SAAセキュアなアーキテクチャの設計

SaaS プロバイダーが複数の顧客企業(各社独立した AWS アカウント)に API サービスを提供しています。顧客 VPC の CIDR レンジが重複する可能性があり、SaaS 側のネットワーク構成を顧客に開示したくないという要件もあります。スケーラブルで安全なマルチテナント接続を実現するネットワーク設計として最も適切なものはどれですか。

A
SaaS 側に AWS PrivateLink エンドポイントサービスを設定し、顧客アカウントからインターフェイス型 VPC エンドポイントで接続する
✓ 正解
AWS PrivateLink はサービス側 NLB 経由の接続で CIDR 重複に影響されず、SaaS のネットワーク詳細を隠蔽したまま接続できる。
B
SaaS プロバイダーと全顧客アカウントを Transit Gateway でハブ&スポーク型に接続し、ルートテーブルで通信経路を制御する
Transit Gateway は CIDR が重複する VPC 間のルーティングをネイティブにサポートせず、SaaS のネットワーク構成が顧客に露出するリスクがある。
C
SaaS プロバイダーと各顧客の VPC 間を VPC Peering で 1 対 1 接続し、セキュリティグループで SaaS サービスへのトラフィックのみ許可する
VPC Peering は CIDR が重複する VPC 間では使用できず、接続数が顧客数に比例して増加しスケーラビリティに欠ける。
D
SaaS のサービスエンドポイントを ALB の背後に配置し、顧客アカウントから Site-to-Site VPN で暗号化したプライベート接続を確立する
Site-to-Site VPN はオンプレミスとの接続が主な用途で、AWS アカウント間マルチテナント接続には適さず管理負荷も高い。

解説

AWS PrivateLink は NLB を経由した単方向サービス公開で CIDR 重複に影響されず、SaaS のネットワーク詳細を顧客に開示せずに安全なマルチテナント接続を実現できる。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
SAA の問題一覧に戻る