SAAセキュアなアーキテクチャの設計
ある SaaS（Software as a Service：ソフトウェアをサービスとして提供するビジネス形態）企業が、複数の顧客の AWS アカウントに対して自社のデータ処理サービス（NLB＝Network Load Balancer の背後の EC2 群で稼働）をプライベートに提供する必要があります。以下の要件があります。
①顧客の VPC と SaaS 企業の VPC の CIDR（IPアドレス範囲）が重複する場合がある
②顧客に SaaS 企業の VPC ネットワーク全体へのアクセスを与えてはならない
③通信は AWS ネットワーク内に留め、インターネットを経由させない
④新規顧客が増えても運用負荷を低く保ちたい
最も要件を満たすアーキテクチャはどれですか？
ASaaS 企業の VPC と各顧客の VPC を VPC ピアリングで接続し、セキュリティグループでサービスポートのみ許可する
VPC ピアリングは CIDR 重複時に使用不可であり、CIDR が重複する VPC 間のルーティングには対応していません。
BAWS Transit Gateway を使用して SaaS 企業と全顧客の VPC をハブアンドスポーク型で接続し、Transit Gateway ルートテーブルでアクセス制御を行う
AWS Transit Gatewayも CIDR が重複する VPC 間のルーティングには対応しておらず、加えて VPC 間のルーティングが広範になり要件の完全な分離も困難です。
CSaaS 企業が NLB を使用した AWS PrivateLink エンドポイントサービスを作成し、顧客は各自の VPC にインターフェース型 VPC エンドポイントを作成して接続する
✓ 正解
AWS PrivateLink（VPC エンドポイントサービス）は CIDR 重複があっても動作し、顧客は公開されたサービスエンドポイントにのみアクセス可能で SaaS 側 VPC 全体へはアクセス不可であり、通信は AWS プライベートネットワーク内に限定されます。新規顧客追加は顧客側のエンドポイント作成と SaaS 側の承認のみで完結し、要件をすべて満たします。
DSaaS 企業のサービスを CloudFront ディストリビューション経由でのみ公開し、署名付き URL と OAC（オリジンアクセスコントロール）で顧客のアクセスを制限する
CloudFrontディストリビューションはインターネット経由のため要件に違反します。
解説
選択肢CのAWS PrivateLink（VPC エンドポイントサービス）は CIDR 重複があっても動作し、顧客は公開されたサービスエンドポイントにのみアクセス可能で SaaS 側 VPC 全体へはアクセス不可であり、通信は AWS プライベートネットワーク内に限定されます。新規顧客追加は顧客側のエンドポイント作成と SaaS 側の承認のみで完結し、要件をすべて満たします。
選択肢AのVPC ピアリングは CIDR 重複時に使用不可であり、CIDR が重複する VPC 間のルーティングには対応していません。
選択肢BのAWS Transit Gatewayも CIDR が重複する VPC 間のルーティングには対応しておらず、加えて VPC 間のルーティングが広範になり要件の完全な分離も困難です。
選択肢DのCloudFrontディストリビューションはインターネット経由のため要件に違反します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →