SCS-C03：AWS Certified Security - Specialty インフラストラクチャセキュリティ 問9
インフラストラクチャセキュリティ／ネットワークセキュリティ制御の設計オンプレミスのデータセンターと AWS を、インターネットを経由しない専用線で接続し、さらにその接続のレイヤー2 区間を MACsec で暗号化するという要件があります。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インフラストラクチャセキュリティ」に対応。実際の試験問題ではありません）
- Aインターネット経由の AWS Site-to-Site VPN で接続する
- BAWS PrivateLink を使ってレイヤー2 の暗号化を行う
- CNAT ゲートウェイ経由で専用線接続を構成する
- DMACsec に対応した AWS Direct Connect の専用接続（dedicated connection）を使い、レイヤー2 の暗号化を適用する
正解：D
解説
AWS Direct Connect は、インターネットを経由しない専用のネットワーク接続を提供します。MACsec に対応した専用接続（dedicated connection。10/100/400 Gbps）では、接続のレイヤー2 区間を MACsec（IEEE 802.1AE）で暗号化できます。Site-to-Site VPN はインターネット経由、PrivateLink は L2 暗号化の仕組みではなく、NAT ゲートウェイは専用線とは無関係です。
選択肢ごとの解説
- A誤り。Site-to-Site VPN はインターネット経由の接続で、専用線の要件を満たしません。
- B誤り。PrivateLink はサービスへのプライベート接続の仕組みで、レイヤー2 の MACsec 暗号化は提供しません。
- C誤り。NAT ゲートウェイは送信元変換の仕組みで、専用線接続や L2 暗号化とは無関係です。
- D正しい。MACsec 対応の Direct Connect 専用接続で、レイヤー2 の暗号化を適用できます。