AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. ネットワークACLはインスタンスにアタッチして使用するリソースであり、複数のサブネットに同時に関連付けることはできない

説明が逆です。インスタンス（ENI）にアタッチするのはセキュリティグループであり、ネットワーク ACL はサブネットに関連付けるリソースです。
さらに、1 つのネットワーク ACL は同じ VPC 内の複数のサブネットに同時に関連付けられます（逆に 1 つのサブネットが関連付けられる ACL は 1 つだけ）。前半・後半とも誤りです。

正解

B. セキュリティグループはインスタンス（ENI）単位で適用されるのに対し、ネットワークACLはサブネットの境界に適用される

正しい記述です。セキュリティグループはENI（インスタンス）単位で適用される「インスタンスの前に立つファイアウォール」、ネットワーク ACL はサブネットの境界で出入りするトラフィックを制御する「サブネットの門番」です。
そのため、同じサブネット内のインスタンス同士の通信はネットワーク ACL では制御できず、セキュリティグループで制御することになります。適用範囲の違いは両者を使い分ける際の最重要ポイントです。

C. セキュリティグループはステートレスであるため、インバウンドで通信を許可してもアウトバウンドの応答通信は自動的には許可されない

ステートフルとステートレスが逆です。セキュリティグループはステートフルで、インバウンドで許可した通信の戻り（応答）はアウトバウンドルールに関係なく自動的に許可されます。
ステートレスなのはネットワーク ACL のほうで、こちらは戻りの通信用にエフェメラルポート（1024〜65535 など）のルールを別途明示的に許可する必要があります。

正解

D. ネットワークACLは許可ルールと拒否ルールの両方を明示的に設定できるが、セキュリティグループは許可ルールしか設定できない

正しい記述です。ネットワーク ACL はルール番号ごとに ALLOW / DENY を明示的に指定できるため、「特定の IP アドレスだけをブロックする」といった制御が可能です。
一方、セキュリティグループは許可（Allow）ルールしか書けず、拒否ルールは存在しません。ルールに書かれていない通信がすべて暗黙的に拒否される仕組みです。「特定の IP を拒否したい」という要件でネットワーク ACL が選ばれる根拠になります。

E. セキュリティグループはネットワークACLと同様に、番号の小さいルールから順に評価し最初に一致したルールを適用する

ルールの評価方式が逆です。番号の小さいルールから順に評価し、最初に一致したルールを適用するのはネットワーク ACL の動作です。
セキュリティグループにはルール番号による優先順位がなく、すべてのルールを評価して、いずれか 1 つでも一致すれば許可されます（拒否ルールが無いため順序が意味を持ちません）。

構成図

インターネット
   │
   ▼
[サブネット境界] ネットワーク ACL（許可＋拒否・番号順・ステートレス）
   │
   ▼
[ENI 単位] セキュリティグループ（許可のみ・全ルール評価・ステートフル）
   │
   ▼
Amazon EC2 インスタンス

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
適用範囲（どこに効くのか）を問う記述	セキュリティグループは ENI 単位、ネットワーク ACL はサブネット単位。この対応が正しいのは B、逆になっているのが A →選択肢（B）が正解 / 選択肢（A）を消す
ネットワーク ACL とサブネットの関係	1 つの ACL を複数サブネットに関連付けることは可能。「できない」と書いた時点で誤り →選択肢（A）を消す
戻り（応答）通信の扱い＝ステートフル性	セキュリティグループはステートフルで応答は自動許可。ステートレスなのはネットワーク ACL →選択肢（C）を消す
特定の通信を「拒否」できるか	拒否ルールを書けるのはネットワーク ACL だけ。セキュリティグループは許可ルールのみ →選択肢（D）が正解
ルールの評価順序	番号順に評価して最初の一致を適用するのはネットワーク ACL。セキュリティグループは全ルールを評価 →選択肢（E）を消す

ひっかけポイント

• 選択肢 A・C・E はいずれもセキュリティグループとネットワーク ACL の性質を入れ替えただけの記述。主語がどちらなのかを最初に確認する癖をつける
• 「ステートレス」という語感からセキュリティグループのほうが単純＝ステートレスだと思い込むのが典型的な誤り。応答が自動で返るのがセキュリティグループ
• ネットワーク ACL の番号順・最初に一致したルールを適用という特徴は、選択肢 E のようにセキュリティグループ側の説明として紛れ込ませられやすい
• 「2 つ選べ」の問題では正しい記述を 2 つ探すのか誤りを 2 つ探すのかを取り違えやすい。本問は「正しいもの」を 2 つ選ぶ

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「特定の IP アドレスからのアクセスをブロックしたい」	拒否ルールを書けるネットワーク ACL が正解に。
「同じサブネット内のインスタンス間の通信を制御したい」	サブネット境界では効かないためセキュリティグループが正解に。
「セキュリティグループのデフォルト設定はどうなっているか」	インバウンドはすべて拒否・アウトバウンドはすべて許可が論点に変わる。
「ネットワーク ACL で戻りの通信が届かない原因は」	エフェメラルポートの許可漏れ（ステートレスゆえ）が正解に。
「複数アカウント・複数 VPC のトラフィックをまとめて防御したい」	AWS Network Firewall や AWS WAF が正解軸に変わる。

関連サービスの解説

Amazon EC2
Amazon VPC