SAAセキュアなアーキテクチャの設計
ある金融企業は、プライベートサブネット内の多数のEC2インスタンスから、特定パートナーのAPIドメイン（例: api.partner.example.com）に対してのみアウトバウンドのHTTPS通信を許可し、それ以外の外部宛先への通信はすべてブロックする必要があります。パートナー側はIPアドレスを動的に変更するため、IPベースの制御は使えません。できるだけマネージドで運用負荷の低い構成が求められます。最も適切な方法はどれですか。
AAWS Network Firewall をVPCにデプロイし、ステートフルルールのドメインリストで許可するFQDNのみを指定する
✓ 正解
Network FirewallのステートフルルールはドメインリストによるFQDNフィルタリングに対応し、SNI/Hostを評価して許可ドメインのみ通信を許す。IP変動に追従でき、マネージドで運用負荷も低く全要件を満たす。
BネットワークACLのアウトバウンドルールで許可先のIPアドレス範囲のみを許可し、その他をすべて拒否する
NACLはIPアドレスとポート単位のステートレス制御に限られ、ドメイン名の指定ができない。パートナーのIPが動的に変わる前提では許可範囲を維持できず要件を満たせない。
Cセキュリティグループのアウトバウンドルールで許可先のドメイン名を指定し、それ以外の通信を制限する
セキュリティグループのルールはIPアドレス・ポート・参照SGでの指定のみで、ドメイン名を直接指定する機能を持たない。FQDNベースの許可制御という要件に対応できない。
D各EC2インスタンスにSquidプロキシをインストールしてドメインのホワイトリストでHTTPS転送を制御する
Squidプロキシはドメインホワイトリスト制御自体は可能だが、全インスタンスへの導入や冗長構成・パッチ適用などの運用負荷が大きく、マネージドで低負荷という要件に反する。
解説
AWS Network Firewall はマネージドなVPCファイアウォールで、ステートフルルールのドメインリスト（FQDNフィルタリング）により、HTTPSのSNIやHTTPのHostヘッダーを評価して許可ドメインのみへの通信を制御できます。
IPではなくドメイン名で制御できるため、パートナーのIP変動に追従でき、マネージドサービスのため運用負荷も低く要件に合致します。
選択肢BのNACLはIPアドレスとポート単位の制御しかできず、ドメイン指定や動的IPへの追従ができない。
選択肢Cのセキュリティグループはドメイン名を指定できず、IP/ポート/SGによる制御に限られる。
選択肢DのSquidプロキシはドメイン制御自体は可能だが、インスタンスへの導入・冗長化・パッチ運用が必要で運用負荷が高い。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →