SAP組織の複雑さに対応する設計
ある大規模企業は AWS Direct Connect で接続された複数のVPC（複数アカウント・複数リージョン）とオンプレミスDCを運用しており、以下の要件を同時に満たすDNS解決アーキテクチャが必要です。
- オンプレミスのPrivate DNSゾーン（corp.internal）のホスト名をVPCインスタンスから解決できること
- Route 53プライベートホストゾーン（aws.internal）のレコードをオンプレミスサーバーから解決できること
- 新しいVPCやアカウントが追加された際の設定変更を最小化すること
- DNS解決のためだけに追加のEC2インスタンスを管理するオーバーヘッドを避けること
最も少ない管理オーバーヘッドで全要件を満たすアーキテクチャはどれですか？
AVPC内に独自のDNSフォワーダー（EC2）を構築してActive/Standby構成で冗長化し、各VPCのDHCPオプションセットでカスタムDNSサーバーのIPアドレスを指定する
VPC内にDNSフォワーダーEC2を構築する方式は技術的に機能しますが、Active/Standby冗長化・OSパッチ適用・ソフトウェアアップデート・スケールアウト対応が継続的に必要です。「EC2管理オーバーヘッドを避ける」要件に反し、Route 53 Resolverが利用可能な現在は非推奨の構成です。
BRoute 53 Resolverのインバウンドエンドポイントとアウトバウンドエンドポイントを作成し、転送ルールを設定する。
✓ 正解
Route 53 Resolver のインバウンドエンドポイントにオンプレミスDNSからのクエリを転送し、アウトバウンドエンドポイントとフォワードルールでVPCからオンプレミスDNSへ転送するフルマネージド構成です。フォワードルールは複数VPCに関連付け可能で、新規VPC追加時の設定変更が最小限に抑えられ全要件を満たします。
CRoute 53のパブリックホストゾーンを使用して、すべての内部ドメインを公開する。
Route 53のパブリックホストゾーンはインターネット上に公開されるDNSゾーンです。corp.internalやaws.internalのような内部ドメインをパブリックゾーンで管理すると、内部ホスト名やプライベートIPアドレスが外部から参照可能になりセキュリティポリシー違反となります。
DオンプレミスのDNSサーバーにAWSの内部IPアドレス（169.254.169.253）を直接参照するように設定する。
169.254.169.253はVPC内のEC2インスタンス専用のリンクローカルDNSリゾルバーアドレスです。このアドレスはVPC外から到達不能なため、オンプレミスDNSサーバーからDirect Connect経由でフォワード先として設定しても名前解決は失敗します。
解説
Route 53 Resolver はVPCとオンプレミス間の双方向DNS解決を実現するフルマネージドサービスです。インバウンドエンドポイントを作成しオンプレミスDNSサーバーのフォワード先に設定することで、オンプレミスからRoute 53プライベートホストゾーンへのクエリを処理できます。アウトバウンドエンドポイントとフォワードルール（corp.internal → オンプレミスDNS）を設定することで、VPCインスタンスからオンプレミスDNSゾーンを解決できます。フォワードルールは複数のVPCに関連付け可能なため、新規VPC追加時はアソシエーション設定のみで対応でき、EC2フォワーダーの管理も不要です。
選択肢AのEC2カスタムDNSフォワーダーは冗長構成・OSパッチ管理・スケールアウト対応が継続的に必要なため管理オーバーヘッドが高く、「EC2インスタンスを管理するオーバーヘッドを避ける」要件に反します。
選択肢CのRoute 53パブリックホストゾーンは内部ドメインをインターネットに公開してしまうため、セキュリティポリシー上許容できません。
選択肢Dの169.254.169.253はVPC内部専用のリンクローカルアドレスであり、オンプレミスDNSサーバーからDirect Connect経由でフォワードしても到達できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAPを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →