CLF-C02：AWS Certified Cloud Practitioner セキュリティとコンプライアンス 問28
セキュリティとコンプライアンス／セキュリティのためのコンポーネントとリソースAmazon VPC のサブネット単位で、受信・送信トラフィックをステートレスに許可／拒否ルールで制御する、サブネットの境界に適用される仮想ファイアウォールはどれですか。
当サイトのオリジナル問題（CLF-C02：AWS Certified Cloud Practitionerの出題範囲「セキュリティとコンプライアンス」に対応。実際の試験問題ではありません）
- AAWS WAF
- Bセキュリティグループ
- Cネットワーク ACL（NACL）
- DAWS Shield
正解：C
解説
ネットワーク ACL（NACL）は、VPC のサブネット境界に適用され、受信・送信トラフィックをステートレスに許可／拒否ルールで制御する仮想ファイアウォールです。セキュリティグループはインスタンス（ENI）単位でステートフルに動作します。WAF は L7 の Web リクエスト保護、Shield は DDoS 保護で、サブネット単位のトラフィック制御とは異なります。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。WAF は ALB・CloudFront 等に対する L7 の Web リクエスト保護で、サブネット単位の制御ではありません。
- B誤り。セキュリティグループはインスタンス（ENI）単位でステートフルに動作し、サブネット境界のステートレス制御ではありません。
- C正しい。NACL はサブネット境界でステートレスに許可／拒否を制御する仮想ファイアウォールです。
- D誤り。Shield は DDoS 攻撃からの保護サービスで、サブネットのトラフィック制御は行いません。