SAA-C03：AWS Certified Solutions Architect - Associate セキュアなアーキテクチャの設計 問26
セキュアなアーキテクチャの設計／セキュアなワークロードとアプリケーションの設計VPC から外部へ出ていく通信（アウトバウンド）に対して、許可したドメインのみ通信を認め、さらにステートフルな侵入防止（IPS）ルールも VPC の境界で適用したいと考えています。最も適切なものはどれですか。
当サイトのオリジナル問題（SAA-C03：AWS Certified Solutions Architect - Associateの出題範囲「セキュアなアーキテクチャの設計」に対応。実際の試験問題ではありません）
- Aネットワーク ACL で、許可するドメインごとのアウトバウンドルールを設定する
- BAWS WAF を VPC にアタッチして、送信トラフィックを検査する
- CAWS Network Firewall を VPC に導入し、ドメインフィルタリングとステートフルな IPS ルールを適用する
- Dセキュリティグループのアウトバウンドルールに、許可するドメイン名を指定する
正解：C
解説
AWS Network Firewall は VPC に対するマネージドなステートフルファイアウォールで、ドメイン（FQDN）ベースのフィルタリングや Suricata 互換のステートフルな IPS ルールを VPC 境界で適用できます。セキュリティグループと NACL は IP アドレス/ポート単位の制御でドメイン名を扱えず（SG はステートフル、NACL はステートレス）、WAF は ALB・CloudFront・API Gateway 向けの L7 Web リクエスト（受信）検査サービスです。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。NACL はステートレスで IP/ポート単位の制御のみを行い、ドメイン名でのフィルタリングや IPS はできません。
- B誤り。WAF は ALB・CloudFront・API Gateway に対する L7 の受信 Web リクエスト検査が対象で、VPC のアウトバウンド全般のドメインフィルタリングには使いません。
- C正しい。Network Firewall は VPC 境界でのドメインフィルタリングとステートフルな IPS ルールに対応したマネージドファイアウォールです。
- D誤り。セキュリティグループはドメイン名ではなく IP/ポートで通信を制御するため、ドメイン単位のアウトバウンド許可はできません。