ANSネットワーク設計
あるプロバイダー企業は、自社VPC内で稼働する単一の内部HTTPS APIを、多数のパートナー企業のVPCから利用させたいと考えています。
制約は以下のとおりです。
- パートナー各社のVPC CIDRは相互にも、またプロバイダーVPCとも重複している場合があること
- 通信はパートナーからプロバイダーへの一方向のみとし、パートナー側にプロバイダー内部ネットワークへのルート露出を避けること
- パートナー数の増加に対してルート管理のオーバーヘッドを最小化すること
この要件を満たす接続設計はどれですか。
AAWS PrivateLinkを使用し、プロバイダー側のNetwork Load Balancerに対してエンドポイントサービスを作成する。各パートナーVPCにインターフェイスVPCエンドポイントを作成させ、承認したパートナーの接続のみを許可する
✓ 正解
PrivateLinkはNLB背後のサービスをエンドポイント経由で公開し、VPC間ルーティングを伴わないためCIDR重複下でも機能し、内部ルートを露出せず一方向・承認ベースで多数のパートナーへスケールできるため全要件を満たす。
BAWS Transit Gatewayを作成してプロバイダーVPCと各パートナーVPCをアタッチし、ルートテーブルでパートナーからプロバイダーのAPIサブネットへの一方向ルートのみを設定して接続を制御する
Transit GatewayはアタッチしたVPC間のルーティングにCIDRの一意性を前提とするため、パートナーVPCのCIDRが重複している環境では正しい経路制御ができず、ネットワークレベルの露出も伴うため要件を満たせない。
CプロバイダーVPCと各パートナーVPCの間に個別のVPCピアリング接続を確立し、各ルートテーブルにプロバイダーのAPIサブネット宛てのルートのみを追加して通信範囲を限定する
VPCピアリングは接続する両VPCのCIDRが重複していると確立・ルーティングできず、パートナー数の増加に伴いピアリングとルートテーブルの管理が線形に増大するため、重複許容とスケール性の要件を満たせない。
D各パートナー企業にAWS Client VPNエンドポイント経由でプロバイダーVPCへの接続を提供し、認可ルールでAPIのサブネットのみにアクセスを制限してパートナーを接続させる
Client VPNは個々のクライアント端末をVPNでVPCへ接続させるユースケース向けで、パートナーVPC内アプリケーションからのサービス間統合には適さず、多数パートナーへの展開・運用管理の面でもスケールしないため不適切である。
解説
AWS PrivateLinkは、プロバイダーのサービスをNLBの背後で公開し、パートナーVPC内のインターフェイスVPCエンドポイント経由で接続させます。接続はエンドポイント単位で確立されVPC間のルーティングを伴わないため、CIDRが重複していても機能し、パートナーへプロバイダー内部ネットワークのルートを露出しません。通信はパートナー起点の一方向で、承認リストにより接続制御でき、パートナー追加時もエンドポイント承認のみでスケールします。
選択肢BのTransit Gatewayは、ルーティングにVPC CIDRの一意性を前提とするため、CIDR重複環境では正しく経路制御できない。
選択肢CのVPCピアリングもCIDR重複を許容せず、接続数の増加に伴いピアリングとルート管理が煩雑化する。
選択肢DのClient VPNは個々のクライアント（利用者端末）のリモート接続向けであり、パートナーVPCからのサービス間統合には適さずスケールしない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →