ホーム ›
対応資格一覧 ›
IT・情報処理 › AWS Certified Advanced Networking – Specialty (ANS-C01) 出題範囲（4分野） Domain 3: Network Management and Operations75問 Domain 4: Network Security, Compliance, and Governance80問 Domain 1: Network Design80問 Domain 2: Network Implementation85問 AWS Certified Advanced Networking – Specialty (ANS-C01)の例題（6問・解説つき） スキルサートのAIが出題範囲に沿って作成した演習問題です（過去問ではありません）。アプリでは毎週新しい問題が追加されます。
例題1Domain 3: Network Management and Operations 大規模なエンタープライズ企業が、AWS Organizationsを使用して数百のAWSアカウントを管理しています。ネットワークチームは、組織全体のすべてのVPCにおけるIPアドレスの割り当てを一元的に管理し、IPアドレスの重複を回避するとともに、利用状況をリアルタイムで監視するソリューションを求めています。管理のオーバーヘッドを最小限に抑えつつ、これを実現するために最適な構成はどれですか。
AWS Transit Gatewayのネットワークマネージャーを使用して、すべてのVPCのルートテーブルを監視し、手動でIPアドレス帳を更新する。 各アカウントでカスタムのAWS Configルールを作成し、VPCのCIDR範囲を収集して中央のS3バケットに集約する。 Amazon DynamoDBを使用してカスタムのIP管理データベースを構築し、Lambda関数を使用して新しいVPCの作成時に重複をチェックする。 VPC Flow LogsをCloudWatch Logsに集約し、独自に作成したダッシュボードを使用して割り当てられたIP範囲を可視化する。 AWS IPAMを管理アカウントまたは委任された管理者アカウントで構成し、AWS Resource Access Manager (RAM) を使用してプールを組織全体で共有する。 解答と解説を見る 正解: AWS IPAMを管理アカウントまたは委任された管理者アカウントで構成し、AWS Resource Access Manager (RAM) を使用してプールを組織全体で共有する。
正解は「AWS IPAMを管理アカウントまたは委任された管理者アカウントで構成し、AWS Resource Access Manager (RAM) を使用してプールを組織全体で共有する。」です。AWS IPAM（Amazon VPC IP Address Manager）は、AWS Organizationsと統合されており、組織全体のIPアドレス空間の計画、追跡、および監視を自動化するために設計されています。IPAMを使用すると、階層構造のIPプールを定義でき、RAMを介して共有することで、各アカウントが中央で定義されたポリシーに従って自動的にIPをプロビジョニングできます。これにより、手動管理やカスタムスクリプトによるオーバーヘッドを排除し、IPの重複を確実に防止できます。他の選択肢、例えばAWS ConfigやVPC Flow Logsを使用した手法は、受動的な監視や後からの検出には役立つ可能性がありますが、プロアクティブな割り当て管理や重複防止をネイティブに解決するものではありません。
例題2Domain 4: Network Security, Compliance, and Governance 大規模な組織で、AWS Organizationsを使用しています。セキュリティ管理者は、全アカウントの複数のVPCにおいて、特定のドメイン名に対する外部へのトラフィックのみを許可し、それ以外のトラフィックをブロックする集中管理型のソリューションを求めています。管理のオーバーヘッドを最小限に抑えつつ、一貫したセキュリティルールを適用するための最も適切な構成はどれですか。
各VPCにAWS Network Firewallをデプロイし、個別にドメインリストを含むステートフルルールグループを作成し、各アカウントで手動でメンテナンスを行う。 各VPCのDNSクエリを監視するためにAmazon Route 53 Resolver DNS Firewallを構成し、各アカウントで共有のドメインリストを手動で同期する。 AWS WAFを使用して、アウトバウンドトラフィックをフィルタリングするためのカスタムルールを作成し、AWS Firewall Managerを介して各VPCのNATゲートウェイに適用する。 AWS Firewall Managerを使用して、AWS Network Firewallポリシーを作成する。ポリシー内でドメインリストを含む共通のステートフルルールグループを定義し、組織全体の対象VPCに自動的に適用する。 送信先ドメインを制御するために、すべてのVPCトラフィックを中央の検査用VPCにルーティングし、各VPCのNetwork ACLを使用してドメインベースのフィルタリングを行う。 解答と解説を見る 正解: AWS Firewall Managerを使用して、AWS Network Firewallポリシーを作成する。ポリシー内でドメインリストを含む共通のステートフルルールグループを定義し、組織全体の対象VPCに自動的に適用する。
正解は『AWS Firewall Managerを使用して、AWS Network Firewallポリシーを作成する。ポリシー内でドメインリストを含む共通のステートフルルールグループを定義し、組織全体の対象VPCに自動的に適用する。』です。AWS Firewall Managerを利用することで、AWS Organizations内の複数のアカウントやVPCに対して、AWS Network Firewallのルールを一元的にデプロイおよび管理できます。Network Firewallのステートフルルールグループでは、FQDN（完全修飾ドメイン名）ベースのフィルタリングがサポートされており、指定したドメイン以外へのトラフィックを効率的に遮断できます。この方法は管理オーバーヘッドを最小化し、一貫性を確保するのに最適です。Network ACLはIPアドレスベースの制御のみであり、ドメイン指定はできません。また、AWS WAFは主にL7のインバウンド保護に使用され、VPC全体のアウトバウンド・ドメインフィルタリングには適しません。
例題3Domain 1: Network Design ある企業が、オンプレミスのデータセンターと AWS 上の複数の VPC（異なるリージョンにまたがる）を接続しようとしています。高帯域幅の低レイテンシー接続が必要であり、かつ Direct Connect が故障した場合の自動フェイルオーバーを VPN 経由で実現したいと考えています。最もスケーラブルで運用効率の高い構成はどれですか。
Public VIF を使用して Transit Gateway に接続し、IPsec VPN をその上で実行する。 Direct Connect Gateway を使用し、Transit VIF を介して Transit Gateway に接続。バックアップとして、Transit Gateway に対して Site-to-Site VPN を構築し、BGP を使用して経路を制御する。 Transit Gateway ピアリングを使用し、Direct Connect 接続を持つ特定の VPC をハブとして全トラフィックをルーティングする。 Direct Connect Gateway を使用し、Transit VIF を介して Transit Gateway に接続。バックアップとして、各 VPC に個別の VPN 接続を作成。 各リージョンに Direct Connect 接続を直接確立し、Private VIF を使用して VPC ピアリングで全 VPC を接続。 解答と解説を見る 正解: Direct Connect Gateway を使用し、Transit VIF を介して Transit Gateway に接続。バックアップとして、Transit Gateway に対して Site-to-Site VPN を構築し、BGP を使用して経路を制御する。
正解は『Direct Connect Gateway を使用し、Transit VIF を介して Transit Gateway に接続。バックアップとして、Transit Gateway に対して Site-to-Site VPN を構築し、BGP を使用して経路を制御する。』です。Transit Gateway (TGW) を利用することで、数千の VPC やオンプレミス環境を効率的に相互接続できます。Direct Connect の Transit VIF を Direct Connect Gateway に接続して TGW と関連付けることで、マルチリージョンへのスケーラブルな接続が可能です。バックアップとして同一の TGW に VPN を接続し、BGP を用いて Direct Connect の経路を優先（AS PATH プリペンド等）させる構成が、運用負荷を最小限にしつつ冗長性を確保する最適解です。
例題4Domain 2: Network Implementation ある企業は、2つのダイレクトコネクト（DX）ロケーションを介してAWSとオンプレミス環境を接続しています。プライマリ接続とセカンダリ接続の冗長構成をとっており、AWSからオンプレミスへのインバウンドトラフィックにおいて、特定のパスを優先させたいと考えています。オンプレミスのルーター側で設定を変更することで、AWSからのトラフィック制御を行うために最も適切なBGP属性はどれですか。
AS PATH 属性の付加 BGP Weight 属性の変更 Local Preference 属性の調整 コミュニティタグ「7224:7300」の付与 MED (Multi-Exit Discriminator) の最大化 解答と解説を見る 正解: AS PATH 属性の付加
正解は『AS PATH 属性の付加』です。AWSからオンプレミスへのトラフィック（AWS側からのアウトバウンド）を制御する場合、オンプレミス側のルーターからAWSへルートを広告する際にAS PATH Prepending（AS PATHの付加）を使用することで、AWS側でのパス選択に影響を与えることができます。AS PATHが短いルートが優先されるため、セカンダリ接続側のパスに自身のAS番号を複数回付加して広告することで、プライマリ接続を優先させることが可能です。Local Preferenceは自身のAS内での優先度を決定するものであり、他のAS（この場合はAWS）からの流入制御には適しません。また、MEDも利用可能ですが、AS PATHの方がより一般的かつ確実に複数のロケーションにまたがる制御を行えます。Weightはシスコ独自の属性であり、ローカルルーター内でのみ有効です。コミュニティタグによる制御も可能ですが、標準的なBGPの動作としてAS PATHの操作が最も基本的かつ適切なアプローチとなります。
例題5Domain 3: Network Management and Operations ある企業は、特定のAmazon EC2インスタンスに対するすべての不審なUDPトラフィックを詳細に分析する必要があります。セキュリティ要件として、パケットのペイロードを検査するためのサードパーティ製の侵入検知システム（IDS）への転送が求められています。インスタンスのパフォーマンスへの影響を最小限に抑え、かつエージェントレスでこれを実現する方法はどれですか。
VPC Flow Logsを有効にし、ログの形式を拡張してペイロード情報を含めるように設定する。 VPC Traffic Mirroringを構成し、対象のENIをソースとして、UDPトラフィックをフィルタリングしてIDSに送信する。 EC2インスタンスにエージェントをインストールし、すべてのトラフィックをIDSに転送するように設定する。 Gateway Load Balancer（GWLB）を配置し、すべてのトラフィックをインラインで検査するようルートテーブルを変更する。 AWS WAFをVPCのインターフェイスエンドポイントにデプロイし、UDPパケットの内容をスキャンする。 解答と解説を見る 正解: VPC Traffic Mirroringを構成し、対象のENIをソースとして、UDPトラフィックをフィルタリングしてIDSに送信する。
正解は「VPC Traffic Mirroringを構成し、対象のENIをソースとして、UDPトラフィックをフィルタリングしてIDSに送信する。」です。VPC Traffic Mirroringは、ネットワークインターフェイス（ENI）からのトラフィックを複製して、帯域外で分析を行うためのネイティブな機能です。エージェントレスであり、ソースインスタンスのCPUリソースを消費せずにトラフィックをキャプチャできます。ミラーフィルタを設定することで、特定のプロトコル（この場合はUDP）のみをターゲットに送信するように制御可能です。VPC Flow Logsはメタデータのみを記録するため、ペイロードの検査には適していません。また、AWS WAFはレイヤー7（HTTP/HTTPS）のトラフィックを対象とするため、UDPのパケット検査には使用できません。Gateway Load Balancerはインラインでの検査を提供しますが、ルートテーブルの変更が必要であり、既存のトラフィックフローへの影響が大きいため、このシナリオの要件にはTraffic Mirroringが最適です。
例題6Domain 4: Network Security, Compliance, and Governance ある企業が、コンプライアンス要件を満たすために、特定のEC2インスタンス間のUDPポート53（DNS）トラフィックを詳細に分析する必要があります。ネットワークエンジニアは、パケットキャプチャを実行するためにVPC Traffic Mirroringを導入することにしました。ターゲットとなる分析ツールへの負荷を軽減しつつ、必要なトラフィックのみをミラーリングするための正しい設定はどれですか。
トラフィックミラーターゲットとしてNetwork Load Balancerを指定し、UDPポート53のトラフィックのみを許可するセキュリティグループをターゲットに適用する。 トラフィックミラーフィルタを作成し、アウトバウンドとインバウンドの両方のルールで、プロトコル17（UDP）およびポート53をソースまたは宛先として指定するルールを追加する。 トラフィックミラーターゲットにAmazon S3バケットを指定し、特定のポートトラフィックのみが保存されるようにS3バケットポリシーを構成する。 トラフィックミラーセッションで、フィルターを適用せずにすべてのトラフィックをミラーリングし、分析ツール側で特定のポートをフィルタリングするよう設定する。 VPC Flow Logsを有効にし、プロトコル17およびポート53のログのみを抽出して、リアルタイムでパケット内容を分析する。 解答と解説を見る 正解: トラフィックミラーフィルタを作成し、アウトバウンドとインバウンドの両方のルールで、プロトコル17（UDP）およびポート53をソースまたは宛先として指定するルールを追加する。
正解は『トラフィックミラーフィルタを作成し、アウトバウンドとインバウンドの両方のルールで、プロトコル17（UDP）およびポート53をソースまたは宛先として指定するルールを追加する。』です。VPC Traffic Mirroringでは、トラフィックミラーフィルタを使用して、どのトラフィックをミラーリングするかを選択（包含または除外）できます。UDPはプロトコル番号17であり、DNSトラフィック（ポート53）を特定するためには、フィルタールールでこれらを明示的に指定する必要があります。これにより、分析ターゲットに送られる不要なデータを削減し、コストと負荷を最適化できます。セキュリティグループはインスタンスへのアクセス制御用であり、ミラーリングのフィルタリングには使用されません。また、VPC Flow Logsはパケットのペイロードを含まないため、詳細なパケット分析には不十分です。
AWS Certified Advanced Networking – Specialty (ANS-C01)の重要用語
VPC Flow Logs VPC内のインターフェースを行き来するIPトラフィックの情報をキャプチャする機能です。通信の送信元、送信先、ポート番号、プロトコル、アクション（許可/拒否）などを記録します。ネットワークのトラブルシューティングや不審なトラフィックの検出、セキュリティグループルールの検証に不可欠なツールであり、CloudWatch LogsやS3に保存して詳細な分析を行うことが可能です。
AWS Network Firewall VPC全体を保護するマネージドなステートフルファイアウォールサービスです。レイヤー3からレイヤー7までのトラフィックフィルタリングをサポートし、カスタムルールやドメインリストに基づいた詳細な通信制御が可能です。IDS/IPS（侵入検知・防止）機能も備えており、インターネット境界やVPC間通信のセキュリティ強化に利用されます。マネージド型のため、可用性や拡張性をAWS側で管理できるのが利点です。
Amazon VPC AWSクラウド内に論理的に隔離されたネットワーク環境を構築するサービスです。IPアドレス範囲の設定、サブネットの作成、ルートテーブルやネットワークゲートウェイの構成を自由に行えます。ANS試験においては、複数アカウント間の接続やオンプレミスとのハイブリッド構成を実現するための基盤として、最も重要な設計要素となります。
Transit Gateway (TGW) 複数のVPCやオンプレミスネットワークを中央ハブ経由で相互接続するマネージド型サービスです。従来のVPCピアリングによるメッシュ状の複雑な構成を簡素化し、ルートテーブルによる一元的なルーティング管理を可能にします。スケーラビリティに優れ、クロスアカウント接続やマルチリージョン接続もサポートしており、大規模なネットワークの実装に不可欠なコンポーネントです。
Reachability Analyzer VPC内の2つのエンドポイント間、またはTransit Gatewayを介した接続性を、実際のパケットを送信することなく論理的に検証するツールです。構成エラー（セキュリティグループやルートテーブルの設定ミスなど）を特定するのに役立ちます。パスの到達可能性を確認し、到達できない場合はその原因となるコンポーネントを具体的に提示するため、迅速な問題解決が可能です。
AWS Firewall Manager AWS Organizations内の複数アカウントやVPCに対して、セキュリティルールを一元管理・自動適用するサービスです。AWS Network Firewall、AWS WAF、AWS Shield Advancedなどのポリシーを統合管理し、新しく作成されたリソースにも自動でルールを適用できます。組織全体のコンプライアンスを一貫して維持し、セキュリティ設定の漏れを防ぐために不可欠な管理ツールです。
AWS Transit Gateway 複数のVPCやオンプレミスネットワークをハブアンドスポーク型で相互接続する中央管理型のゲートウェイです。数千のVPC接続を簡素化し、複雑なピアリング関係を解消します。ルーティングの集中管理や推移的ルーティングをサポートしており、大規模なエンタープライズネットワーク設計において、スケーラビリティを確保するために必須のコンポーネントです。
Direct Connect Gateway (DXGW) AWS Direct Connect接続を使用して、複数のリージョンにあるVPCやTransit Gatewayへ接続するためのグローバルなリソースです。これを利用することで、1つの仮想インターフェイス(VIF)から異なるリージョンの複数のVPCにアクセスが可能になります。地理的に離れた拠点を効率的に接続し、トラフィックの冗長性と低遅延なネットワーク実装を実現するために重要な役割を果たします。 よくある質問
AWS Certified Advanced Networking – Specialty (ANS-C01)の問題はスキルサートで何問解けますか？ 全320問・4分野の問題を用意しています。問題は出題範囲に沿って随時追加しています。
無料で使えますか？ 無料プランで週10回の演習（1回10問）と、毎日の「今日の1問」を利用できます。解説を読み、わからない点はAIに質問できます。
ここの問題は過去問ですか？ 過去問ではありません。出題範囲に沿ってAIが作成した演習問題です。すべて解説つきで、間違えた問題は繰り返し解けます。 AWS Certified Advanced Networking – Specialty (ANS-C01)の対策はアプリで AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
