SAA-C03：AWS Certified Solutions Architect - Associate セキュアなアーキテクチャの設計 問21
セキュアなアーキテクチャの設計／AWS リソースへのセキュアなアクセスの設計社内データ分析基盤の S3 バケットには、特定の VPC 内のリソースからのみアクセスさせ、インターネットやそれ以外の経路からのアクセスはすべて拒否したいと考えています。最も適切な方法はどれですか。
当サイトのオリジナル問題（SAA-C03：AWS Certified Solutions Architect - Associateの出題範囲「セキュアなアーキテクチャの設計」に対応。実際の試験問題ではありません）
- AS3 ゲートウェイ VPC エンドポイントを作成し、バケットポリシーで aws:sourceVpce 条件によりそのエンドポイント経由以外のアクセスを拒否する
- Bバケットをプライベートサブネット内に作成し、インターネットゲートウェイを削除する
- Cセキュリティグループのインバウンドルールで、S3 へのアクセスを特定の VPC に限定する
- Dネットワーク ACL で、S3 のパブリック IP レンジからの通信のみを許可する
正解：A
解説
S3 ゲートウェイ VPC エンドポイントを作成し、バケットポリシーの Condition に aws:sourceVpce（または aws:sourceVpc）を指定して、そのエンドポイント経由以外のリクエストを Deny することで、特定の VPC からのアクセスだけに制限できます。S3 はサブネットに属さないため「プライベートサブネットに作成」やセキュリティグループでの制御はできず、NACL の IP レンジ指定ではこの要件を満たせません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。ゲートウェイ VPC エンドポイントとバケットポリシーの aws:sourceVpce 条件を組み合わせると、指定した VPC エンドポイント経由のアクセスだけを許可できます。
- B誤り。S3 バケットはサブネットに属さないマネージドサービスで、プライベートサブネットに「作成」するという概念はありません。
- C誤り。S3 にはセキュリティグループをアタッチできないため、SG のインバウンドルールでアクセス元 VPC を制御することはできません。
- D誤り。NACL はサブネットのトラフィックを IP ベースで制御するもので、S3 バケットへのアクセス元を VPC 単位で限定する手段ではありません。