セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説マルチAZのEC2をプライベートサブネットに配置したデータ処理ワークロードがあり、S3とDynamoDBへデータを格納・取得します。セキュリティを維持しつつコストを抑え、可用性・低遅延を確保する最適なVPCエンドポイントとネットワーク設定の組み合わせはどれですか？
AS3とDynamoDB向けにゲートウェイ型VPCエンドポイントを作成し、プライベートサブネットのルートテーブルをエンドポイントへ向ける。EC2のセキュリティグループはS3/DynamoDBアクセスを許可する。NACLで必要なポートのみを開放する。
正解 ⭕⭕
【正解の理由】【正解】 この選択はS3/DynamoDBの正しいエンドポイントタイプであるゲートウェイ型を用い、プライベートサブネットのルートをエンドポイント経由へ向ける設計を指しています。ゲートウェイ型エンドポイントはNATを不要にし、データはAWSネットワーク内を通るためコストとレイテンシの最適化に優れます。セキュリティはSG/NACLで追加の制御を可能にし、可用性も確保されます。
BS3とDynamoDB向けにインターフェース型VPCエンドポイントを作成し、エンドポイントのENIに対してセキュリティグループを設定する。この方式はPrivateLink対応サービスで利用されますが、S3/DynamoDBには適用されません。
誤答CNATゲートウェイを各AZに配置してS3/DynamoDBへアクセスさせ、プライベートサブネットの出入口をNAT経由にする。この場合、追加のコストと管理オーバーヘッドが発生し、データ転送も最適化されません。
誤答Dインターネットゲートウェイ経由でS3/DynamoDBへアクセスさせる設計。これはプライベートサブネットの意図に反し、セキュリティリスクを高め、VPC内でのトラフィック完結という利点を失います。
誤答🎯正解の決め手・公式要点まとめ
正解は、S3/DynamoDBに対してゲートウェイ型VPCエンドポイントを利用し、ルートテーブルをエンドポイントへ直接向ける設計である点。これによりデータはVPC内で完結し、NAT不要・追加コスト削減・高可用性を達成できる。ネットワークセグメントの原則としてSG/NACLは補足的に使い、最小権限を適用する。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。