SOAネットワークとコンテンツ配信
ある企業はAWS Transit Gateway（TGW）を使用したハブ・アンド・スポーク構成を持っています。VPCには「本番」「開発」「共有サービス」の3種類があります。要件として、本番と開発は両方とも共有サービスVPCにアクセスできる必要がありますが、本番と開発は互いに通信できないようにする必要があります。この要件を最小限の運用負荷で満たすTGW設定はどれですか？
ATGWにデフォルトルートテーブルを1つ作成し、すべてのVPCアタッチメントを関連付けてすべての接続先へのルートを相互に伝播させ全VPC間の通信を可能にする
デフォルトルートテーブルにすべてのアタッチメントを関連付けて全ルートを伝播させると、本番・開発・共有サービスの全VPC間が相互に通信可能となり、本番と開発の間の通信を禁止するという要件を満たせません。
BTGWに「スポーク用」と「共有用」の2つのルートテーブルを作成し、本番・開発はスポーク用（共有サービスへのルートのみ）に関連付け、共有サービスは共有用（本番・開発両方のルートを保持）に関連付ける
✓ 正解
TGWのルートテーブル分割はAWS推奨のスポーク間分離パターンです。スポーク用テーブルには共有サービスへのルートのみを持たせることで本番と開発が互いのルートを学習せず通信できなくなります。共有サービスは両スポークのルートを保持するため双方向の応答が可能です。
C本番と共有サービス間・開発と共有サービス間にそれぞれVPCピアリング接続を個別に作成して通信経路を確立し、Transit Gatewayは使用しない構成にする
VPCピアリングは1対1の接続であり、Transit Gatewayを廃止して新たにピアリングを作成すると既存構成の変更が大きく、VPCが増えるたびにピアリングを追加する必要があるためスケーラビリティが低く運用負荷が増大します。
Dセキュリティグループのインバウンド・アウトバウンドルールで本番と開発間のトラフィックを明示的にブロックし、TGWのルートテーブルは1つのデフォルトテーブルにまとめる
セキュリティグループはVPC内のホストレベルのアクセス制御であり、TGWのルーティングレベルでの分離とは性質が異なります。ルートテーブルで本番・開発間のルートが伝播している限り通信経路は存在し、設定漏れ時にトラフィックが到達するリスクがあります。
解説
Transit Gatewayのルートテーブル分割による「スポーク間分離」がAWS推奨パターンです。スポーク用ルートテーブル（本番・開発が関連付け）には共有サービスへのルートのみを伝播させることで、本番と開発が互いのルートを学習しないため通信不可になります。共有サービス用ルートテーブルには両スポークのルートを伝播させ、共有サービスからの応答を可能にします。
選択肢Aはデフォルトルートテーブル1つではすべてのスポーク同士が通信可能になるため、本番と開発の分離要件を満たせません。
選択肢Cは本番・開発と共有サービス間にVPCピアリングを個別に作成する方法ですが、TGWを廃止して既存構成を大幅に変更する必要があり、最小限の運用負荷という要件を満たしません。
選択肢Dはセキュリティグループはホストレベルのアクセス制御であり、TGWルーティングレベルの分離とは異なります。ルートテーブルで互いのルートが伝播していると通信経路が存在するため、設計として不十分です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →