セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説社内アプリケーションは、パブリックサブネットのALBとプライベートサブネットのアプリケーション層/データベース層で構成される三層アーキテクチャ。プライベートサブネットのEC2インスタンスがSecrets ManagerとSSM Parameter Storeにアクセスする必要がある。ネットワーク分離と低遅延を両立する適切な設計はどれか。
ASecrets ManagerとSSM Parameter Store用のInterface VPCエンドポイントを、privateサブネットに対してそれぞれ作成する。エンドポイントポリシーを適切に設定し、セキュリティグループでENIへの通信を制限する。
正解 ⭕⭕
【正解の理由】【正解】 InterfaceエンドポイントはプライベートIPを提供し、サービスへの通信をVPC内にとどめます。SSM Parameter StoreとSecrets ManagerはInterfaceエンドポイントをサポートしており、エンドポイントポリシーとENIのセキュリティグループで厳密に制御できるため、要件に最適です。
BSecrets ManagerとSSM Parameter StoreにはGateway VPCエンドポイントを作成し、VPC外へのトラフィックをルーティングする設計とする。
誤答CパブリックサブネットのALB経由でインターネット経由でアクセスさせる。これはセキュリティ要件に反し、ネットワーク分離の観点からも不適切である。
誤答DNACLだけでSecrets ManagerとSSM Parameter Storeへのアクセスを制御する。これはサブネットレベルのステートレスなフィルタリングであり、きめ細やかなアクセス管理には不十分である。
誤答🎯正解の決め手・公式要点まとめ
ポイントは、Secrets Manager/SSM Parameter StoreにはInterfaceエンドポイントを使い、プライベートサブネット内のENI経由でPrivate connectivityを確保すること。エンドポイントポリシーとSGで細かな制御を実現する。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。