AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. パブリックサブネットにNATゲートウェイを配置し、Amazon S3のパブリックエンドポイント経由でアクセスする

NAT ゲートウェイはインターネットゲートウェイを前提とする仕組みで、S3 のパブリックエンドポイント宛に出ていく通信になる。
「VPC のインターネットアクセスを無効にする」というセキュリティガイドラインに真っ向から反し、要件違反。
加えて NAT ゲートウェイは時間課金＋データ処理課金が発生し、追加料金なしのゲートウェイエンドポイントと比べてコスト面でも不利。

正解

B. Amazon S3へのVPCエンドポイント（Gatewayエンドポイント）を作成する

Amazon S3 用のゲートウェイ型 VPC エンドポイントを作成し、サブネットのルートテーブルに S3 宛のルートを追加すれば、VPC 内の SageMaker からAWS のネットワーク内だけで S3 に到達できる。
インターネットゲートウェイも NAT も Elastic IP も不要で、トラフィックが公開インターネットに出ない。SageMaker の公式ドキュメントでも「インターネットにアクセスできない VPC 設定では、VPC エンドポイントを作成しないとモデルコンテナは S3 に接続できない」と明記されている。
さらにエンドポイントポリシーで特定バケットのみ許可する絞り込みもでき、機密データ要件にも合致する、唯一の正解。

C. SageMakerノートブックインスタンスにElastic IPアドレスを割り当てる

Elastic IP はパブリック IP アドレスであり、割り当てるということはインターネット経由の通信を前提にすること。
インターネットアクセスを無効化した VPC という前提に反し、機密データを公開インターネットにさらすリスクを持ち込む。
そもそも S3 への到達手段としても不要で、要件を満たさない。

D. SageMakerモデルにインターネットゲートウェイをアタッチする

インターネットゲートウェイをアタッチすれば S3 のパブリックエンドポイントには到達できるが、VPC をインターネットに開くことになり、セキュリティガイドライン違反。
「インターネットアクセス無効」という制約を読み落とすと選んでしまう典型的な誤答。
この要件下で S3 に到達する正しい手段は VPC エンドポイントである。

構成図

Amazon SageMaker（VPC 内・インターネットアクセス無効）
   │ サブネットのルートテーブル（S3 プレフィックスリスト宛）
   ▼
S3 ゲートウェイ型 VPC エンドポイント ──AWS ネットワーク内で完結──▶ Amazon S3

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
VPC はインターネットアクセスが無効（セキュリティガイドライン）	インターネットゲートウェイ・NAT・Elastic IP を使う案はすべて前提違反。この一文だけで 3 つ消せる →選択肢（A・C・D）を消す
SageMaker モデルが Amazon S3 のデータを定期的に読み取る	S3 は VPC 外のサービス。VPC 内から到達するにはインターネット経由か VPC エンドポイント経由の二択 →選択肢（B）は候補
トラフィックを公開インターネットにさらさない	ゲートウェイ型 VPC エンドポイントならルートテーブル経由で AWS ネットワーク内に閉じる →選択肢（B）が正解
機密の顧客データを扱う（最小権限）	エンドポイントポリシー＋バケットポリシーで特定バケット・特定 VPC からのアクセスのみに限定できる →選択肢（B）が正解

ひっかけポイント

• NAT ゲートウェイは「プライベートサブネットから外部へ安全に出る」定番構成なので選びたくなるが、NAT はインターネットゲートウェイが前提。「インターネットアクセス無効」の VPC では成立しない
• S3 はゲートウェイ型エンドポイント（ルートテーブルに追加・追加料金なし）。インターフェイス型（PrivateLink・ENI・時間課金）とセットで問われることが多いので違いを押さえる
• Elastic IP・インターネットゲートウェイは「S3 に届く」点では機能するが、要件が禁じている経路。届くかどうかではなくどの経路を通るかで判断する
• 「IAM ポリシーで守るから安全」という論法は、ネットワーク経路の要件（公開インターネットを通さない）を満たさない。認可とネットワーク境界は別の話

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「S3 ではなく Amazon Bedrock や SageMaker API にプライベート接続したい」	インターフェイス型 VPC エンドポイント（AWS PrivateLink）が正解に変わる。
「VPC 内からインターネット上のパッケージリポジトリにアクセスしたい」	NAT ゲートウェイが正解軸に（インターネットアクセスが許可される前提の場合）。
「S3 バケットへのアクセスを特定の VPC からのみに限定したい」	バケットポリシーの aws:SourceVpce / aws:SourceVpc 条件が正解軸に。
「オンプレミスから S3 にプライベート接続したい」	AWS Direct Connect ＋ インターフェイスエンドポイントの構成が問われる。
「保存データを自社管理のキーで暗号化したい」	AWS KMS（カスタマー管理キー）による SSE-KMS が正解軸に。

関連サービスの解説

Amazon SageMaker
Amazon Simple Storage Service (Amazon S3)

リファレンス

この問題を解くために必要な知識を扱う公式ドキュメントです。

知識項目	公式ドキュメント
インターネットアクセス無効の VPC から SageMaker が S3 に接続する方法	Amazon VPC のリソースへのアクセス権を SageMaker AI のホストされたエンドポイントに付与する - Amazon SageMaker AI