AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

データエンジニア-アソシエイト

正解 D問題

分野4：データセキュリティとガバナンス分野3：データ運用とサポートタスクステートメント4.1：認証メカニズムの適用タスクステートメント3.3：データパイプラインの保守とモニタリング

1 2 3 4

次の問題前の問題

問題文と選択肢

ある小売企業は、販売トランザクションデータを東京リージョン (ap-northeast-1) の Amazon Redshift クラスターに格納し、変換済みデータをもとに四半期プロモーションの効果を可視化するダッシュボードを構築しようとしています。なお、この Redshift クラスターはパブリックアクセス可能な設定で運用されています。シンガポールの海外事業チームは ap-southeast-1 リージョンで Amazon QuickSight をセットアップしましたが、東京リージョンの Redshift クラスターに接続できず、データソースの取得に失敗しています。

この接続問題を解消する方法として最も適切なものはどれですか。

Redshift クラスターの VPC 内に、ap-southeast-1 リージョンの QuickSight から到達可能な VPC 接続 (ENI ベース) を作成する
Redshift の自動スナップショットを毎晩 ap-southeast-1 リージョンへコピーし、同リージョンでクラスターを復元した上で、シンガポールの QuickSight をその復元済みクラスターに接続する
Redshift から UNLOAD コマンドで毎晩 Amazon S3 へデータをエクスポートし、シンガポールの QuickSight からは Amazon Athena 経由でその S3 データを参照する
東京リージョンの Redshift クラスターに新しいセキュリティグループを設定し、ap-southeast-1 リージョンの QuickSight サーバーが使用する CIDR アドレス範囲からのインバウンドアクセスを許可する

解説頻出度★★★★★

この問題は、「パブリックアクセス可能な Redshift クラスター × 別リージョンの QuickSight から接続できない」という状況で、QuickSight がデータソース接続に使うリージョン固有の IP アドレス範囲をセキュリティグループで許可するという定石を思い出せるかがポイント

A. Redshift クラスターの VPC 内に、ap-southeast-1 リージョンの QuickSight から到達可能な VPC 接続 (ENI ベース) を作成する

Amazon QuickSight の VPC 接続は、QuickSight アカウントと同じリージョン内の VPC・サブネット・セキュリティグループを指定して作成するものです。ap-southeast-1 の QuickSight から ap-northeast-1 の VPC を直接指定して接続を作ることはできません。
そもそも本問のクラスターはパブリックアクセス可能な設定で運用されているため、プライベート接続用の ENI を用意する必要もありません。
リージョンをまたぐ前提が成立しない、実現不可能な選択肢です。

B. Redshift の自動スナップショットを毎晩 ap-southeast-1 リージョンへコピーし、同リージョンでクラスターを復元した上で、シンガポールの QuickSight をその復元済みクラスターに接続する

スナップショットをコピーして別リージョンにクラスターを復元すれば接続はできますが、クラスターが二重になり費用も運用も倍増します。
さらにデータは毎晩のコピー時点のものになるため、ダッシュボードは常に最大1日遅れになります。
「接続問題を解消する方法」として求められている対処に対し、明らかに過剰かつ副作用の大きい選択肢です。

C. Redshift から UNLOAD コマンドで毎晩 Amazon S3 へデータをエクスポートし、シンガポールの QuickSight からは Amazon Athena 経由でその S3 データを参照する

UNLOAD で Amazon S3 に書き出し、Amazon Athena から参照する構成自体は成立します。しかしデータパイプラインを1本増やす大掛かりな設計変更であり、接続できない原因を取り除く対処にはなっていません。
毎晩のエクスポートに依存するためデータの鮮度も落ち、変換済みデータを Redshift 上で参照したいという当初の狙いから外れます。
Redshift をやめて S3 とAthena に寄せる要件が別途あるなら有効ですが、本問の判断軸では最適ではありません。

正解

D. 東京リージョンの Redshift クラスターに新しいセキュリティグループを設定し、ap-southeast-1 リージョンの QuickSight サーバーが使用する CIDR アドレス範囲からのインバウンドアクセスを許可する

QuickSight はリージョンごとに、データソースへ接続する際の送信元 IP アドレス範囲（CIDR）が公開されています。パブリックアクセス可能なデータストアに接続する場合は、その範囲からのインバウンドをファイアウォールやセキュリティグループで許可するのが AWS の定めた手順です。
本問では QuickSight が ap-southeast-1 にあるため、東京リージョンの Redshift クラスターのセキュリティグループで ap-southeast-1 の QuickSight の IP 範囲から Redshift のポート（既定5439）へのインバウンドを許可すれば接続できるようになります。
クラスターの複製もデータの再配置も不要で、接続できない原因そのものを最小の変更で取り除ける、最も適切な対処です。

これだけ覚える（記憶フック）
QuickSight がつながらない＝まずセキュリティグループ。パブリックなデータストアなら QuickSight のリージョン別 IP 範囲を許可する。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
Redshift クラスターはパブリックアクセス可能な設定	経路はインターネット側にあるため、必要なのはファイアウォール（セキュリティグループ）の許可。プライベート接続の作り込みは不要 →選択肢（D）が正解
QuickSight は ap-southeast-1、Redshift は ap-northeast-1	QuickSight の VPC 接続は同一リージョンの VPC にしか作成できない →選択肢（A）を消す
データソースの取得に失敗している（接続そのものが不成立）	QuickSight のリージョン別 IP 範囲を許可するのが公式の手順。原因に直接効く対処を選ぶ →選択肢（D）が正解
四半期プロモーションの効果を可視化したい（既存の変換済みデータを使う）	クラスター複製やエクスポートはデータの鮮度低下とコスト増を招く回避策にすぎない →選択肢（B・C）を消す

ひっかけポイント

「リージョンが違う＝VPC 接続で解決」と考えてしまうのが選択肢 A の罠。QuickSight の VPC 接続は同一リージョン限定で、しかも相手はパブリックアクセス可能なクラスター
選択肢 B・C は技術的には動くが、接続問題の解決ではなくアーキテクチャの作り直し。設問が「接続問題を解消する方法」と限定している点を読み落とさない
許可すべきなのはQuickSight が置かれているリージョン（ap-southeast-1）の IP 範囲であって、Redshift 側リージョンの範囲ではない
QuickSight の IP 範囲はリージョンごとに公開されている固定の CIDR。「どこからの通信を許可するか」を調べれば解ける典型的な設定ミス問題

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「Redshift クラスターはプライベートサブネットに配置されている（同一リージョン）」	QuickSight の VPC 接続（ENI ベース）を作成するのが正解軸に。
「接続はできるがダッシュボードの表示が遅い」	SPICE へのインポートと更新スケジュールの設計が正解軸に。
「そもそもRedshift を常時稼働させたくない」	S3 + Athena（または Redshift Serverless）が正解軸に（選択肢 C の構成が正解に浮上）。
「災害対策として別リージョンにも同じ分析環境が必要」	スナップショットのクロスリージョンコピーが正解軸に（選択肢 B の構成が正解に浮上）。
「特定のユーザーにだけ行レベルで見せるデータを制限したい」	QuickSight の行レベルセキュリティ (RLS) が問われる形に変わる。

AWS認定資格 WEB問題集＆徹底解説
会員登録/ログイン

A. Redshift クラスターの VPC 内に、ap-southeast-1 リージョンの QuickSight から到達可能な VPC 接続 (ENI ベース) を作成する

B. Redshift の自動スナップショットを毎晩 ap-southeast-1 リージョンへコピーし、同リージョンでクラスターを復元した上で、シンガポールの QuickSight をその復元済みクラスターに接続する

C. Redshift から UNLOAD コマンドで毎晩 Amazon S3 へデータをエクスポートし、シンガポールの QuickSight からは Amazon Athena 経由でその S3 データを参照する

D. 東京リージョンの Redshift クラスターに新しいセキュリティグループを設定し、ap-southeast-1 リージョンの QuickSight サーバーが使用する CIDR アドレス範囲からのインバウンドアクセスを許可する

次の問題 前の問題

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報