SAA-C03：AWS Certified Solutions Architect - Associate セキュアなアーキテクチャの設計 問14
セキュアなアーキテクチャの設計／セキュアなワークロードとアプリケーションの設計VPC 内の EC2 から、インターネットを経由せずに Amazon S3 や DynamoDB などの AWS サービスへプライベートに接続したい。NAT ゲートウェイやインターネットゲートウェイを使わない構成にしたい。最も適した仕組みはどれか。
当サイトのオリジナル問題（SAA-C03：AWS Certified Solutions Architect - Associateの出題範囲「セキュアなアーキテクチャの設計」に対応。実際の試験問題ではありません）
- AVPC エンドポイント（Gateway/Interface エンドポイント。AWS のプライベートネットワーク経由でサービスに接続する）
- Bインターネットゲートウェイ経由で公開アクセスする
- Cパブリック IP を割り当てて直接接続する
- D追加のNATゲートウェイを経由させる
正解：A
解説
VPC エンドポイント（S3/DynamoDB 向けの Gateway エンドポイント、その他サービス向けの Interface エンドポイント＝PrivateLink）を使うと、インターネットや NAT を経由せず、AWS のプライベートネットワーク経由でサービスへ接続できます。インターネットゲートウェイ・パブリックIP・NATゲートウェイはいずれも要件に反します。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。インターネットを経由せずAWSサービスへ接続するのはVPCエンドポイントです。
- B誤り。インターネットゲートウェイ経由は公開経路で、プライベート接続の要件に反します。
- C誤り。パブリックIPでの直接接続は要件に反します。
- D誤り。NATゲートウェイはインターネットへの送信経路で、プライベート接続にもコストにも不利です。