ホーム ›
対応資格一覧 ›
AWS Certified Advanced Networking – Specialty (ANS-C01) 出題範囲 Domain 3: Network Management and Operations Domain 4: Network Security, Compliance, and Governance Domain 1: Network Design Domain 2: Network Implementation 例題に挑戦 スキルサートのAIが生成した演習問題のサンプルです。アプリでは毎週新しい問題が追加されます。
例題1 大規模な組織で、AWS Organizationsを使用しています。セキュリティ管理者は、全アカウントの複数のVPCにおいて、特定のドメイン名に対する外部へのトラフィックのみを許可し、それ以外のトラフィックをブロックする集中管理型のソリューションを求めています。管理のオーバーヘッドを最小限に抑えつつ、一貫したセキュリティルールを適用するための最も適切な構成はどれですか。
各VPCにAWS Network Firewallをデプロイし、個別にドメインリストを含むステートフルルールグループを作成し、各アカウントで手動でメンテナンスを行う。 各VPCのDNSクエリを監視するためにAmazon Route 53 Resolver DNS Firewallを構成し、各アカウントで共有のドメインリストを手動で同期する。 AWS WAFを使用して、アウトバウンドトラフィックをフィルタリングするためのカスタムルールを作成し、AWS Firewall Managerを介して各VPCのNATゲートウェイに適用する。 AWS Firewall Managerを使用して、AWS Network Firewallポリシーを作成する。ポリシー内でドメインリストを含む共通のステートフルルールグループを定義し、組織全体の対象VPCに自動的に適用する。 送信先ドメインを制御するために、すべてのVPCトラフィックを中央の検査用VPCにルーティングし、各VPCのNetwork ACLを使用してドメインベースのフィルタリングを行う。 解答と解説を見る 正解: AWS Firewall Managerを使用して、AWS Network Firewallポリシーを作成する。ポリシー内でドメインリストを含む共通のステートフルルールグループを定義し、組織全体の対象VPCに自動的に適用する。
正解は『AWS Firewall Managerを使用して、AWS Network Firewallポリシーを作成する。ポリシー内でドメインリストを含む共通のステートフルルールグループを定義し、組織全体の対象VPCに自動的に適用する。』です。AWS Firewall Managerを利用することで、AWS Organizations内の複数のアカウントやVPCに対して、AWS Network Firewallのルールを一元的にデプロイおよび管理できます。Network Firewallのステートフルルールグループでは、FQDN（完全修飾ドメイン名）ベースのフィルタリングがサポートされており、指定したドメイン以外へのトラフィックを効率的に遮断できます。この方法は管理オーバーヘッドを最小化し、一貫性を確保するのに最適です。Network ACLはIPアドレスベースの制御のみであり、ドメイン指定はできません。また、AWS WAFは主にL7のインバウンド保護に使用され、VPC全体のアウトバウンド・ドメインフィルタリングには適しません。
例題2 ある企業が、コンプライアンス要件を満たすために、特定のEC2インスタンス間のUDPポート53（DNS）トラフィックを詳細に分析する必要があります。ネットワークエンジニアは、パケットキャプチャを実行するためにVPC Traffic Mirroringを導入することにしました。ターゲットとなる分析ツールへの負荷を軽減しつつ、必要なトラフィックのみをミラーリングするための正しい設定はどれですか。
トラフィックミラーターゲットとしてNetwork Load Balancerを指定し、UDPポート53のトラフィックのみを許可するセキュリティグループをターゲットに適用する。 トラフィックミラーフィルタを作成し、アウトバウンドとインバウンドの両方のルールで、プロトコル17（UDP）およびポート53をソースまたは宛先として指定するルールを追加する。 トラフィックミラーターゲットにAmazon S3バケットを指定し、特定のポートトラフィックのみが保存されるようにS3バケットポリシーを構成する。 トラフィックミラーセッションで、フィルターを適用せずにすべてのトラフィックをミラーリングし、分析ツール側で特定のポートをフィルタリングするよう設定する。 VPC Flow Logsを有効にし、プロトコル17およびポート53のログのみを抽出して、リアルタイムでパケット内容を分析する。 解答と解説を見る 正解: トラフィックミラーフィルタを作成し、アウトバウンドとインバウンドの両方のルールで、プロトコル17（UDP）およびポート53をソースまたは宛先として指定するルールを追加する。
正解は『トラフィックミラーフィルタを作成し、アウトバウンドとインバウンドの両方のルールで、プロトコル17（UDP）およびポート53をソースまたは宛先として指定するルールを追加する。』です。VPC Traffic Mirroringでは、トラフィックミラーフィルタを使用して、どのトラフィックをミラーリングするかを選択（包含または除外）できます。UDPはプロトコル番号17であり、DNSトラフィック（ポート53）を特定するためには、フィルタールールでこれらを明示的に指定する必要があります。これにより、分析ターゲットに送られる不要なデータを削減し、コストと負荷を最適化できます。セキュリティグループはインスタンスへのアクセス制御用であり、ミラーリングのフィルタリングには使用されません。また、VPC Flow Logsはパケットのペイロードを含まないため、詳細なパケット分析には不十分です。
重要用語
Amazon VPC AWSクラウド内に論理的に隔離されたネットワーク環境を構築するサービスです。IPアドレス範囲の設定、サブネットの作成、ルートテーブルやネットワークゲートウェイの構成を自由に行えます。ANS試験においては、複数アカウント間の接続やオンプレミスとのハイブリッド構成を実現するための基盤として、最も重要な設計要素となります。
AWS Transit Gateway 複数のVPCやオンプレミスネットワークをハブアンドスポーク型で相互接続する中央管理型のゲートウェイです。数千のVPC接続を簡素化し、複雑なピアリング関係を解消します。ルーティングの集中管理や推移的ルーティングをサポートしており、大規模なエンタープライズネットワーク設計において、スケーラビリティを確保するために必須のコンポーネントです。
AWS Direct Connect (DX) オンプレミスのデータセンターからAWSへ、インターネットを経由しない専用のネットワーク接続を提供するサービスです。安定したネットワークパフォーマンス、帯域幅の向上、通信コストの削減が可能です。試験対策としては、仮想インターフェイス（VIF）の種類や、冗長性を確保するための接続場所の分散、Direct Connect Gatewayの活用方法が問われます。
AWS PrivateLink トラフィックをパブリックインターネットに公開することなく、VPC、AWSサービス、およびオンプレミス間をプライベートに接続する技術です。インターフェイスVPCエンドポイントを使用して、サービスを自OSのプライベートIPアドレスで公開できます。セキュリティ要件が厳しい環境や、IPアドレスの重複があるVPC間でのサービス提供に有効な設計手法です。
VPC Peering 2つのVPC間をプライベートに接続し、あたかも同じネットワーク内にあるかのように通信させる機能です。異なるアカウントやリージョン間でも接続可能ですが、推移的なルーティングをサポートしないため、接続数が増えると管理が複雑になります。低遅延な直接通信が必要な場合や、接続するVPCが限定的な構成において、コスト効率の良い選択肢となります。
Gateway Load Balancer (GWLB) サードパーティ製の仮想アプライアンス（ファイアウォールやIDS/IPSなど）のデプロイと管理を容易にするサービスです。GENEVEプロトコルを使用してパケットをカプセル化し、トラフィックを検査用アプライアンスへ透過的に転送します。ネットワーク全体のセキュリティ検査を集約し、可用性とスケーラビリティを向上させるネットワーク設計で活用されます。
BGP (Border Gateway Protocol) AWS Direct ConnectやSite-to-Site VPNで動的ルーティングを行うために使用される標準的なルーティングプロトコルです。ASパスやコミュニティタグを使用して、最適な経路の選択やトラフィックの制御を行います。ANS試験では、パスプリペンドによる優先経路の設定や、ルートの集約、冗長化構成におけるフェイルオーバー設計の知識が求められます。
AWS Resource Access Manager (RAM) AWSアカウント間でリソースを安全に共有するためのサービスです。Transit Gatewayや共有サブネット、Route 53 Resolverルールなどのネットワークリソースを、AWS Organizations内の他アカウントと共有できます。これにより、中央のネットワークアカウントでインフラを一元管理しつつ、各開発アカウントにネットワーク環境を安全に提供する設計が可能になります。 AWS Certified Advanced Networking – Specialty (ANS-C01)の対策はアプリで AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
