ある企業は、オンプレミスのActive DirectoryサーバーがDNSドメイン`corp.example.local`を管理しています。
AWS上にはRoute 53プライベートホストゾーン`aws.internal

Question

ある企業は、オンプレミスのActive DirectoryサーバーがDNSドメイン`corp.example.local`を管理しています。
AWS上にはRoute 53プライベートホストゾーン`aws.internal`が設定されており、VPCに関連付けられています。
以下の要件を満たす構成を選んでください。
- VPC内のEC2インスタンスが`corp.example.local`を名前解決できること
- オンプレミスのサーバーがRoute 53の`aws.internal`を名前解決できること
- コンプライアンス要件として、VPCからのすべてのDNSクエリをログに記録すること

Accepted Answer

正解: Route 53 Resolverのアウトバウンドエンドポイントを作成し、`corp.example.local`宛てのフォワーディングルールをオンプレミスDNSサーバーのIPに設定する。Route 53 Resolverのインバウンドエンドポイントをプライベートサブネットに作成し、そのIPをオンプレミスDNSの条件付きフォワーダーとして設定する。Route 53 ResolverのDNSクエリログを有効化する。。VPCからオンプレミスドメインを解決するにはアウトバウンドエンドポイント＋フォワーディングルールが必要です。オンプレミスからAWSプライベートゾーンを解決するにはインバウンドエンドポイントが必要です。DNSクエリログはRoute 53 Resolverで直接有効化でき、CloudWatch LogsやS3に送信できます。

選択肢Bはパブリックホストゾーンではプライベートホストゾーンのレコードを解決できません。

選択肢CはDNSレコードの全移行が必要で要件外であり、アウトバウンドエンドポイントがないためVPCからのオンプレミス解決もできません。

選択肢DはインバウンドエンドポイントのみではVPCからオンプレミスへの名前解決ができず、VPC Flow LogsはDNSクエリの内容を詳細に記録する手段として不適切です。

Answer

VPCのDHCPオプションセットでオンプレミスDNSサーバーのIPアドレスを指定する。オンプレミスからはRoute 53パブリックホストゾーンを使用して`aws.internal`を解決する。CloudTrailを有効化してAPIアクティビティを記録する。 — パブリックホストゾーンではプライベートホストゾーンのレコードを解決できません。

Answer

Route 53プライベートホストゾーン`corp.example.local`を作成してVPCに関連付け、オンプレミスのすべてのDNSレコードをRoute 53に移行する。Route 53 Resolverのインバウンドエンドポイントのみ作成し、オンプレミスDNSからのフォワーダーとして設定する。 — DNSレコードの全移行が必要で要件外であり、アウトバウンドエンドポイントがないためVPCからのオンプレミス解決もできません。

Answer

Route 53 Resolverのインバウンドエンドポイントのみを作成し、VPCのDHCPオプションセットでインバウンドエンドポイントのIPを指定する。VPC Flow LogsでDNSトラフィック（UDPポート53）をキャプチャしてログとする。 — インバウンドエンドポイントのみではVPCからオンプレミスへの名前解決ができず、VPC Flow LogsはDNSクエリの内容を詳細に記録する手段として不適切です。

解説

解説