブルベースの接続であり、重複CIDRを解決するIPアドレス変換（NAT）機能を持たないため、10.0.0.0/16同士の重複ではルーティングが破綻します。
選択肢CのVPCピアリングはセカンダリCIDRを付与しても既存の重複CIDR間のルーティングは解決できず、ピアリング自体が重複CIDRでは確立できません。
選択肢DのNATゲートウェイは主に送信（アウトバウンド）用途で、VPCピアリング上の重複CIDRを透過的に解消するソース変換の仕組みとしては機能せず、双方向の複雑な設定が必要になります。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →