Q39 — AWS ANS-C01 第1章

第 39/100 問 | ← 第1章

ある企業はハイブリッドクラウド環境を運用しています。企業はAWS Organizations内の組織として複数のAWSアカウントを持っています。企業は、AWS内のリソースにアクセスすることを許可するオンプレミスホストのIPv4アドレスリストを管理するソリューションを必要としています。このソリューションは、IPv4アドレスリストのバージョン管理を提供し、組織内のAWSアカウントにリストを提供する必要があります。

• A. カスタマー管理のプレフィックスリストを作成します。初期のオンプレミスIPv4ホストのリストをエントリとして追加します。AWS Resource Access Managerでリソース共有を作成します。管理されたプレフィックスリストをこのリソース共有に追加し、組織と共有します。 ✓
• B. カスタマー管理のプレフィックスリストを作成します。初期のオンプレミスIPv4ホストのリストをエントリとして追加します。AWS Firewall Managerを用いて、管理されたプレフィックスリストを組織と共有します。
• C. セキュリティグループを作成します。初期のオンプレミスIPv4ホストのリストをインバウンドルールエントリとして追加します。AWS Resource Access Managerでリソース共有を作成します。このセキュリティグループをリソース共有に追加し、組織と共有します。
• D. Amazon DynamoDBテーブルを作成します。初期のオンプレミスIPv4ホストのリストをエントリとして追加します。各AWSアカウントでロールを想定するAWS Lambda関数を作成し、DynamoDBテーブルのエントリに基づいてセキュリティグループのインバウンドルールを承認します。

正解: A. カスタマー管理のプレフィックスリストを作成します。初期のオンプレミスIPv4ホストのリストをエントリとして追加します。AWS Resource Access Managerでリソース共有を作成します。管理されたプレフィックスリストをこのリソース共有に追加し、組織と共有します。

解説

本シナリオでは、AWSリソースへのアクセスを許可するオンプレミスIPv4ホストのリストを管理するために、カスタマー管理のプレフィックスリスト（customer-managed prefix list）を作成することが効果的です。初期のホストエントリを追加した後、AWS Resource Access Manager（RAM）でリソース共有を作成し、その共有にプレフィックスリストを追加して組織と共有することで、バージョン管理および組織内のAWSアカウントへのリスト提供という要件を満たせます。選択肢Bでは、AWS Firewall Managerはファイアウォールポリシー管理に主に使用され、本シナリオには適していません。選択肢Cでは、セキュリティグループはインバウンドおよびアウトバウンドトラフィックの制御に使用され、ホストリストの管理にはプレフィックスリストの方が適しています。選択肢Dでは、DynamoDBテーブルとLambda関数を用いる方法は複雑であり、パフォーマンスおよび管理面での課題を抱える可能性があります。以上より、選択肢Aが正しい答えです。