セキュアなアーキテクチャの設計
AWS SAA (SAA-C03) 過去問・解説あなたはマルチティアのアプリケーションをVPC上に設計している。パブリックサブネットにインターネット向けのApplication Load Balancer (ALB)、プライベートサブネットにアプリケーションサーバー、別のプライベートサブネットにデータベースを配置する。外部からの直接アクセスは遮断し、外部からのリクエストはALBの443/TCPで受ける。アプリケーションサーバーはALBからのトラフィックのみ受け付け、データベースはアプリケーションサーバーからの接続のみ（データベース用ポート）を許可する必要がある。最も適切なセキュリティ設定の組み合わせを次の4つの選択肢から1つ選べ。
AALBのセキュリティグループはインターネットからの443を許可し、アプリサーバーのセキュリティグループはALBのセキュリティグループからのアプリケーション用ポートのみを許可し、データベースのセキュリティグループはアプリサーバーのセキュリティグループからのデータベース用ポートのみを許可する。NACLはデフォルトの許可（必要に応じて最小限の調整）のままとする。
正解 ⭕⭕
【正解の理由】【正解】 セキュリティグループの相互参照により、ALB→App→DBのチェーン以外を受け付けない最小権限を実現。NACLは過度に絞らず、必要な戻りトラフィックやエフェメラルポートを阻害しない運用上のベストプラクティスに沿う。
BALBのセキュリティグループはインターネットからの443を許可し、アプリサーバーのセキュリティグループはインターネット起点の着信を許可し、データベースのセキュリティグループはVPC内の任意のソースからのデータベース用ポートを許可する。NACLは特に設定しない。
誤答Cロードバランサー、アプリサーバー、データベース間の通信はNACLのみで厳密に制御し、セキュリティグループはすべてワイドオープンにする。
誤答DS3への接続のためにInterface VPCエンドポイントを作成し、その他の通信はすべてインターネット経由を許可する。アプリサーバーとデータベースには同一のセキュリティグループを適用して相互通信を許可する。
誤答🎯正解の決め手・公式要点まとめ
セキュリティグループ相互参照で各層の許可元をSG単位に限定し、ALB→App→DBの一方向チェーンのみ成立させる。NACLは副次的防御に留め、通信に必要なエフェメラルポートを誤って塞がない。
⚠️ 誤答トラップ・他の選択肢が誤りの詳細理由
この選択肢は〇〇の定義と混同しやすく、本番試験で正答率が落ちる典型的なトラップです...
💡 似た概念との決定的な違い
実務および試験で頻出する関連用語の使い分けは次の3原則で整理できます...
🔒
「誤答トラップ解説」＆「全選択肢の個別解説」はPRO会員限定
月額3,000円で全8資格3,200問を解放。毎日演習で翌月実質無料（1日100円学習割）になる逆算サブスク。
アプリで演習を始める（全問解放） ➜💬ディスカッション・質問スレッド (0)
疑問や改善要望を投稿しようスレッドを読み込み中...
Googleアカウントでログインすると質問の投稿やスレッドへの参加ができます。