AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. NAT Gatewayを配置してDynamoDBへのアクセスを実現する

NAT GatewayはInternet Gatewayを経由してインターネットへ出るための仕組みであり、DynamoDBへのアクセスであっても実質的にインターネット経由の通信になる。
「インターネットへの直接接続は許可されていない」というセキュリティポリシーに反するうえ、NAT Gateway自体の時間課金・データ処理料金も発生しコスト面でも不利。

正解

B. VPC Endpointを作成してDynamoDBへのアクセスを実現する

Gateway型のVPC Endpointを使うと、private subnet内のリソースからDynamoDBへのトラフィックがAWSネットワーク内に留まり、インターネットを経由しない。
ルートテーブルにプレフィックスリストを追加するだけで設定でき、Gateway型エンドポイントの利用自体に追加のデータ処理料金もかからない。
セキュリティ・コストの両面で要件を満たす最適解。

C. Virtual Private Gateway経由でDynamoDBへのアクセスを実現する

Virtual Private Gatewayはオンプレミス環境とVPCをVPN接続するためのコンポーネントであり、VPC内のリソースからAWSサービス（DynamoDB）へアクセスするための経路ではない。
用途そのものが異なるため不適切。

D. Internet Gateway経由の専用ルートでDynamoDBへのアクセスを実現する

private subnetは定義上Internet Gatewayへのデフォルトルートを持たないため、「Internet Gateway経由の専用ルート」という構成自体が成立しない。
仮に構成できたとしても、インターネット接続を禁止するセキュリティポリシーに反する。

構成図

マイクロサービス（private subnet）
   │ プライベートな経路
   ▼
VPC Endpoint（Gateway型）
   │ AWSネットワーク内で完結
   ▼
Amazon DynamoDB

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
private subnetで動作し、インターネットへの直接接続は不可	NATやIGW経由の経路はインターネットを通過するため要件に反する →選択肢（A・D）を消す
DynamoDBへセキュアにアクセスしたい	Gateway型VPCエンドポイントはAWSネットワーク内で完結し、インターネットを経由しない →選択肢（B）が最有力
オンプレミスとの接続ではなく、VPC内リソースからAWSサービスへのアクセス	Virtual Private GatewayはVPN／Direct Connect用のコンポーネントで本用途とは無関係 →選択肢（C）を消す
追加のデータ転送コストを抑えたい（暗黙の要件）	Gateway型エンドポイントは利用自体が無料だが、NAT Gatewayは時間課金＋データ処理料金が発生する →選択肢（B）を後押し

ひっかけポイント

• 「NAT Gatewayを置けばインターネットに出さずに済む」と誤解しやすいが、NAT GatewayはIGW経由でインターネットに出る構成であり要件に反する
• 「Virtual Private Gateway」は名称に“Private”を含み紛らわしいが、実際はVPNでオンプレミスとVPCを繋ぐコンポーネントであり、AWSサービスへのアクセス経路ではない
• private subnetはInternet Gatewayへのルートを持たないのが前提のため、選択肢Dのような構成はそもそも成立しない

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「DynamoDBではなくAmazon S3へのアクセス」	同様にGateway型VPCエンドポイントが正解（S3もGateway型に対応）。
「アクセス先がKinesis・SNS・Secrets ManagerなどGateway型非対応のサービス」	Interface型VPCエンドポイント（AWS PrivateLink）が正解軸に。
「オンプレミス環境からVPC経由でDynamoDBにアクセスしたい」	Direct ConnectやVPN＋Virtual Private Gatewayが正解軸に浮上する。
「コストは度外視してもよいので汎用的な経路があればよい」	NAT Gatewayも技術的には成立するが、セキュリティポリシー（インターネット非接続）により依然として不適。

関連サービスの解説

Amazon DynamoDB
Amazon VPC
AWS PrivateLink