Q22 — AWS SAA-C03 第16章

第 22/100 問 | ← 第16章

Q1222. ある会社が、Application Load Balancer（ALB）の背後にAmazon EC2インスタンス上でアプリケーションをホストしています。この会社は、アプリケーションへのアクセスを、ALBをホストするVPC内からのみ許可したいと考えています。また、同社はAmazon Route 53でexample.comのエイリアスレコードを作成します。アプリケーションのDNSレコードは、アプリケーションが実行されるVPC内でのみ解決可能である必要があります。これらの要件を満たすソリューションはどれですか？

正解: D. 内部向けALBを使用し、アプリケーションのDNS名に対してRoute 53のプライベートホステッドゾーンを作成する。

解説

アプリケーションへのアクセスをVPC内からのみ許可し、DNSレコードの解決もそのVPC内に限定するという要件を満たすため、各オプションを検討します。【主な要件】・アプリケーションのアクセス制御：アプリケーションはVPC内からのみアクセス可能であること。・DNS解決の制御：DNSレコード（example.com）は、アプリケーションが実行されるVPC内でのみ解決可能であること。【ソリューション分析】・ALBのタイプ：インターネット向けALBはパブリックインターネットからアクセス可能であり、VPC内からのみアクセスを許可するという要件に反します。一方、内部向けALBはVPC内（またはVPCピアリング、AWS Direct Connectなどを経由した接続先）からのみアクセス可能であり、アクセス制御の要件を満たします。・Route 53のホステッドゾーン：パブリックホステッドゾーンではDNSレコードがパブリックに解決可能となり、DNS解決をVPC内に限定するという要件に反します。一方、プライベートホステッドゾーンでは、DNSレコードは関連付けられたVPC（同一AWSアカウント内の他のVPCやVPC共有経由のVPCを含む）内でのみ解決可能となるため、DNS解決の要件を満たします。【各オプションの評価】・オプションA：インターネット向けALB＋パブリックホステッドゾーン → 不適切。ALBがインターネットからアクセス可能であり、DNSもパブリックに解決可能であるため、両方の要件を満たしません。・オプションB：内部向けALB＋パブリックホステッドゾーン → 不適切。ALBは内部向けですが、DNSは依然としてパブリックに解決可能であり、DNS解決の要件を満たしません。・オプションC：インターネット向けALB＋プライベートホステッドゾーン → 不適切。DNSはVPC内のみで解決可能ですが、ALB自体がインターネットに公開されているため、セキュリティ上問題があります。・オプションD：内部向けALB＋プライベートホステッドゾーン → 適切。ALBはVPC内からのみアクセス可能であり、DNSもVPC内でのみ解決可能です。最終的な回答：D。内部向けALBを使用し、アプリケーションのDNS名に対してRoute 53のプライベートホステッドゾーンを作成する。