SOAネットワークとコンテンツ配信
あるSaaSプロバイダーが、自社のアプリケーション（ポート443）を複数のカスタマー企業のAWS VPCに対してプライベートに提供したいと考えています。要件として、以下が挙げられています。
①インターネットを経由せずプライベートIPアドレスでアクセスできること
②プロバイダーVPCとカスタマーVPCのCIDRが重複していても動作すること
③カスタマーVPCからプロバイダーへの単方向アクセスのみ許可すること
この要件を満たす最適なアーキテクチャはどれですか？
AプロバイダーVPCとカスタマーの各VPCをVPCピアリングで接続し、ルートテーブルでアクセス制御する
VPCピアリングはCIDRが重複するVPC間では利用できず、またピアリング接続は双方向の通信を許可するため、CIDR重複を許容する要件②とカスタマーからの単方向アクセスのみを許可する要件③を満たしません。
BAWS Transit Gatewayを使用してプロバイダーVPCと全カスタマーVPCを接続し、Transit Gatewayルートテーブルでトラフィックを制御する
Transit GatewayはCIDRが重複するVPC間ではルーティングの競合が発生するため使用が困難です。大規模な接続管理には向いていますが、CIDR重複を透過的に解決する仕組みを持たないため要件②を満たしません。
CプロバイダーVPCのNLB（Network Load Balancer）背後にサービスを配置し、AWS PrivateLinkのエンドポイントサービスを作成して、カスタマーがインターフェイスVPCエンドポイント経由でアクセスできるようにする
✓ 正解
PrivateLinkはNLBをフロントエンドにエンドポイントサービスを公開し、カスタマーがインターフェイスVPCエンドポイント経由でアクセスする方式です。CIDRが重複していても動作し、単方向接続のみを許可するため3つの要件をすべて満たします。
DプロバイダーサービスをALB（Application Load Balancer）で公開し、カスタマーがAWS Direct Connect経由でプライベートアクセスできるようにする
ALBとDirect Connectを組み合わせた構成はプライベート接続を実現できますが、VPC CIDRが重複するカスタマーへの対応ができず、単方向アクセスのみに制限するネイティブな仕組みも持たないため要件②③を満たしません。
解説
AWS PrivateLinkは、VPC CIDRが重複していてもプライベートIPで安全にサービスを提供できる唯一のソリューションです。プロバイダーはNLBを使用してエンドポイントサービスを作成し、カスタマーはインターフェイスVPCエンドポイント経由でアクセスします。インターネットを経由せず、カスタマーVPCからプロバイダーへの単方向アクセスのみ許可されます。
選択肢AのVPCピアリングは、CIDR重複時に使用不可で双方向通信を許可してしまい要件②③を満たしません。
選択肢BのTransit Gatewayは、CIDR重複時にはルーティング競合が発生するため使用が困難です。
選択肢DのALBでプロバイダーサービスを公開しDirect Connect経由でプライベートアクセスする方法は、VPC CIDRの重複に対応できず単方向アクセス制御も実現できないため要件②③に適していません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →