ANSネットワーク実装
ある金融機関は、オンプレミスデータセンターとAWSを結ぶ専用の10 Gbps AWS Direct Connect Dedicated接続を運用しています。情報セキュリティポリシーにより、WANリンク上を流れるすべてのデータをレイヤー2で暗号化することが義務付けられています。IPsecのような追加カプセル化によるMTU削減やスループット低下は許容されず、ハードウェアベースの暗号化でレイテンシーへの影響を最小限に抑えることが必要です。この要件を最も直接的に満たす実装を選択してください。
ADirect Connect接続でMACsec（IEEE 802.1AE）を有効化し、AWS側とオンプレミス側の両ルーターでCAK/CKNキーペアを設定してレイヤー2暗号化を実施する
✓ 正解
MACsec（IEEE 802.1AE）はDirect Connect Dedicated接続でサポートされるレイヤー2のハードウェアベース暗号化。フレーム単位の暗号化でMTU削減がなくスループットへの影響が最小限。AWS側とオンプレミス側でCAK/CKNキーペアを設定することで有効化され、レイヤー2暗号化要件を完全に満たす。
BDirect Connect接続上にIPsec Site-to-Site VPNトンネルを構成し、仮想プライベートゲートウェイとの間でIKEv2/AES-256による暗号化を実装する
IPsec Site-to-Site VPNはレイヤー3の暗号化であり、IPsecヘッダー追加によりMTUが削減されスループットが低下する。追加カプセル化によるMTU削減を許容しないという要件に反し、レイヤー2暗号化要件も満たさない。
CDirect Connect接続をバックアップとして維持したうえでAWS Managed VPN（BGPルーティング）をプライマリ暗号化経路として新規設定する
AWS Managed VPNはIPsecトンネルを使用するレイヤー3暗号化であり、レイヤー2暗号化要件を満たさない。Direct Connectをバックアップに降格させることで、高帯域幅・低レイテンシーの特性も損なわれてしまう。
Dすべてのアプリケーション通信にTLS 1.3を強制し、レイヤー7のエンドツーエンド暗号化でDirect Connectのレイヤー2暗号化要件に対応する
TLS 1.3はアプリケーションレイヤー（レイヤー7）での暗号化であり、WANリンク上のレイヤー2暗号化要件を満たさない。すべてのアプリケーション通信へのTLS強制は既存システムへの大規模改修を要し、現実的な対応策とはいえない。
解説
MACsec（IEEE 802.1AE）は、AWS Direct Connect Dedicated接続でサポートされるレイヤー2のハードウェアベース暗号化規格です。WANリンク上でフレーム単位の暗号化を行うため、IPsecのようなIPヘッダーの追加によるMTU削減が発生せず、スループットへの影響も最小限です。AWS側とオンプレミス側の両ルーターでCAK（Connectivity Association Key）とCKN（Connectivity Association Key Name）のキーペアを設定することで有効化されます。1 Gbps・10 Gbps・100 GbpsのDedicated接続でサポートされており、Hosted接続では利用できません。
選択肢BのIPsec Site-to-Site VPNは、レイヤー3の暗号化であり、IPsecヘッダーの追加によりMTUが削減されスループットが低下します。カプセル化オーバーヘッドを許容しないという要件を満たしません。
選択肢CのAWS Managed VPNは、IPsecトンネルを使用するレイヤー3暗号化であり、レイヤー2暗号化要件を満たしません。Direct Connectをバックアップに降格させることで高帯域幅・低レイテンシーの特性も損なわれます。
選択肢DのTLS 1.3は、アプリケーションレイヤー（レイヤー7）での暗号化であり、レイヤー2での暗号化要件を満たしません。すべてのアプリケーションへのTLS強制は大規模な改修を要し、WAN上のレイヤー2暗号化とは別の概念です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →