AWS認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. VPC に NAT ゲートウェイを構成し、プライベートサブネットのルートテーブルに 0.0.0.0/0 宛ての経路を追加して Secrets Manager API へアクセスする

NAT ゲートウェイは、プライベートサブネットのインスタンスがインターネットへアウトバウンド通信するための仕組み。Secrets Manager のパブリックエンドポイント（secretsmanager.<region>.amazonaws.com）へは到達できるが、その経路はインターネットゲートウェイを通ってインターネットに出る。
「インターネットを経由する通信は一切許可されない」という要件に真っ向から反するため不適。

B. AWS Secrets Manager 用のゲートウェイ型 VPC エンドポイントを作成し、プライベートサブネットのルートテーブルにそのエンドポイント宛ての経路を追加して Secrets Manager API へアクセスする

ゲートウェイ型（Gateway）VPC エンドポイントが対応しているのは Amazon S3 と Amazon DynamoDB のみで、Secrets Manager 用のゲートウェイ型エンドポイントは存在しない。ルートテーブルに経路を追加する、という手順自体がゲートウェイ型の特徴だが、そもそも作成できない構成である。
Secrets Manager をはじめとする大半の AWS サービスは、ENI（プライベート IP）を VPC 内に作るインターフェース型で接続する。

正解

C. AWS PrivateLink を使用したインターフェース型の VPC エンドポイントを作成し、VPC 内のプライベート IP アドレスを通じて Secrets Manager API へアクセスする

インターフェース型 VPC エンドポイントは、AWS PrivateLink によりサブネット内に ENI（プライベート IP）を作成し、そこを宛先として Secrets Manager API を呼び出す方式。通信は AWS のネットワーク内で完結し、インターネットゲートウェイも NAT ゲートウェイもパブリック IP も不要。
エンドポイントポリシーとセキュリティグループでアクセス制御もでき、「インターネット非経由」「AWS ネットワーク内完結」という要件を同時に満たす唯一の構成。

D. インターネットゲートウェイを作成して VPC にアタッチし、セキュリティグループで Secrets Manager API のエンドポイント宛ての通信のみを許可する

インターネットゲートウェイをアタッチすること自体がインターネット経由の通信路を作る行為であり、要件違反。
セキュリティグループで宛先を絞っても通過する経路がインターネットである事実は変わらず、また Secrets Manager のパブリック IP は固定ではないため、セキュリティグループで「エンドポイントのみ許可」を維持すること自体が現実的でない（この用途には AWS 管理のプレフィックスリストや VPC エンドポイントを使う）。

構成図

Amazon EC2（プライベートサブネット）
   │ プライベート IP で接続
   ▼
インターフェース型 VPC エンドポイント（ENI / PrivateLink）
   │ AWS ネットワーク内で完結
   ▼
AWS Secrets Manager
※ インターネットゲートウェイ／NAT ゲートウェイ経由は要件違反

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
EC2 はプライベートサブネットに配置されている	パブリック IP を持たないため、インターネット向け経路を作るか、VPC エンドポイントで内部接続するかの二択になる →選択肢（A・D）は候補になり得るが要件で消える
インターネットを経由する通信は一切許可されない	NAT ゲートウェイもインターネットゲートウェイも経路はインターネット。宛先を絞っても経路は変わらない →選択肢（A・D）を消す
通信を AWS ネットワーク内で完結させる	AWS PrivateLink（インターフェース型 VPC エンドポイント）なら ENI のプライベート IP 宛て通信になり、AWS 内部で完結する →選択肢（C）が正解
対象サービスは AWS Secrets Manager	ゲートウェイ型エンドポイントは S3 と DynamoDB 専用。それ以外の AWS サービスはインターフェース型 →選択肢（B）を消す

ひっかけポイント

• 選択肢 B のゲートウェイ型 VPC エンドポイントが最大の罠。「ルートテーブルに経路を追加」という手順は正しく聞こえるが、ゲートウェイ型は S3 / DynamoDB でしか作れない
• 選択肢 A の NAT ゲートウェイは「プライベートサブネットから AWS サービスへ」の定番構成に見えるが、NAT の先はインターネット。要件が「インターネット非経由」なら即座に消す
• 選択肢 D のようにセキュリティグループで宛先を絞っても「経路」は変わらない。制御レイヤ（SG）と経路（ルート）を混同させるのが狙い
• 「AWS のネットワーク内で完結」という言い回しが出たら、PrivateLink / VPC エンドポイントを第一候補にする合図

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「Amazon S3 のバケットにプライベートサブネットからアクセスしたい（追加コストを抑えたい）」	ゲートウェイ型 VPC エンドポイントが正解軸に（時間課金・データ処理料金なし）。
「オンプレミスから Secrets Manager にプライベートにアクセスしたい」	Direct Connect / VPN ＋ インターフェース型エンドポイント（プライベート DNS とオンプレ DNS 解決）の組み合わせが問われる。
「特定の VPC エンドポイント経由の呼び出しだけにシークレットへのアクセスを限定したい」	エンドポイントポリシーや、リソースポリシーの aws:sourceVpce 条件キーが正解軸に。
「自社の別 VPC で動くサービスに、他アカウントからプライベート接続させたい」	VPC エンドポイントサービス（NLB ＋ PrivateLink）の構成が問われる。

関連サービスの解説

Amazon EC2
Amazon VPC
AWS PrivateLink
AWS Secrets Manager