無限ノック › SAA 練習問題一覧 › 問題SAA セキュアなアーキテクチャの設計
ある企業は社内システム向けのREST APIをAmazon API Gatewayで公開していますが、このAPIはインターネットからは一切アクセスできず、社内VPC内のクライアントからのみ呼び出せる必要があります。さらに、許可した特定のVPCエンドポイント経由のリクエストのみを受け付けたいと考えています。これらの要件を満たす最も適切な構成はどれですか。
A プライベートエンドポイントタイプのAPIを作成し、リソースポリシーで aws:SourceVpce に許可するVPCエンドポイントIDを指定して制限する
✓ 正解
プライベートAPIはVPCエンドポイント経由のみアクセス可能でインターネットから到達できない。リソースポリシーの aws:SourceVpce で許可するエンドポイントIDを限定でき、両要件を同時に満たす唯一の構成である。
B リージョンタイプのAPIを作成し、AWS WAFのWeb ACLでインターネット側のIPアドレスをブロックするルールを関連付ける
リージョンタイプのAPIはパブリックエンドポイントで、インターネットから到達可能なため非公開要件を満たさない。WAFのIP制御では特定VPCエンドポイント単位の限定もできない。
C エッジ最適化タイプのAPIを作成し、前段のCloudFrontのオリジンアクセス制御で社内クライアントからのみ許可する
エッジ最適化タイプはCloudFront経由のインターネット公開を前提とする構成であり、社内VPC限定・非公開という要件に根本的に反する。VPCエンドポイント単位の制御も行えない。
D プライベートタイプのAPIを作成するが、リソースポリシーは設定せず、セキュリティグループでVPCエンドポイントへの到達を制御する
プライベートAPIはリソースポリシーで明示的に許可しないと意図した制御ができず、未設定では適切に機能しない。SGは到達経路の制御に留まり、aws:SourceVpce による特定エンドポイント限定はできない。
解説 プライベートAPIはインターフェース型VPCエンドポイント経由でのみアクセスでき、インターネットからは到達できません。リソースポリシーで aws:SourceVpce 条件を用いることで、許可した特定のVPCエンドポイントID経由のリクエストのみに限定できます。
これにより「インターネット非公開」と「特定VPCエンドポイントのみ許可」の両要件を満たせます。
選択肢Bのリージョンタイプはパブリックに到達可能で、WAFのIP制御では特定VPCエンドポイント単位の制限はできない。
選択肢Cのエッジ最適化タイプはCloudFront経由でインターネット公開が前提となり、要件に反する。
選択肢DはプライベートAPIにリソースポリシーを設定しないと意図した許可制御ができず、SGは到達経路の制御のみで aws:SourceVpce による特定エンドポイント限定はできない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →