AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

正解

A. セキュリティグループはステートフルで許可ルールのみを定義し、ネットワークACLはステートレスでインバウンド／アウトバウンド両方の許可・拒否ルールを明示的に定義する

セキュリティグループはステートフルで、インバウンドを許可すれば戻りのアウトバウンドは自動的に許可される、Allowルールのみを定義するモデル。
ネットワークACLはステートレスで、インバウンド・アウトバウンド双方向に対してAllow／Denyルールを個別に明示する必要がある。
両サービスの状態管理・ルール種別の違いを正確に表しており、正解。

B. セキュリティグループはサブネット単位で適用され、ネットワークACLはインスタンス単位で適用される

適用単位が実際とは逆になっている。セキュリティグループはインスタンス（正確にはENI）単位で適用され、ネットワークACLはサブネット単位で適用される。
本選択肢はこの対応関係を入れ替えているため誤り。

C. セキュリティグループは数値順にルールを評価して最初にマッチしたものを適用し、ネットワークACLは全ルールを評価して最後にマッチしたものを適用する

ルール評価方式の対応関係が逆になっている。ネットワークACLがルール番号の若い順に評価し最初にマッチしたルールを適用するのに対し、セキュリティグループはAllowルールのみを持つため全ルールを評価して該当があれば許可する方式であり、「最後にマッチしたものを適用」という説明は誤り。

D. セキュリティグループはAllow／Deny両方のルールを設定可能で、ネットワークACLはAllowルールのみ設定可能である

Allow／Denyの設定可否が実際とは逆になっている。セキュリティグループはAllowルールのみ設定可能で、ネットワークACLはAllowとDenyの両方を設定できる。
本選択肢はこの対応関係を入れ替えているため誤り。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
状態管理（ステートフル／ステートレス）の違い	セキュリティグループは戻りトラフィックを自動許可、ネットワークACLは往復とも明示的な許可が必要 →選択肢（A）が最有力
適用単位の違い	セキュリティグループはENI（インスタンス）単位、ネットワークACLはサブネット単位 →選択肢（B）を消す
ルール評価方式の違い	ネットワークACLは番号順に最初にマッチしたルールを適用する →選択肢（C）を消す
Allow／Denyルールの設定可否	セキュリティグループはAllowのみ、ネットワークACLはAllow・Denyの両方を設定可能 →選択肢（D）を消す

ひっかけポイント

• 選択肢Bは適用単位が逆（SG＝インスタンス、NACL＝サブネット）になっている典型的なひっかけ
• 選択肢Cは「最初にマッチ」と「最後にマッチ」をSGとNACLで取り違えている点に注意（NACLが番号順に最初にマッチしたルールを適用する）
• 選択肢DはAllow／Denyの対応関係が逆（SGがAllowのみ、NACLが両方）になっている

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「片方向だけ許可し、戻りトラフィックを個別に制御したい」	セキュリティグループでは不可能なため、ネットワークACLでの明示的な制御が正解軸に。
「特定のIPアドレスを明示的に拒否したい」	SGにはDenyルールがないため、ネットワークACLのDenyルールが必須になる。
「サブネット単位で一括してアクセス制御したい」	ネットワークACLが正解軸に。
「EC2インスタンスごとに個別の許可ルールを細かく設定したい」	セキュリティグループが正解軸に。

関連サービスの解説

Amazon EC2
Amazon VPC