SCS-C03：AWS Certified Security - Specialty インフラストラクチャセキュリティ 問11
インフラストラクチャセキュリティ／ネットワークセキュリティ制御の設計VPC 内のインスタンスのトラフィック制御について、ステートフルでインスタンス（ENI）単位の『許可』ルールを評価する仕組みと、ステートレスでサブネット単位の『許可/拒否』を評価する仕組みの違いを踏まえ、サブネット境界で特定 IP レンジを明示的に拒否したい。用いるべきものはどれか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インフラストラクチャセキュリティ」に対応。実際の試験問題ではありません）
- Aセキュリティグループ（ステートフル・許可ルールのみで、明示的な拒否は設定できない）
- BIAM ポリシー
- CKMS キーポリシー
- Dネットワーク ACL（ステートレス・サブネット単位で許可/拒否を評価でき、明示的な拒否が設定できる）
正解：D
解説
ネットワーク ACL はステートレスでサブネット単位に許可/拒否の両方を評価でき、特定 IP レンジの明示的な拒否をサブネット境界で設定できます。セキュリティグループはステートフルで許可ルールのみ（明示的拒否は不可）、IAM ポリシーは API 権限、KMS キーポリシーは鍵の許可であり、ネットワークの拒否制御には使えません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。セキュリティグループは許可ルールのみで、明示的な拒否（特定IPのブロック）は設定できません。
- B誤り。IAMポリシーはAPI操作の権限制御で、ネットワーク制御ではありません。
- C誤り。KMSキーポリシーは鍵の使用許可です。
- D正しい。サブネット境界での明示的拒否はネットワークACLです。