Q89 — AWS SAA-C03 第11章

第 89/100 問 | ← 第11章

Q789. ある企業がAWS上でリアルタイムのデータ取り込みソリューションを実行しています。このソリューションには、最新版のAmazon Managed Streaming for Apache Kafka（Amazon MSK）が含まれており、VPC内のプライベートサブネットに、3つの可用性ゾーンにまたがってデプロイされています。ソリューションアーキテクトは、このデータ取り込みソリューションをインターネット経由で公開可能に再設計する必要があります。また、転送中のデータは暗号化される必要があります。これらの要件を、最も運用効率よく満たすソリューションはどれですか？

• A. 既存のVPCにパブリックサブネットを設定します。MSKクラスターをパブリックサブネットにデプロイし、MSKクラスターのセキュリティ設定を更新して相互TLS認証を有効化します。 ✓
• B. パブリックサブネットを持つ新しいVPCを作成します。MSKクラスターをパブリックサブネットにデプロイし、MSKクラスターのセキュリティ設定を更新して相互TLS認証を有効化します。
• C. プライベートサブネットを使用するApplication Load Balancer（ALB）をデプロイします。ALBのセキュリティグループのインバウンドルールを設定し、VPCのCIDRブロックからのHTTPSプロトコルによるインバウンドトラフィックを許可します。
• D. プライベートサブネットを使用するNetwork Load Balancer（NLB）をデプロイします。NLBのリスナーを構成して、インターネット経由のHTTPS通信を有効にします。

正解: A. 既存のVPCにパブリックサブネットを設定します。MSKクラスターをパブリックサブネットにデプロイし、MSKクラスターのセキュリティ設定を更新して相互TLS認証を有効化します。

解説

このソリューションでは、既存のVPCをパブリックサブネットで再構成することで、直接的なインターネット接続を提供します。その後、Amazon MSKクラスターをこれらのパブリックサブネットにデプロイします。MSKクラスターのセキュリティ設定で相互TLS認証を有効化することで、クライアントとKafkaクラスター間の通信において、転送中のデータが暗号化され、セキュアな通信が保証されます。このソリューションは、既存のVPCインフラストラクチャを再利用し、パブリックアクセスを可能にするために必要な最小限の変更を行うことで、運用効率を最大化します。また、MSKが備える相互TLS認証などの組み込みセキュリティ機能を活用することで、転送中のデータ暗号化も確実に実現します。他の選択肢が最も運用効率的でない理由は以下の通りです。B：新しいVPCとパブリックサブネットの作成は技術的に可能ですが、追加の複雑さや管理オーバーヘッドを招く可能性があります。既存VPCの再構成の方が効率的です。C：プライベートサブネット内に配置されたApplication Load Balancer（ALB）は、主にHTTP／HTTPSトラフィック向けであり、MSKクラスターをインターネット経由で公開するための最も効率的な手段ではありません。また、ストリーミングデータ取り込みのようなユースケースには特化していません。D：プライベートサブネット内に配置されたNetwork Load Balancer（NLB）は、内部ネットワーク内のリソースへのトラフィック転送を目的として設計されており、インターネット経由でのMSKクラスターの公開には最も効率的なソリューションとは言えません（NLBは高スループットのTCP／UDPトラフィックには適していますが、本ユースケースには不十分です）。したがって、これらの要件を最も運用効率よく満たすソリューションは、選択肢Aです。