セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説実務シナリオ: 公開 Web アプリを CloudFront の背後に配置し、ALB と Auto Scaling を用いた構成。アプリは一般的なウェブ攻撃対策と DDoS 対策を要し、コストとレイテンシを抑えつつアプリケーション層の保護を確実にしたい。セキュリティ要件を満たす最適な構成はどれか。
ACloudFrontディストリビューションに AWS WAF を適用し、AWS Managed Rules（SQLインジェクション、XSS、ボット対策など）とレートベースルールを設定する。CloudFront のエッジで Shield Standard を有効化する。Shield Advanced は有効化しない。
正解 ⭕⭕
【正解の理由】【正解】 アプリケーション層の保護を WAF で実装しつつ、Edge での DDoS 防御は Shield Standard で賄える。コストを最適化しつつ、遅延を抑えつつ要件を満たす最適解。
BShield Advanced を有効化して DDoS 対策を強化し、CloudFront と ALB の両方に WAF Web ACL を適用する。これにより高度な保護は得られるが、高額な追加費用が発生し、コスト最適化の要件に反する。
誤答CWAF を使用せず Shield Standard のみで Edge の DDoS 対策を講じる。この構成ではネットワーク層の保護は可能だが、SQLインジェクションやXSSなどのアプリケーション層の脆弱性に対する防御が不足する。
誤答DWAF を CloudFront ディストリビューションには適用せず、ALB 側の Regional WAF のみを適用する。この場合、CloudFront のエッジでの保護が欠如し、悪意のあるトラフィックがオリジンに到達する前にブロックできないリスクがある。
誤答🎯正解の決め手・公式要点まとめ
正解は、CloudFrontにWAFを適用してアプリケーション層の防御を提供し、Managed Rulesとレートベースルールで対策を施しつつ、Shield StandardでエッジのDDoS防御を賄う構成が最適。Shield Advancedは追加コストが発生するため、コスト最適化の観点では不要な場合が多い。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。