第1回 問題集（ハイブリッドネットワーク設計）

正解: A. AWS Direct ConnectとSite-to-Site VPNを併用し、Direct Connectをプライマリ経路、VPNをバックアップ経路としてBGPの経路優先度（AS_PATHやローカルプレファレンス）で制御する

正解の根拠・詳細解説

Direct ConnectとSite-to-Site VPNを併用し、BGPの属性（AS_PATHプリペンドやローカルプレファレンス）でDirect Connectを優先経路にする構成が、コストと可用性のバランスが取れた標準的なハイブリッド接続パターンです。Direct Connect障害時にはBGPが自動的にVPN経路へフェイルオーバーします。

正解: A. VPN側のBGPルートにAS_PATHプリペンドを付与し、通常時はDirect Connect経路が優先されるようにしておく

正解の根拠・詳細解説

バックアップVPN経路にAS_PATHプリペンドを設定しておくことで、平常時はDirect Connectが優先され、障害時には自動的にVPN経由にBGPがフェイルオーバーします。事前準備（VPN接続の常時起動）がRTO短縮の鍵です。

正解: A. 異なるDirect Connectロケーションにある2つの異なるデバイスから、それぞれ専用接続を確立する（マルチサイト冗長化）

正解の根拠・詳細解説

AWSが推奨する高可用性モデルでは、異なるDirect Connectロケーション（リージョン内の異なる施設）から、異なるデバイス・異なる回線で接続することで、単一障害点（SPOF）を排除します。同一ロケーションのみの冗長化は施設障害に対して脆弱です。

正解: A. Direct Connect GatewayをDirect Connect接続に関連付け、複数リージョンのVirtual Private Gateway（またはTransit Gateway）をアタッチする

正解の根拠・詳細解説

Direct Connect Gatewayは1つのDirect Connect接続から複数リージョンのVPC（Virtual Private GatewayまたはTransit Gateway経由）へのプライベート接続を可能にするグローバルなリソースです。

正解: A. Direct Connect GatewayとTransit Gatewayを接続し、複数VPCへのスケーラブルな接続を実現する

正解の根拠・詳細解説

トランジットVIFはDirect Connect GatewayとTransit Gatewayを接続するための専用インターフェースで、1Gbps以上の専用接続でのみサポートされ、多数のVPCへの拠点間接続をスケーラブルに実現します。

正解: A. プライベートVIFはVPC内のプライベートIPアドレスへの接続に使用し、パブリックVIFはAWSのパブリックサービス（S3やパブリックエンドポイント等）へのアクセスに使用する

正解の根拠・詳細解説

プライベートVIFはVirtual Private GatewayまたはDirect Connect Gateway経由でVPC内のプライベートリソースに接続します。パブリックVIFはAWSのパブリックIPアドレス空間（S3、DynamoDBなど）へグローバルにアクセスするために使用され、VPCには直接接続しません。

正解: A. 同じロケーション内の複数の物理接続を論理的に1本として束ね、帯域幅を増強しつつ単一のBGPセッションで管理できるようにする

正解の根拠・詳細解説

LAGは同一ロケーション・同一帯域幅・同一プロバイダーの複数の物理接続を論理的に集約し、合計帯域幅を増やしながら単一のBGP/LACPセッションとして管理を簡素化する機能です。

正解: A. Direct Connect GatewayにTransit VIFを設定し、各リージョンのTransit Gatewayをアタッチして拠点間ネットワークを集中管理する

正解の根拠・詳細解説

Direct Connect Gateway + Transit Gatewayの組み合わせにより、1つの物理接続から複数リージョンのネットワークへ拠点間接続を一元的かつスケーラブルに展開でき、DR時の経路追加も容易になります。

正解: A. 複数の同等コストのBGP経路が存在する場合、Transit GatewayやVPN/Direct Connect構成によってトラフィックを複数経路に分散できる

正解の根拠・詳細解説

同等コストの複数のBGP経路（例：複数のDirect Connect接続や複数のVPNトンネル）が存在する場合、ECMP（Equal-Cost Multi-Path）によりトラフィックを複数経路に分散させ、実効帯域を増やすことができます。

正解: A. AWS VPN Accelerated（AWS Global Acceleratorを使ったVPN）を有効にする、または複数のVPNトンネルを使ってECMPで負荷分散する

正解の根拠・詳細解説

単一のIPsecトンネルはおおよそ1.25Gbpsの実効スループット上限があるため、Accelerated VPN（Global Accelerator経由）や複数トンネルでのECMP分散により、合計スループットを向上させます。

正解: A. Route 53 Resolverのインバウンド・アウトバウンドエンドポイントを使用し、条件付きフォワーディングルールを設定する

正解の根拠・詳細解説

Route 53 Resolverのインバウンドエンドポイント（オンプレミス→AWS方向の解決）とアウトバウンドエンドポイント（AWS→オンプレミス方向の解決）を組み合わせ、Resolverルールで条件付きフォワーディングを設定することでハイブリッドDNS解決が実現します。

正解: A. Transit GatewayにSD-WANアプライアンス（仮想アプライアンス）をVPN/Connect接続でアタッチし、AWS Transit Gateway Connectを利用する

正解の根拠・詳細解説

Transit Gateway Connectは、GREトンネルとBGPを使ってSD-WANアプライアンスをTransit Gatewayに統合するための機能で、サードパーティSD-WANベンダーとの接続をシンプルかつスケーラブルに実現します。

正解: A. 物理レイヤー（レイヤー2）でのデータ暗号化により、専用線上を流れるデータの機密性・完全性を確保する

正解の根拠・詳細解説

MACsecは10Gbpsおよび100GbpsのDirect Connect接続でサポートされるレイヤー2暗号化技術で、専用線上のデータを暗号化し、物理的な傍受やタンパリングからデータを保護します。

正解: A. Direct Connectのプライベート/トランジットVIFはジャンボフレームをサポートするが、パブリックVIFやVPN接続は通常1500バイトのMTUに制限される

正解の根拠・詳細解説

Direct ConnectのプライベートVIF・トランジットVIFは最大9001バイトのジャンボフレームをサポートしますが、パブリックVIFやインターネット経由のVPN接続は一般的に1500バイトに制限されます。MTU不一致はパケットフラグメンテーションの原因になります。

正解: A. Direct Connectのプライベート接続を使用し、低レイテンシかつ安定した帯域でデータ転送する

正解の根拠・詳細解説

Storage Gatewayは大量データの継続的な転送が発生するため、Direct Connectのプライベート接続を使うことで、安定した帯域とレイテンシ、セキュリティを確保できます。

正解: A. リージョン間・AWSからインターネットへのデータ転送量（Data Transfer Out）に応じた料金

正解の根拠・詳細解説

Direct Connectの費用はポートアワー（接続時間）料金とデータ転送量（Data Transfer Out、リージョンやVIFタイプにより単価が異なる）の組み合わせで構成されます。

正解: A. Direct Connect GatewayとAWS Resource Access Manager（RAM）、またはTransit Gatewayの共有機能を使い、複数アカウントから接続を利用可能にする

正解の根拠・詳細解説

Direct Connect Gatewayを使うことで複数のVPC（複数アカウントを含む）から1つの物理接続を共有できます。また、Transit GatewayをAWS RAMで共有することで、組織内の複数アカウントから同じネットワークインフラを利用できます。

正解: A. バックアップ経路にAS_PATHプリペンドを追加して、プライマリ経路よりホップ数を多く見せることで優先度を下げる

正解の根拠・詳細解説

AS_PATHプリペンドはバックアップ経路のAS_PATH長を人為的に伸ばすことで、BGPのベストパス選択アルゴリズム上、プライマリ経路が優先されるようにする一般的な手法です。

正解: A. 2つの異なるDirect Connectロケーションで、それぞれ別のデバイスを使った専用接続を確立し、さらに各ロケーション内でも別デバイスを使う4本構成

正解の根拠・詳細解説

AWSが定義する「Max Resiliency」モデルは、2つの異なるDirect Connectロケーションそれぞれにおいて、さらに異なる物理デバイスを使った接続を確立する4本構成（合計）で、単一ロケーション障害・単一デバイス障害の両方に耐えられる最高レベルの冗長性を提供します。

正解: A. IKEv2を使用し、より安全な暗号スイートとリキー処理の効率化を実現する

正解の根拠・詳細解説

AWS Site-to-Site VPNはIKEv1とIKEv2の両方をサポートしますが、IKEv2はより安全な暗号化アルゴリズムをサポートし、再接続やリキー処理も効率的なため、新規構築では推奨されます。

正解: A. BGPテーブルのルート数を削減し、ルーティングの安定性とパフォーマンスを向上させる

正解の根拠・詳細解説

細かいプレフィックスを集約（サマライズ）することでBGPルートテーブルのエントリ数を削減し、ルート計算やフラッピングの影響を抑え、ネットワーク全体の安定性とパフォーマンスを向上させます。

正解: A. リンク障害を高速（ミリ秒〜秒単位）に検出し、BGPのデフォルトのタイマーより早くフェイルオーバーを発生させる

正解の根拠・詳細解説

BFDは隣接デバイス間で高頻度のキープアライブを送受信し、リンク障害をBGPの標準的なホールドタイマー（通常90秒程度）よりもはるかに高速に検出してフェイルオーバーをトリガーする仕組みです。

正解: A. BGPコミュニティタグやルートフィルタ（プレフィックスリスト）を使い、広告するルートを制御する

正解の根拠・詳細解説

BGPコミュニティタグ（AWSが提供する特定のコミュニティ値を含む）やプレフィックスリストによるルートフィルタリングを使うことで、特定方向への広告ルートやスコープ（リージョン内/外）を制御できます。

正解: A. Transit GatewayでVPN/Direct Connectアタッチメント間のルーティングを有効にし、適切なルートテーブルを設定する（拠点間トランジット）

正解の根拠・詳細解説

Transit Gatewayは複数のVPN/Direct Connectアタッチメント間のルーティングをサポートし、適切なルートテーブル設定により拠点間（オンプレミス同士）の通信もAWSの中央ハブを経由してルーティングできます（拠点間トランジット）。

正解: A. パブリックASNまたはプライベートASN（64512-65534、4200000000-4294967294）を使用でき、AWS側はデフォルトで7224等のASNを使用する

正解の根拠・詳細解説

顧客側はパブリックASNまたはプライベートASN範囲を使用してBGPピアリングを構成します。AWS側のデフォルトASNは7224（Virtual Private Gateway）など、サービスや構成により異なります。

正解: A. AWS Direct Connectの帯域アップグレード（より大きなポート速度への変更）をリクエストする、またはSnowball/Snowmobile等のオフライン転送サービスを併用する

正解の根拠・詳細解説

大規模なデータ移行では、Direct Connect帯域のアップグレードに加えて、AWS Snowball/Snowmobileのようなオフラインデータ転送デバイスを併用することで、ネットワーク帯域の制約を回避しつつ短期間での大量データ移行が可能です。

正解: A. オンプレミスの金融取引システムなどでマルチキャスト配信を行うアプリケーションをAWSに移行・連携する場合

正解の根拠・詳細解説

Transit Gatewayのマルチキャスト機能は、金融取引システムやメディア配信など、1対多のマルチキャスト通信を必要とするレガシーアプリケーションをAWSに統合する際に有用です。

正解: A. AWS Network FirewallをインスペクションVPCに配置し、Transit GatewayでトラフィックをインスペクションVPC経由にルーティングする（センタライズドインスペクションアーキテクチャ）

正解の根拠・詳細解説

AWS Network Firewallを専用のインスペクションVPCに配置し、Transit Gatewayのルートテーブルで全トラフィックをこのVPC経由にルーティングするセントラライズドインスペクションアーキテクチャは、AWSが推奨するハイブリッドネットワークのセキュリティ統合パターンです。

正解: A. Direct Connectロケーション内のAWSが提供するクロスコネクトポイントに接続するためのルーター（BGP対応）とケーブル

正解の根拠・詳細解説

Direct Connectでは顧客（またはAPNパートナー）がBGP対応ルーターを用意し、AWSのDirect Connectロケーション内でクロスコネクト（物理配線）を行う必要があります。AWSはルーターを提供しません。

正解: A. 専用のDirect Connect接続（共有のないデディケイテッド接続）を使用し、十分な帯域を確保する

正解の根拠・詳細解説

低レイテンシかつ予測可能な性能が求められるワークロードには、専用線であるデディケイテッド接続（Dedicated Connection）が適しています。ホスト型接続はAPNパートナー経由で帯域が制限される共有型であり、予測可能性がやや劣ります。

正解: A. 他のVPCやオンプレミスネットワークと重複するCIDRレンジを使用する

正解の根拠・詳細解説

VPCピアリングやTransit Gateway経由の接続では、重複するCIDRブロック同士はルーティングできません。将来の拡張性を考慮し、組織全体でIPアドレス計画（IPAM）を策定し重複を避けることが重要です。

正解: A. Amazon VPC IP Address Manager（IPAM）

正解の根拠・詳細解説

VPC IPAM（IP Address Manager）は、組織全体（複数アカウント・複数リージョン）のIPアドレス使用状況を一元管理し、CIDR割り当ての重複や枯渇を防ぐための専用サービスです。

正解: A. S3とDynamoDB

正解の根拠・詳細解説

Gateway型のVPCエンドポイントはS3とDynamoDBのみをサポートします。それ以外の大多数のAWSサービス（200以上）はInterface型エンドポイント（PrivateLink）でサポートされます。

正解: A. Interface型VPCエンドポイント（AWS PrivateLink）を該当サービス用に作成する

正解の根拠・詳細解説

Interface型VPCエンドポイント（PrivateLinkを利用）を作成すると、ENI経由でVPC内からプライベートにAWSサービスのAPIへアクセスでき、インターネットゲートウェイやNATゲートウェイを経由する必要がなくなります。

正解: A. Transit Gatewayを中心としたハブ・アンド・スポーク構成にする

正解の根拠・詳細解説

VPC数が増えるとフルメッシュピアリングは管理が指数的に複雑化します（n(n-1)/2本の接続）。Transit Gatewayを使ったハブ・アンド・スポーク構成は、VPC追加時にもスポークを1本追加するだけで済み、拡張性に優れます。

正解: A. ピアリング接続はトランジティブ（推移的）ではなく、ピア先のVPCを経由した先のVPCへは自動的に到達できない

正解の根拠・詳細解説

VPCピアリングは1対1の関係であり、推移的（トランジティブ）ではありません。VPC AがVPC Bとピアリングし、VPC BがVPC Cとピアリングしていても、VPC AはVPC Cへ自動的に到達できません（明示的な追加ピアリングが必要）。

正解: A. セキュリティグループはステートフルでインスタンスレベルに適用され、NACLはステートレスでサブネットレベルに適用される

正解の根拠・詳細解説

セキュリティグループはステートフル（戻りの通信が自動的に許可される）でENI/インスタンスレベルに適用され、NACLはステートレス（インバウンド・アウトバウンド両方のルールが必要）でサブネットレベルに適用されます。

正解: A. トラフィックはまずNACL（サブネット境界）で評価され、その後セキュリティグループ（ENI境界）で評価される

正解の根拠・詳細解説

インバウンドトラフィックはサブネット境界のNACLでまず評価され、許可された場合にENI（インスタンス）のセキュリティグループで評価されます。アウトバウンドは逆順です。

正解: A. Transit GatewayとAWS Resource Access Manager（RAM）を使い、各アカウントのVPCをアタッチしてルートテーブルで制御する

正解の根拠・詳細解説

Transit GatewayをAWS RAMで複数アカウントに共有し、各アカウントのVPCをアタッチすることで、中央集約的かつアカウントごとに柔軟なルーティング制御が可能なマルチアカウントネットワークを構築できます。

正解: A. 複数のAWSアカウント（同一Organization内）が同じVPCのサブネットを共有し、リソースを集中管理しつつアカウント分離を維持する

正解の根拠・詳細解説

VPC共有（AWS RAM経由）は同一Organization内の複数アカウントが、オーナーアカウントが所有するVPCのサブネットを共有し、ネットワーク管理を集中化しつつ、各アカウントでリソース（EC2等）を個別に管理できる機能です。

正解: A. 異なるサブネット（異なるセキュリティ要件のネットワーク）にそれぞれ接続し、トラフィックを分離する

正解の根拠・詳細解説

複数のENIを使うことで、1つのインスタンスが複数の異なるサブネット（例：管理用ネットワークとデータ用ネットワーク）に同時に接続し、トラフィックの種類ごとにネットワークパスを分離できます。

正解: A. プロバイダー側のVPCエンドポイントサービス（NLB経由で公開）と、利用者側のInterface VPCエンドポイント

正解の根拠・詳細解説

PrivateLinkでは、サービス提供者側がNetwork Load Balancer（NLB）を使ってVPCエンドポイントサービスを公開し、利用者側はInterface VPCエンドポイントを作成してプライベートにそのサービスへ接続します。

正解: A. 10.0.0.0/24への通信は、10.0.0.0/16のルートより10.0.0.0/24のルートが優先される

正解の根拠・詳細解説

VPCルーティングは最長プレフィックスマッチの原則に従い、宛先IPに最も具体的に一致する（プレフィックス長が長い）ルートが優先されます。ローカルルート（VPC内通信）は常に最優先で上書きできません。

正解: A. Amazon VPC IPAM（IP Address Manager）のプランニング機能

正解の根拠・詳細解説

VPC IPAMはCIDR使用率の監視、将来のキャパシティプランニング、組織全体でのアドレス重複検出など、IPアドレス管理に特化した機能を提供します。

正解: A. コンテナ環境（Amazon ECS/EKS）で各タスク・Podに個別のIPアドレスを割り当てる

正解の根拠・詳細解説

Amazon ECSやEKS（VPC CNIプラグイン）では、各タスクやPodに専用のセカンダリプライベートIPアドレスを割り当て、VPC内で個別のネットワークIDとして扱うことで、きめ細かいセキュリティグループ制御が可能になります。

正解: A. Amazon CloudWatch Logs、Amazon S3、Amazon Data Firehose

正解の根拠・詳細解説

VPC Flow LogsはCloudWatch Logs、S3バケット、Amazon Data Firehose（旧Kinesis Data Firehose）への出力に対応しており、分析ツールや長期保存先に応じて選択できます。

正解: A. IPv6専用のプライベートサブネットからアウトバウンドのインターネット通信のみを許可し、インバウンド接続を防ぐ

正解の根拠・詳細解説

Egress-Only Internet GatewayはIPv6専用のステートフルゲートウェイで、VPC内のリソースからアウトバウンドのみのインターネット通信を可能にし、外部からのインバウンド接続開始を防ぎます（IPv4のNATゲートウェイのIPv6版に相当）。

正解: A. Transit Gatewayのアタッチメントごとに異なるルートテーブルを関連付け、本番VPCへのルートを開発VPC用のルートテーブルから除外する

正解の根拠・詳細解説

Transit Gatewayは複数のルートテーブルをサポートし、アタッチメントごとに異なるルートテーブルを関連付けることで、特定のVPC間の通信を許可・拒否するセグメンテーションを実現できます（Transit Gatewayルートテーブル分離）。

正解: A. Outpostsはサービスリンク（Service Link）経由でホームリージョンに常時接続されている必要があり、Direct ConnectまたはVPNで構成する

正解の根拠・詳細解説

AWS Outpostsはホームリージョンとの常時接続（サービスリンク）を必要とし、これはDirect ConnectまたはVPN（パブリックVIFまたはインターネット経由）で構成します。接続が切れるとOutpostsの一部機能が制限されます。

正解: A. 明示的にカスタムルートテーブルを関連付けないサブネットは、自動的にメインルートテーブルが適用される

正解の根拠・詳細解説

VPC作成時に自動生成されるメインルートテーブルは、明示的に別のルートテーブルを関連付けていないすべてのサブネットに対するデフォルトのルーティングとして機能します。

正解: A. VPCにIPv6 CIDRを関連付けても、IPv4を完全に廃止することはできず、デュアルスタック構成になる

正解の根拠・詳細解説

AWSのVPCはIPv6 onlyサブネットの作成が可能になりましたが、多くの既存ワークロードやAWSサービスの相互運用性のため、実質的にIPv4とIPv6が混在するデュアルスタック構成が一般的です。VPC自体はIPv4 CIDRを基本としつつIPv6 CIDRを追加します。

正解: A. AWS Service Quotasでクォータ増加をリクエストする、またはTransit Gatewayを複数使って分割する（マルチTGWアーキテクチャ）

正解の根拠・詳細解説

Transit Gatewayの各種クォータ（アタッチメント数、ルート数など）はAWS Service Quotasから増加リクエストが可能です。非常に大規模な環境では、複数のTransit Gatewayをピアリングして分割するマルチTGW設計も検討されます。

正解: A. NATゲートウェイの稼働時間（時間課金）とNATゲートウェイを経由したデータ処理量（GB単位）

正解の根拠・詳細解説

NATゲートウェイの料金は、稼働時間に対する時間課金と、NATゲートウェイを通過したデータ量（処理データGB単位）の組み合わせで構成されます。

正解: A. Route 53プライベートホストゾーンに複数VPCを関連付ける（VPCアソシエーション）

正解の根拠・詳細解説

Route 53のプライベートホストゾーンは複数のVPCに関連付け（アソシエーション）が可能で、これにより複数VPC間で同一のプライベートドメインの名前解決を共有できます（異なるアカウント間ではAuthorization機能を使用）。

正解: A. 静的なパブリックIPv4アドレスであり、インスタンスを再起動・停止しても同じアドレスを保持できる

正解の根拠・詳細解説

Elastic IPアドレスは静的に割り当てられるパブリックIPv4アドレスで、インスタンスやENIに関連付けられている限り、再起動・停止後も同一のアドレスを維持できます（未使用時は課金対象になる点に注意）。

正解: A. 単一のAZ障害がアプリケーション全体の可用性に影響しないようにする

正解の根拠・詳細解説

マルチAZ構成は、データセンター単位の障害（AZ障害）に対する耐性を持たせ、アプリケーションの高可用性を実現するための基本的なベストプラクティスです。

正解: A. サードパーティのファイアウォール／侵入検知システム（IDS/IPS）アプライアンスへ透過的にトラフィックを誘導するインラインインスペクション構成

正解の根拠・詳細解説

Gateway Load Balancer（GWLB）はGENEVEプロトコルを使い、サードパーティの仮想アプライアンス（ファイアウォール、IDS/IPS等）へトラフィックを透過的に誘導するために設計されたロードバランサーで、VPCエンドポイント経由でセントラライズドインスペクション構成に組み込まれます。

正解: A. パブリックサブネットとプライベートサブネットでルーティング要件（インターネットゲートウェイ経由かNATゲートウェイ経由か）を分離できる

正解の根拠・詳細解説

パブリックサブネット用のルートテーブル（インターネットゲートウェイへのデフォルトルート）とプライベートサブネット用のルートテーブル（NATゲートウェイへのデフォルトルート）を分離することで、要件に応じた適切なルーティングを実現します。

正解: A. Transit Gateway・Direct Connect・VPN・SD-WANを含むグローバルネットワークの可視化とモニタリングを一元化する

正解の根拠・詳細解説

AWS Network Managerは、Transit Gateway・Direct Connect・Site-to-Site VPN・SD-WANを含むグローバルなネットワークトポロジを単一のダッシュボードで可視化し、イベント監視やルート分析を行うためのサービスです。

正解: A. AWS Systems Manager Session Manager

正解の根拠・詳細解説

AWS Systems Manager Session Managerは、SSMエージェントとVPCエンドポイント（またはインターネット経由）を使い、踏み台サーバーや開放ポートなしでプライベートインスタンスへの安全なシェルアクセスを提供します。

正解: A. AWS CloudFormationまたはTerraformを使ったInfrastructure as Code（IaC）でネットワークリソースをテンプレート化する

正解の根拠・詳細解説

IaC（CloudFormation/Terraform/CDK等）を使うことで、ネットワーク構成をコードとしてバージョン管理し、複数アカウント・複数リージョンへ一貫性を持って再現可能な形でデプロイできます。

正解: A. 1つのテンプレートから複数のAWSアカウント・複数のリージョンに対して一括でスタックを展開・更新できる

正解の根拠・詳細解説

StackSetsは1つのCloudFormationテンプレートを使って、Organizationの複数アカウント・複数リージョンに対してスタックを一括展開・更新・削除できる機能で、大規模なマルチアカウントネットワーク展開に有用です。

正解: A. Organization全体でAWS WAF、Security Group、Network Firewallのポリシーを中央管理し、新規アカウント・新規リソースにも自動適用する

正解の根拠・詳細解説

AWS Firewall Managerは、AWS Organizations全体でセキュリティポリシー（WAF、セキュリティグループ、Network Firewall等）を一元的に定義し、新しく作成されたリソースにも自動的にポリシーを適用するための中央管理サービスです。

正解: A. AWS Configのマネージドルールでコンプライアンスを評価し、AWS Config RemediationまたはEventBridge+Lambdaで自動修復アクションを実行する

正解の根拠・詳細解説

AWS Configのマネージドルール（例：restricted-ssh）で違反を検出し、Configのリメディエーション機能やEventBridge経由でLambda関数をトリガーすることで、検出から自動修復までのパイプラインを構築できます。

正解: A. IaCテンプレート（Terraform/CloudFormation）でルート定義をコード化し、Pull Request＋レビュー＋自動テストを経てデプロイする

正解の根拠・詳細解説

ネットワーク変更は影響範囲が大きいため、IaCによるコード化とPull Requestレビュー、自動テスト（terraform plan等での差分確認）を組み込んだCI/CDパイプラインを使うことで、変更の安全性とトレーサビリティを確保します。

正解: A. Firewall Managerのポリシーとして定義し、Organization全体に展開する、またはCloudFormation/Terraformでルールグループをテンプレート化する

正解の根拠・詳細解説

Network FirewallのルールグループはFirewall Managerのポリシーとして展開することで複数アカウント・VPCに一括適用でき、IaCでテンプレート化することでバージョン管理と再利用性を確保できます。

正解: A. Terraformの`plan`コマンドやCloudFormationの変更セット（Change Set）でデプロイ前の差分を確認する

正解の根拠・詳細解説

CloudFormationの変更セット（Change Set）やTerraformの`plan`コマンドは、実際にリソースを変更する前に「何がどう変わるか」をプレビューでき、意図しない破壊的変更を未然に防ぐことができます。

正解: A. AWS Configの「設定変更の記録」とドリフト検出機能、またはCloudFormationスタックのドリフト検出機能を利用する

正解の根拠・詳細解説

CloudFormationにはスタックのドリフト検出機能があり、テンプレートで定義した状態と実際のリソース状態の差分を検出できます。AWS Configも継続的に設定変更を記録し、意図しない変更を可視化します。

正解: A. Systems Manager Automationドキュメント（Runbook）を作成し、EventBridgeルールでスケジュール実行またはイベントトリガーする

正解の根拠・詳細解説

Systems Manager Automationドキュメント（Runbook）に運用手順を定義し、EventBridgeでスケジュールやイベントをトリガーに自動実行することで、定型的なネットワーク運用タスクを自動化できます。

正解: A. TypeScriptやPythonなどの汎用プログラミング言語で、ループや条件分岐を使った動的なネットワーク構成を記述できる

正解の根拠・詳細解説

AWS CDKはTypeScript、Python、Javaなどの汎用言語でInfrastructure as Codeを記述でき、ループや条件分岐、再利用可能なコンストラクト（クラス）を使った動的かつDRYなネットワーク構成の定義が可能です（内部的にCloudFormationテンプレートを生成）。

正解: A. CloudFormationテンプレートやTerraformモジュールでエンドポイント定義を共通化し、StackSetsやTerraform Workspaceで複数環境に展開する

正解の根拠・詳細解説

共通のIaCモジュール/テンプレートでVPCエンドポイントの定義を再利用可能にし、StackSetsやTerraformのワークスペース機能で複数VPC・複数アカウントへ一括展開することで、運用効率と一貫性を確保します。

正解: A. 承認済みのネットワーク構成テンプレート（製品）をエンドユーザーがセルフサービスでプロビジョニングできるようにし、ガバナンスを保ちながら標準化する

正解の根拠・詳細解説

AWS Service Catalogは、組織が承認したIaCテンプレート（VPC構成など）を「製品」として登録し、開発者がガバナンスの範囲内でセルフサービス的にプロビジョニングできるようにするサービスです。

正解: A. EventBridgeでTransit Gatewayのアタッチメント変更イベントを検知し、Lambda関数で関連ルートを自動的に追加・削除する

正解の根拠・詳細解説

Transit Gatewayの状態変化（アタッチメント作成・削除）はEventBridge経由で検知可能で、これをトリガーにLambda関数でルートテーブルを動的に更新する自動化パターンが、大規模で頻繁に変化するマルチVPC環境で活用されます。

正解: A. 参照先のセキュリティグループにルール変更があっても、参照元のルールを更新する必要がなく、IPアドレス変更にも自動追従する

正解の根拠・詳細解説

セキュリティグループ同士を参照（SG-to-SGリファレンス）することで、参照先のメンバー（IPアドレスが動的に変わるインスタンス群）に対する許可ルールが自動的に追従し、IPアドレスベースのハードコードに比べて運用負荷を大幅に削減できます。

正解: A. AWS LambdaとAWS SDKを使い、ピアリングリクエストの作成・承諾APIを呼び出すワークフローを構築する

正解の根拠・詳細解説

VPCピアリングの作成（CreateVpcPeeringConnection）と承諾（AcceptVpcPeeringConnection）はAWS SDK/CLIから呼び出せるAPIであり、Lambda関数やStep Functionsを使ったクロスアカウントの自動承認ワークフローを構築できます。

正解: A. 新規アカウント作成時に標準化されたネットワーキング（VPC、Transit Gatewayアタッチメント等）のベースラインを自動的にプロビジョニングできる

正解の根拠・詳細解説

AWS Control TowerはLanding Zoneのベースラインとして、新規アカウントへの標準ネットワーク構成（VPCテンプレート、Transit Gatewayへの自動アタッチ等）をカスタマイズ可能なブループリント（Account Factory for Terraform等）で自動展開できます。

正解: A. CloudFormationが標準でサポートしていないサードパーティのネットワーク機器APIの呼び出しをLambda経由で実行する

正解の根拠・詳細解説

カスタムリソースは、CloudFormationが直接サポートしていないAPI（サードパーティSD-WANベンダーやネットワーク機器の設定変更等）をLambda関数でラップし、IaCのライフサイクル管理に統合するための仕組みです。

正解: A. マイクロサービス間の呼び出しのレイテンシやエラーをトレースし、ネットワークに起因する遅延箇所を特定する

正解の根拠・詳細解説

AWS X-Rayは分散アプリケーションのリクエストをトレースし、サービス間呼び出しのレイテンシを可視化するため、アプリケーション層で発生する遅延がネットワーク起因なのか処理起因なのかを判別する一助になります。

正解: A. ステージング環境で変更をテストし、IaCのレビュー・承認プロセスを経てから本番に適用する

正解の根拠・詳細解説

ネットワーク変更は影響範囲が広いため、ステージング環境での事前検証とコードレビュー・承認（Pull Requestワークフロー等）を経て本番適用するのがIaCにおける標準的なベストプラクティスです。

正解: A. S3バケット＋DynamoDBロックテーブルを使ったリモートバックエンドで状態を一元管理し、ロックによる競合を防ぐ

正解の根拠・詳細解説

Terraformの状態ファイルはS3などのリモートバックエンドで一元管理し、DynamoDBによるステートロックを併用することで、複数人・複数CI/CDパイプラインからの同時実行による競合や状態の不整合を防ぎます。

正解: A. 起動テンプレート（Launch Template）でネットワーク設定を定義し、Auto Scalingグループに適用する

正解の根拠・詳細解説

起動テンプレートにセキュリティグループやサブネット（複数AZ）の設定を定義し、Auto Scalingグループに紐づけることで、スケールアウト時に作成される全インスタンスへ一貫したネットワーク設定が自動的に適用されます。

正解: A. 新しいルールグループを別途作成しテストした上で、ファイアウォールポリシーの参照を切り替える

正解の根拠・詳細解説

新しいルールグループを並行して作成・テストし、問題がないことを確認した上でファイアウォールポリシーの参照先を切り替えることで、ルール変更によるリスクを抑えた安全な更新（Blue/Greenに類似したアプローチ）が可能です。

正解: A. コスト配分・自動化スクリプトでのリソース特定・ポリシー適用範囲の判定を一貫したタグベースで行える

正解の根拠・詳細解説

一貫したタグ付け戦略（環境名、コストセンター、所有者等）により、Cost Explorerでのコスト配分、Lambda/Configルールでのリソース特定、Firewall Managerのポリシー適用範囲指定などの自動化処理がタグベースで効率的に行えます。

正解: A. Gitリポジトリを単一の信頼できる情報源（Single Source of Truth）とし、Pull Requestのマージをトリガーに自動デプロイパイプラインが実行される

正解の根拠・詳細解説

GitOpsはGitリポジトリのコード状態を正としてインフラの実体と同期させる運用モデルで、Pull Requestのレビュー・マージをトリガーにCI/CDパイプライン（例：Terraform Cloud、CodePipeline）が自動的に変更を適用します。

正解: A. アプリケーションの回復性目標（RTO/RPO）に対して、ネットワーク構成を含むアーキテクチャの脆弱性を評価し改善提案を得る

正解の根拠・詳細解説

AWS Resilience Hubは定義したRTO/RPO目標に対し、Multi-AZ構成やネットワーク冗長性を含むアプリケーションアーキテクチャ全体の回復性を評価し、改善のための推奨事項を提示するサービスです。

正解: A. Transit Gatewayピアリングアタッチメントはリージョンごとに作成し、両リージョン双方でアタッチメントの承諾（Accept）処理が必要

正解の根拠・詳細解説

Transit Gatewayのインターリージョンピアリングは、片方のリージョンでピアリングアタッチメントを作成し、もう片方のリージョンで明示的に承諾（AcceptTransitGatewayPeeringAttachment）する必要があります。CloudFormationスタックはリージョンごとに分かれるため、IaCではクロスリージョンのオーケストレーション（StackSetsやCI/CDパイプライン）が必要です。

正解: A. 障害発生時に迅速かつ確実に以前の正常な状態に復元でき、影響範囲を最小化できる

正解の根拠・詳細解説

CloudFormationのスタック更新失敗時の自動ロールバックや、Terraformでの以前のapply状態への再適用など、IaCにはロールバック手順を組み込むことができ、ネットワーク障害時の復旧時間（MTTR）短縮に直結します。

正解: A. 関連する複数のConfigルール（セキュリティグループ制限、VPCフローログ有効化等）をひとまとまりのテンプレートとして複数アカウントに一括展開できる

正解の根拠・詳細解説

Conformance Packは複数のAWS Configルールやリメディエーションアクションをひとつのテンプレートにまとめ、StackSets等を通じて複数アカウント・複数リージョンに一括展開できる、ガバナンスのスケーラブルな実装手段です。

正解: A. プロビジョニング前（PRE_PROVISION）にHookを実行し、規約違反のリソース作成をデプロイ前にブロックする

正解の根拠・詳細解説

CloudFormation Hooksは、リソースのプロビジョニング前（PRE_PROVISION）や更新前にカスタムロジック（Lambda関数等）を実行し、組織のポリシーに違反する設定（禁止されたCIDR、暗号化なしリソース等）を事前にブロックできる機能です。

正解: A. IAMポリシーでTransit Gatewayのルートテーブル変更権限をチームごとに分離し、Service Control Policies（SCP）で危険なAPIアクションを制限する

正解の根拠・詳細解説

IAMのきめ細かいポリシー（リソースタグやARNベースの権限分離）とAWS OrganizationsのSCPを組み合わせることで、チームごとに操作可能なTransit Gatewayルートテーブルやアタッチメントを制限し、誤操作による全体影響を防ぎます。

正解: A. セキュリティグループおよびNACLのルール設定が意図した通信を許可しているか

正解の根拠・詳細解説

REJECTレコードは、セキュリティグループまたはNACLによって通信がブロックされたことを示します。まずこれらのルール設定を確認し、意図しないブロックが発生していないかを調査します。

正解: A. ConnectionState、ConnectionBpsEgress/Ingress、ConnectionErrorCountなどのDirect Connectメトリクス

正解の根拠・詳細解説

Direct ConnectはCloudWatchに接続状態（ConnectionState）、帯域使用率（ConnectionBpsEgress/Ingress）、エラーカウント（ConnectionErrorCount/LightLevel等）のメトリクスを公開しており、これらを確認することで物理層・回線レベルの問題を特定できます。

正解: A. VPC Reachability Analyzer

正解の根拠・詳細解説

VPC Reachability Analyzerは、指定した送信元・宛先間の到達可能性をネットワーク設定（ルートテーブル、セキュリティグループ、NACL等）に基づいて静的に分析し、通信を妨げている設定を特定するツールです。

正解: A. Reachability AnalyzerのようなAPIベースの静的解析に加え、EC2インスタンス内からtracerouteやmtrといったツールを使ったアクティブな経路診断を行う

正解の根拠・詳細解説

Reachability Analyzerは設定に基づく静的解析であり、実際のパケット応答時間（レイテンシ）までは測定しません。実際の経路上の応答を確認するには、インスタンス内からtraceroute/mtr等のアクティブな診断ツールを併用します。

正解: A. Transit Gateway Network Manager の Route Analyzer 機能

正解の根拠・詳細解説

Network ManagerのRoute Analyzer機能は、Transit Gateway経由の送信元・宛先間のルート解析を行い、どのアタッチメント・ルートテーブルでトラフィックがドロップされる可能性があるかを可視化します。

正解: A. VPCの「enableDnsSupport」と「enableDnsHostnames」属性が有効になっているか

正解の根拠・詳細解説

VPCのDNS解決機能（enableDnsSupport）とDNSホスト名の自動割当（enableDnsHostnames）が無効になっていると、インスタンスが正しく名前解決できない問題が発生します。まずこれらのVPC属性を確認します。

正解: A. 物理レイヤーのリンク状態（LightLevel）、BFD設定、MTU不一致、BGPタイマー設定の不一致

正解の根拠・詳細解説

BGPフラッピングは物理層の不安定さ（光レベルの低下等）、BFDの過敏な検出設定、MTU不一致によるBGPパケットのフラグメンテーション、両端のBGPタイマー（Hold Time等）の不一致が典型的な原因です。

正解: A. NAT Gatewayの帯から接続先を分散させる、または複数のNAT Gatewayを使って同時接続数を分散する

正解の根拠・詳細解説

NAT Gatewayは宛先ごとに最大55,000の同時接続（ポート）という制限があり、これを超えるとPortAllocationErrorsメトリクスが増加します。対処として、複数のNAT Gatewayにトラフィックを分散させる、またはVPCエンドポイントで一部の通信をNAT経由から外す方法が有効です。

正解: A. 大量のフローログから、最もトラフィック量が多い送信元/宛先のトップNを自動的にランキング表示し、異常な通信パターンを素早く特定できる

正解の根拠・詳細解説

CloudWatch ContributorInsightsは、ログデータから特定のディメンション（送信元IP、宛先ポート等）ごとの上位コントリビューターをリアルタイムで集計・可視化でき、異常なトラフィックパターン（DDoSの兆候やスキャン等）を迅速に検出する助けになります。

正解: A. HTTPCode_ELB_5XX_CountとHTTPCode_Target_5XX_Count、TargetResponseTime

正解の根拠・詳細解説

ALBの5xxエラーが「ELB自体」によるものか「バックエンドターゲット」によるものかを区別するため、HTTPCode_ELB_5XX_Count（ALB起因）とHTTPCode_Target_5XX_Count（ターゲット起因）を確認し、合わせてTargetResponseTimeでタイムアウトの可能性も調査します。

正解: A. S3バケットへParquet形式（Apache Parquetのカスタムフォーマット）で出力し、Athenaのテーブルとしてクエリする

正解の根拠・詳細解説

VPC Flow LogsはS3にParquet形式（列指向の圧縮フォーマット）で出力することで、Athenaでのクエリ性能とコストを最適化できます。これはAWSが推奨する大規模フローログ分析のベストプラクティスです。

正解: A. 複数の出口（Egress）が存在する場合に、どちらの経路がAWSにとって優先されるべきかをアドバタイズ側が示す

正解の根拠・詳細解説

MEDは同一の隣接ASに対して複数の出口が存在する場合、どの経路を優先すべきかを示すBGP属性です。値が低いほど優先度が高くなります（ASNが同じ複数接続でAWSへの出口を選択する際に使用）。

正解: A. 両方のVPCのルートテーブルに、相手VPCのCIDRへのルートが正しく追加されているか

正解の根拠・詳細解説

VPCピアリングはステータスが「Active」でも、両方のVPC側でルートテーブルに相手CIDRへの明示的なルートを追加しなければ実際の通信は成立しません（自動的にルートが追加されるわけではない）。

正解: A. セキュリティグループの過度に開放されたルール、未使用のElastic IP、VPN接続の冗長性チェック

正解の根拠・詳細解説

Trusted AdvisorはセキュリティカテゴリでセキュリティグループのオープンなポートやVPN接続の冗長性、コスト最適化カテゴリで未使用のElastic IPなど、ネットワーキングに関連するベストプラクティスチェックを提供します。

正解: A. 不正アクセスの試行や意図しない公開ポートへの攻撃パターンを検出する

正解の根拠・詳細解説

Flow LogsのREJECTアクションと特定の宛先ポート（SSHの22番等）でフィルタリングし集計することで、ブルートフォース攻撃やポートスキャンなどの不審なアクセス試行パターンを検出・分析できます。

正解: A. TCP/UDPベースの非HTTPアプリケーション（ゲーム、VoIP等）にはGlobal Accelerator、HTTP/HTTPSの静的・動的コンテンツ配信にはCloudFrontが適している

正解の根拠・詳細解説

Global AcceleratorはAnycast IPとAWSグローバルネットワークを使ってTCP/UDPトラフィックのパフォーマンスと可用性を向上させる用途（ゲームサーバー、IoT、VoIP等）に適し、CloudFrontはHTTPベースのコンテンツキャッシュ配信（CDN）に特化しています。

正解: A. クラスタプレイスメントグループとENA（Elastic Network Adapter）/EFA（Elastic Fabric Adapter）対応インスタンスタイプの使用

正解の根拠・詳細解説

クラスタプレイスメントグループは同一AZ内でインスタンスを物理的に近接配置し低レイテンシ・高スループットの通信を実現します。ENA/EFA対応インスタンスはネットワーク帯域とHPC向けの低レイテンシ通信をさらに強化します。

正解: A. 事前共有キー（PSK）の一致、暗号化アルゴリズム・DHグループの両端での一致、UDP500/4500ポートの到達性

正解の根拠・詳細解説

IKEフェーズ1の確立には、両端で事前共有キー、暗号化アルゴリズム、ディフィー・ヘルマン（DH）グループの設定が一致している必要があり、また中間にあるファイアウォールでUDP 500番・4500番ポート（NAT-T使用時）が通過可能であることが前提です。

正解: A. 可能な限り同一リージョン・同一AZ内でリソース間通信を完結させ、クロスリージョン通信を最小化する

正解の根拠・詳細解説

AWSのデータ転送料金はリージョン間・AZ間で発生するため、アーキテクチャ設計時に通信が発生するリソースを可能な限り同一AZ・同一リージョンに配置することで、データ転送コストを大幅に削減できます。

正解: A. NATゲートウェイ経由のデータ処理料金やインターネット経由の転送料金を回避し、プライベートな低コストの経路でAWSサービスにアクセスできる

正解の根拠・詳細解説

Interface型VPCエンドポイント自体には時間課金とデータ処理料金が発生しますが、NATゲートウェイ経由でAWSサービスにアクセスする場合のNAT処理料金やインターネット経由の転送料金と比較して、大量通信のケースではコストメリットが生まれることがあります。

正解: A. ConnectionStateメトリクスがdown状態になった場合や、ConnectionErrorCountが閾値を超えた場合にSNS通知をトリガーする

正解の根拠・詳細解説

Direct ConnectのConnectionStateやエラーカウント系メトリクスにCloudWatchアラームを設定し、異常検知時にSNS経由で運用チームへ即座に通知することで、物理層障害への迅速な対応が可能になります。

正解: A. ターゲットインスタンスのセキュリティグループがヘルスチェックポートからのインバウンドを許可しているか、ターゲット側アプリケーションがヘルスチェックパスに正しく応答しているか

正解の根拠・詳細解説

ヘルスチェック失敗の典型的な原因は、ターゲット側のセキュリティグループがNLBからのヘルスチェックトラフィックを許可していない、またはアプリケーション自体がヘルスチェックエンドポイントで正しいレスポンス（200番台等）を返していないことです。

正解: A. 過去の使用率データに基づき、ネットワーク帯域要件に対して過剰または不足なインスタンスタイプを推奨し、コストとパフォーマンスのバランスを最適化する

正解の根拠・詳細解説

AWS Compute Optimizerは、CPU・メモリだけでなくネットワーク帯域の利用状況も分析し、現在のインスタンスタイプが過剰スペック（コスト過多）か、性能不足（ネットワークボトルネック）かを判定し、適切なインスタンスタイプを推奨します。

正解: A. Flow Logsのフィルタ設定が「ACCEPT」のみに限定されている可能性がある（フィルタを「ALL」に変更する必要がある）

正解の根拠・詳細解説

VPC Flow Logsの作成時にトラフィックタイプのフィルタを「ACCEPT」「REJECT」「ALL」から選択でき、ACCEPT限定の設定になっている場合は拒否された通信が記録されません。両方を記録するには「ALL」を指定する必要があります。

正解: A. VPC Flow LogsやCloudWatch LogsをAmazon Data FirehoseでS3やサードパーティSIEMにストリーミングする

正解の根拠・詳細解説

VPC Flow LogsやCloudTrailログをCloudWatch Logsに集約し、Amazon Data Firehoseのサブスクリプションフィルタを使ってS3やサードパーティSIEM（Splunk等）へリアルタイムストリーミングする構成が一般的なログ連携パターンです。

正解: A. 複数のアタッチメント（複数のサブネット/AZ経由）にトラフィックを分散させる設計を検討する、またはECMPを活用する

正解の根拠・詳細解説

Transit GatewayのVPCアタッチメントには帯域上限（バーストで50Gbps程度）があるため、これを超える可能性がある高トラフィックワークロードでは、複数AZ・複数アタッチメント経由でのトラフィック分散や、ECMPを活用した負荷分散の設計が必要です。

正解: A. NATゲートウェイのデータ処理料金（GB単位）

正解の根拠・詳細解説

プライベートサブネットからS3へのアクセスをNATゲートウェイ経由からGateway型VPCエンドポイント経由に切り替えることで、NATゲートウェイのデータ処理料金（無視できない規模になりがちな費用）を完全に回避できます（Gateway型エンドポイント自体は無料）。

正解: A. 発生時刻、影響範囲、VPC Flow Logs/CloudTrail/CloudWatchメトリクスの該当時間帯のデータ、実施した変更履歴

正解の根拠・詳細解説

効果的な根本原因分析には、障害発生時刻と影響範囲の特定に加え、VPC Flow Logs・CloudTrail（変更履歴）・CloudWatchメトリクス（該当時間帯のグラフ）を収集し、直前に行われたネットワーク変更との関連を調査することが不可欠です。

正解: A. 不要なデータ転送（クロスAZ、クロスリージョン）を削減する設計を行い、定期的にコスト配分タグとCost Explorerでネットワークコストをレビューする

正解の根拠・詳細解説

Well-Architected FrameworkのコストOptimizationの柱では、不要なデータ転送経路の削減、適切なリソースのサイジング、コスト可視化（タグ付けとCost Explorer活用）による継続的なレビューが、ネットワークコストの最適化における重要な推奨事項とされています。

正解: A. CloudWatchのConnectionメトリクスとオンプレミス側の測定ツールを組み合わせ、特定の時間帯・特定の経路に偏りがないか継続的にモニタリングする

正解の根拠・詳細解説

ジッターはネットワーク経路上の混雑や経路変更によって発生しうるため、CloudWatchメトリクスと現地측の測定（ping/mtr等）を継続的に収集し、特定の時間帯やルートでの偏りを分析することで根本原因を特定します。