SCS-C03：AWS Certified Security - Specialty インフラストラクチャセキュリティ 問2
インフラストラクチャセキュリティ／ネットワークエッジサービスのセキュリティ制御特定の国からのアクセスだけを許可し、それ以外の国からの Web アクセスをブロックするという要件があります。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インフラストラクチャセキュリティ」に対応。実際の試験問題ではありません）
- AAWS WAF の地理的一致（geo match）ルール、または CloudFront の地域制限を用いて、送信元の国に基づいてアクセスを許可／ブロックする
- Bセキュリティグループに国名を指定して許可する
- Cルートテーブルで国ごとに経路を分けてブロックする
- DIAM ポリシーで国を条件に指定して Web アクセスをブロックする
正解：A
解説
送信元の国に基づくアクセス制御は、AWS WAF の地理的一致（geo match）ルール、または Amazon CloudFront の地域制限（geo restriction）で実現します。セキュリティグループ・ルートテーブル・IAM ポリシーは国（地理情報）を条件にしたフィルタリングはできません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。WAF の geo match ルールや CloudFront の地域制限で、国に基づく許可／ブロックができます。
- B誤り。セキュリティグループは IP アドレス等での制御で、国名を直接指定できません。
- C誤り。ルートテーブルは経路制御であり、国に基づくアクセス制御の仕組みではありません。
- D誤り。IAM ポリシーは AWS API への認可制御で、エンドユーザーの Web アクセスを国で制御するものではありません。