AWS認定資格 WEB問題集＆徹底解説

ソリューションアーキテクト – アソシエイト

正解 A問題
要復習（もう一度解きたい問題） 1 2 3 4
次の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAWSサービス解説を、24時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
ある企業では、複数のAWSアカウントと複数のリージョンにまたがる30個以上のVPCが存在しており、各VPC内にプライベートサブネットが配置されています。現在、これらのVPC間での通信は行われていませんが、新たなビジネス要件により、すべてのプライベートサブネット間で相互に通信できるようにする必要があります。ネットワーク設計は運用負荷が低く、推移的ルーティングに対応し、将来的なVPCの追加にも柔軟に対応できる構成を採用する必要があります。この要件を満たすために最も適切なソリューションはどれですか。
  • 各リージョンにAWS Transit Gatewayを作成し、Transit Gateway間をピアリング接続で結び、AWS RAMを使用してアカウント間で共有する
  • すべてのVPC間でVPCピアリング接続を確立し、各VPCのルートテーブルに必要な経路情報をすべて追加する
  • 中央ハブとなる専用VPCを作成し、すべてのVPCとの間にAWS Site-to-Site VPN接続を構築してルートテーブルを設定する
  • AWS PrivateLinkを使用してエンドポイントサービスを各VPCに配置し、すべてのVPC間でサービス接続を確立する
解説 頻出度★★★★★
この問題は、「30個以上のVPC × 複数リージョン × 推移的ルーティング × 将来の追加に柔軟」の要件で、AWS Transit Gateway（＋リージョン間ピアリング、RAM で共有）を選べるかがポイント
正解

A. 各リージョンにAWS Transit Gatewayを作成し、Transit Gateway間をピアリング接続で結び、AWS RAMを使用してアカウント間で共有する

AWS Transit Gateway は VPC・VPN・Direct Connect を集約するハブ（クラウドルーター）であり、アタッチされたVPC 同士の推移的ルーティングを標準でサポートする。各リージョンに TGW を1つ置き、リージョン間は TGW ピアリングで結べば、複数リージョンにまたがる 30 以上のVPC を単一のハブアンドスポーク構成で相互接続できる。
新しいVPC を追加するときは TGW にアタッチするだけで既存全VPC と通信できるため運用負荷が最小。さらに AWS RAM で TGW を他アカウントに共有すれば、マルチアカウント環境でも一元的なネットワーク管理が可能で、すべての要件を満たす。

B. すべてのVPC間でVPCピアリング接続を確立し、各VPCのルートテーブルに必要な経路情報をすべて追加する

VPC ピアリングは推移的ルーティングをサポートしない（A-B、B-C があっても A-C は通信できない）。全 VPC の相互通信にはフルメッシュが必要で、30 VPC なら 30×29÷2 = 435 本のピアリング接続と、各VPC のルートテーブルへの膨大な経路追加が発生する。
VPC を1つ追加するたびに接続と経路が増え続けるため、「運用負荷が低い」「将来の追加に柔軟」という要件に真っ向から反する。

C. 中央ハブとなる専用VPCを作成し、すべてのVPCとの間にAWS Site-to-Site VPN接続を構築してルートテーブルを設定する

中央ハブVPC に対して各VPC から Site-to-Site VPN を張る構成。VPN は本来オンプレミス等の外部拠点との接続のための手段で、AWS 内部のVPC 間接続にわざわざ使うと、30本超のトンネル管理・IPsec の暗号化オーバーヘッド・トンネルあたり帯域の制約を抱え込む。
実現は不可能ではないが、Transit Gateway に比べて明確に運用負荷・コスト・スケーラビリティで劣るため最適ではない。

D. AWS PrivateLinkを使用してエンドポイントサービスを各VPCに配置し、すべてのVPC間でサービス接続を確立する

AWS PrivateLink（VPC エンドポイントサービス）は、特定のサービス（エンドポイント）への一方向のプライベート接続を公開するための仕組み。公開したサービスへの接続に限定され、サブネット間の任意の双方向通信（ネットワークレベルの相互接続）は提供しない。
「すべてのプライベートサブネット間で相互に通信」という要件には設計思想からして合致しない。

構成図

［リージョンA］ VPC1 / VPC2 / ... ──┐
                                  ├─▶ Transit Gateway A
                                  │        ▲
                                  │        │ TGW 間ピアリング
                                  │        ▼
［リージョンB］ VPC1 / ...      ───┴─▶ Transit Gateway B
   ※ 新規VPCは TGW にアタッチするだけで全体と通信可能
これだけ覚える（記憶フック）
VPC が多数＋推移的ルーティング＝Transit Gateway。VPC ピアリングは推移不可・N×(N-1)/2 で破綻。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
30個以上のVPCをすべて相互接続する 接続数がN×(N-1)/2 に爆発するフルメッシュは非現実的。ハブ型を選ぶ
→選択肢（B）を消す
推移的ルーティングに対応 VPC ピアリングは推移的ルーティング非対応。Transit Gateway は対応
→選択肢（A）は候補
複数のAWSアカウントと複数のリージョンにまたがる リージョン間はTransit Gateway 間のピアリング、アカウント間はAWS RAM による TGW 共有で対応する
→選択肢（A）は候補
すべてのプライベートサブネット間で相互に通信 PrivateLink は公開したサービスへの接続専用で、任意の相互通信はできない
→選択肢（D）を消す
運用負荷が低く、将来のVPC追加にも柔軟 TGW ならアタッチするだけ。VPN トンネル30本超の管理は運用負荷が高い
→選択肢（C）を消す
ひっかけポイント
  • VPC ピアリングの最重要論点は「推移的ルーティング非対応」。この一点で選択肢Bは即消える
  • 「中央ハブVPC＋VPN」はハブ型に見えるが、AWS 内部の接続に VPN を使うのは筋が悪い（トンネル管理・暗号化オーバーヘッド・帯域制約）
  • PrivateLink は「プライベート接続」という語感で選びたくなるが、提供するのはサービス単位のエンドポイントであってVPC 間ネットワークではない
  • 複数アカウントが絡む記述が出たら AWS RAM による TGW 共有がセットで正解になる。本問の選択肢A の「RAM で共有」はこの要件に対応した記述であり、余計な要素ではない
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「接続するVPC が2〜3個だけで、今後も増えない」 VPC ピアリングがシンプルかつ低コストで正解になり得る。
「オンプレミスのデータセンターからすべてのVPC に接続したい」 Direct Connect / Site-to-Site VPN を Transit Gateway に集約する構成が正解軸に。
「特定のSaaS やサービスだけを他VPC に公開したい（IP 重複あり）」 AWS PrivateLink が正解に浮上する。
「リージョン間で低レイテンシ・高帯域の専用接続が欲しい」 TGW ピアリング（AWS バックボーン経由）や Cloud WAN が論点になる。
関連サービスの解説 Amazon VPC
AWS Direct Connect
AWS PrivateLink
AWS Resource Access Manager (AWS RAM)
AWS Transit Gateway
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 65%
No.14 解説
ある企業では、複数のAWSアカウントと複数のリージョンにまたがる30個以上のVPCが存在しており、各VPC内にプライベートサブネットが配置されています。現在、これらのVPC間での通信は行われていませんが、新たなビジネス要件により、すべてのプライベートサブネット間で相互に通信できるようにする必要があります。ネットワーク設計は運用負荷が低く、推移的ルーティングに対応し、将来的なVPCの追加にも柔軟に対応できる構成を採用する必要があります。この要件を満たすために最も適切なソリューションはどれですか。
  • 各リージョンにAWS Transit Gatewayを作成し、Transit Gateway間をピアリング接続で結び、AWS RAMを使用してアカウント間で共有する
  • すべてのVPC間でVPCピアリング接続を確立し、各VPCのルートテーブルに必要な経路情報をすべて追加する
  • 中央ハブとなる専用VPCを作成し、すべてのVPCとの間にAWS Site-to-Site VPN接続を構築してルートテーブルを設定する
  • AWS PrivateLinkを使用してエンドポイントサービスを各VPCに配置し、すべてのVPC間でサービス接続を確立する

次の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

アンケート

サイト情報