SAA-C03：AWS Certified Solutions Architect - Associate セキュアなアーキテクチャの設計 問13
セキュアなアーキテクチャの設計／セキュアなワークロードとアプリケーションの設計VPC 内のインスタンスのトラフィックを制御する方法として、ステートフルに動作しインスタンス（ENI）単位で許可ルールを評価する仕組みと、ステートレスにサブネット単位で許可/拒否を評価する仕組みがある。前者はどれか。
当サイトのオリジナル問題（SAA-C03：AWS Certified Solutions Architect - Associateの出題範囲「セキュアなアーキテクチャの設計」に対応。実際の試験問題ではありません）
- Aネットワーク ACL（ステートレス。サブネット単位で許可/拒否を評価する）
- BAWS WAF（Web アプリケーションファイアウォール）
- Cルートテーブル（トラフィックの経路制御）
- Dセキュリティグループ（ステートフル。ENI 単位で、許可ルールを評価する）
正解：D
解説
セキュリティグループはステートフル（戻りの通信は自動的に許可）で、インスタンス（ENI）単位に関連付け、許可ルールのみを評価します。ネットワークACLはステートレスでサブネット単位、許可/拒否の両方を評価します。WAFはL7防御、ルートテーブルは経路制御です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。ネットワークACLはステートレスでサブネット単位、許可/拒否の両方を評価する後者です。
- B誤り。WAFはL7のWebアプリ防御で、SG/NACLとは異なります。
- C誤り。ルートテーブルは経路制御で、トラフィック許可/拒否のフィルタではありません。
- D正しい。ステートフルでENI単位・許可ルールのみはセキュリティグループです。