SOAネットワークとコンテンツ配信
あるSaaS企業は、Network Load Balancer（NLB）の背後で稼働するAPIサービスを、50以上の顧客AWSアカウントにプライベートに提供したいと考えています。パブリックインターネットを経由させたくなく、VPCピアリングはCIDRアドレス帯の重複リスクと管理の複雑さから避けたい方針です。最も適切なアーキテクチャはどれですか？
ASaaS企業のNLBをインターネット向けに公開し、AWS WAFとネットワークACLで顧客IPアドレスのみに制限してプライベートと同等のアクセス制御を実装する
SaaS企業のNLBをインターネット公開しWAFとネットワークACLでIP制限しても、インターネット経由通信は顧客データのセキュリティリスク増加につながり、プライベートアクセスには相応しくありません。
BSaaS企業のVPCでNLBをAWS PrivateLinkのエンドポイントサービスとして登録し、各顧客が自身のVPCにインターフェースVPCエンドポイントを作成してプライベート接続する
✓ 正解
AWS PrivateLinkでNLBをエンドポイントサービス公開、各顧客がインターフェースVPCエンドポイント経由でプライベートIP接続します。VPC CIDR重複にも対応、ネットワーク分離が維持されます。
CAWS Transit Gatewayを使用してSaaS企業と全顧客のVPCを接続し、ルートテーブルでAPIサービスへのトラフィックのみを許可して通信を制御する
AWS Transit Gatewayによる全VPC間接続とルーティングは複雑な管理が必要で、PrivateLinkのようなシンプルなプライベート接続ソリューション比較で設定負荷が高くなります。
DSaaS企業のEC2インスタンスにElastic IPを付与し、50以上の顧客アカウントそれぞれとSite-to-Site VPN接続を個別に確立して通信を暗号化する
Site-to-Site VPNは顧客ごとに個別接続確立が必要であり、スケーラビリティに欠け、運用管理の負荷が大幅に高くなります。PrivateLink比較で運用が複雑です。
解説
AWS PrivateLinkを使うと、NLBをVPCエンドポイントサービスとして公開でき、顧客はインターフェースVPCエンドポイントを通じてプライベートIPアドレス経由でアクセスできます。VPCのCIDRが重複していても動作し、接続は顧客からプロバイダーへの一方向のみのためネットワーク分離が確実に維持されます。
選択肢A（インターネット公開）: パブリックインターネットを経由させたくないという要件に直接反します。WAFやネットワークACLで制限しても、通信がインターネットを通過する点で要件を満たせません。
選択肢B（AWS PrivateLink）: NLBをVPCエンドポイントサービスとして登録することでVPCのCIDR重複の影響を受けずにプライベート接続を実現します。50以上のアカウントへのスケールに対応し、顧客ごとの承認制御もエンドポイントサービス側で管理できます。
選択肢C（Transit Gateway）: 多数のVPCを接続できますが、CIDRの重複が発生すると通信できなくなります。50以上のアカウントとのルートテーブル管理が複雑になり、問題文が避けたい管理の複雑さを解消できません。
選択肢D（Site-to-Site VPN）: 顧客ごとに個別のVPN接続を確立する必要があり、50以上のアカウントへのスケールには管理コストが高すぎます。VPN接続はインターネットを通過するため「パブリックインターネット経由不可」の要件にも反します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →