AWS認定資格 WEB問題集＆徹底解説

ソリューションアーキテクト – アソシエイト

正解 A問題
要復習（もう一度解きたい問題） 1 2 3 4
次の問題前の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAWSサービス解説を、24時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
ある企業では、複数のAWSアカウントと複数のリージョンにまたがる30個以上のVPCが存在しており、各VPC内にプライベートサブネットが配置されています。現在、これらのVPC間での通信は行われていませんが、新たなビジネス要件により、すべてのプライベートサブネット間で相互に通信できるようにする必要があります。ネットワーク設計は運用負荷が低く、推移的ルーティングに対応し、将来的なVPCの追加にも柔軟に対応できる構成を採用する必要があります。この要件を満たすために最も適切なソリューションはどれですか。
  • 各リージョンにAWS Transit Gatewayを作成し、Transit Gateway間をピアリング接続で結び、AWS RAMを使用してアカウント間で共有する
  • すべてのVPC間でVPCピアリング接続を確立し、各VPCのルートテーブルに必要な経路情報をすべて追加する
  • 中央ハブとなる専用VPCを作成し、すべてのVPCとの間にAWS Site-to-Site VPN接続を構築してルートテーブルを設定する
  • AWS PrivateLinkを使用してエンドポイントサービスを各VPCに配置し、すべてのVPC間でサービス接続を確立する
解説 頻出度★★★★★
この問題は、「30個以上のVPC × 複数リージョン × 推移的ルーティング × 将来の追加に柔軟」の要件で、AWS Transit Gateway（＋リージョン間ピアリング、RAM で共有）を選べるかがポイント
正解

A. 各リージョンにAWS Transit Gatewayを作成し、Transit Gateway間をピアリング接続で結び、AWS RAMを使用してアカウント間で共有する

AWS Transit Gateway は VPC・VPN・Direct Connect を集約するハブ（クラウドルーター）であり、アタッチされたVPC 同士の推移的ルーティングを標準でサポートする。各リージョンに TGW を1つ置き、リージョン間は TGW ピアリングで結べば、複数リージョンにまたがる 30 以上のVPC を単一のハブアンドスポーク構成で相互接続できる。
新しいVPC を追加するときは TGW にアタッチするだけで既存全VPC と通信できるため運用負荷が最小。さらに AWS RAM で TGW を他アカウントに共有すれば、マルチアカウント環境でも一元的なネットワーク管理が可能で、すべての要件を満たす。

B. すべてのVPC間でVPCピアリング接続を確立し、各VPCのルートテーブルに必要な経路情報をすべて追加する

VPC ピアリングは推移的ルーティングをサポートしない（A-B、B-C があっても A-C は通信できない）。全 VPC の相互通信にはフルメッシュが必要で、30 VPC なら 30×29÷2 = 435 本のピアリング接続と、各VPC のルートテーブルへの膨大な経路追加が発生する。
VPC を1つ追加するたびに接続と経路が増え続けるため、「運用負荷が低い」「将来の追加に柔軟」という要件に真っ向から反する。

C. 中央ハブとなる専用VPCを作成し、すべてのVPCとの間にAWS Site-to-Site VPN接続を構築してルートテーブルを設定する

中央ハブVPC に対して各VPC から Site-to-Site VPN を張る構成。VPN は本来オンプレミス等の外部拠点との接続のための手段で、AWS 内部のVPC 間接続にわざわざ使うと、30本超のトンネル管理・IPsec の暗号化オーバーヘッド・トンネルあたり帯域の制約を抱え込む。
実現は不可能ではないが、Transit Gateway に比べて明確に運用負荷・コスト・スケーラビリティで劣るため最適ではない。

D. AWS PrivateLinkを使用してエンドポイントサービスを各VPCに配置し、すべてのVPC間でサービス接続を確立する

AWS PrivateLink（VPC エンドポイントサービス）は、特定のサービス（エンドポイント）への一方向のプライベート接続を公開するための仕組み。公開したサービスへの接続に限定され、サブネット間の任意の双方向通信（ネットワークレベルの相互接続）は提供しない。
「すべてのプライベートサブネット間で相互に通信」という要件には設計思想からして合致しない。

構成図

［リージョンA］ VPC1 / VPC2 / ... ──┐
                                  ├─▶ Transit Gateway A
                                  │        ▲
                                  │        │ TGW 間ピアリング
                                  │        ▼
［リージョンB］ VPC1 / ...      ───┴─▶ Transit Gateway B
   ※ 新規VPCは TGW にアタッチするだけで全体と通信可能
これだけ覚える（記憶フック）
VPC が多数＋推移的ルーティング＝Transit Gateway。VPC ピアリングは推移不可・N×(N-1)/2 で破綻。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
30個以上のVPCをすべて相互接続する 接続数がN×(N-1)/2 に爆発するフルメッシュは非現実的。ハブ型を選ぶ
→選択肢（B）を消す
推移的ルーティングに対応 VPC ピアリングは推移的ルーティング非対応。Transit Gateway は対応
→選択肢（A）は候補
複数のAWSアカウントと複数のリージョンにまたがる リージョン間はTransit Gateway 間のピアリング、アカウント間はAWS RAM による TGW 共有で対応する
→選択肢（A）は候補
すべてのプライベートサブネット間で相互に通信 PrivateLink は公開したサービスへの接続専用で、任意の相互通信はできない
→選択肢（D）を消す
運用負荷が低く、将来のVPC追加にも柔軟 TGW ならアタッチするだけ。VPN トンネル30本超の管理は運用負荷が高い
→選択肢（C）を消す
ひっかけポイント
  • VPC ピアリングの最重要論点は「推移的ルーティング非対応」。この一点で選択肢Bは即消える
  • 「中央ハブVPC＋VPN」はハブ型に見えるが、AWS 内部の接続に VPN を使うのは筋が悪い（トンネル管理・暗号化オーバーヘッド・帯域制約）
  • PrivateLink は「プライベート接続」という語感で選びたくなるが、提供するのはサービス単位のエンドポイントであってVPC 間ネットワークではない
  • 複数アカウントが絡む記述が出たら AWS RAM による TGW 共有がセットで正解になる。本問の選択肢A の「RAM で共有」はこの要件に対応した記述であり、余計な要素ではない
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「接続するVPC が2〜3個だけで、今後も増えない」 VPC ピアリングがシンプルかつ低コストで正解になり得る。
「オンプレミスのデータセンターからすべてのVPC に接続したい」 Direct Connect / Site-to-Site VPN を Transit Gateway に集約する構成が正解軸に。
「特定のSaaS やサービスだけを他VPC に公開したい（IP 重複あり）」 AWS PrivateLink が正解に浮上する。
「リージョン間で低レイテンシ・高帯域の専用接続が欲しい」 TGW ピアリング（AWS バックボーン経由）や Cloud WAN が論点になる。
関連サービスの解説 Amazon VPC
AWS Resource Access Manager (AWS RAM)
AWS Transit Gateway
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 65%
No.14 解説
ある企業では、複数のAWSアカウントと複数のリージョンにまたがる30個以上のVPCが存在しており、各VPC内にプライベートサブネットが配置されています。現在、これらのVPC間での通信は行われていませんが、新たなビジネス要件により、すべてのプライベートサブネット間で相互に通信できるようにする必要があります。ネットワーク設計は運用負荷が低く、推移的ルーティングに対応し、将来的なVPCの追加にも柔軟に対応できる構成を採用する必要があります。この要件を満たすために最も適切なソリューションはどれですか。
  • 各リージョンにAWS Transit Gatewayを作成し、Transit Gateway間をピアリング接続で結び、AWS RAMを使用してアカウント間で共有する
  • すべてのVPC間でVPCピアリング接続を確立し、各VPCのルートテーブルに必要な経路情報をすべて追加する
  • 中央ハブとなる専用VPCを作成し、すべてのVPCとの間にAWS Site-to-Site VPN接続を構築してルートテーブルを設定する
  • AWS PrivateLinkを使用してエンドポイントサービスを各VPCに配置し、すべてのVPC間でサービス接続を確立する

次の問題前の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報