1.1標準
外部データベースは、登録済みの送信元IPアドレスからの通信だけを許可する。
Lambdaで定期取り込みを行うが、関数の実行ごとに変わる公開IPを許可リストへ登録する運用は避けたい。
最も適切なネットワーク構成はどれか。
× 不正解
VPC接続Lambdaの外向き通信をNAT Gatewayへ集約し、Elastic IPを外部の許可リストへ登録する。可用性が必要ならAZごとにNAT Gatewayと経路を用意する。
詳細解説
正しいLambdaをプライベートサブネットへ接続し、NAT Gatewayに割り当てたElastic IPを許可する
外部から見える送信元をNAT Gatewayの固定Elastic IPへ集約でき、関数を直接インターネットへ公開せずに許可リストを管理できる。
誤りLambdaをパブリックサブネットへ置き、実行時のIPを毎回許可する
Lambdaの実行IPは固定されず、許可リストの更新競合や運用負荷が発生する。
誤りセキュリティグループだけで外部サービスの送信元IPを固定する
セキュリティグループは通信を許可・拒否する仮想ファイアウォールであり、外部から見える送信元IPを固定しない。
誤りS3 Gateway Endpointを外部データベースへの経路として使う
S3 Gateway EndpointはS3へのVPC内経路であり、任意の外部データベースの固定送信元IPを提供しない。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
LambdaのVPCインターネット接続、NAT Gateway、Elastic IP、プライベートサブネットの公式説明を確認する。
参考にした公式資料
確認できる内容
セキュリティグループやS3エンドポイントと、固定送信元IPを提供するNAT Gatewayの役割を区別できる。
理解のポイント
- IP許可リスト
- NAT Gateway
- Elastic IP
- プライベートサブネット
確認時の注意
- 確認環境: AWS公式DEA-C01試験ガイドと各サービスの公式ドキュメントの確認
- AWS公式DEA-C01の該当Skillと各サービスの現行ドキュメントを確認する。
基礎のおさらい
IP許可リスト
接続元アドレスを登録し、登録された送信元からだけ通信を受け付ける制御。
NAT Gateway
プライベートサブネットのリソースが外部へ出る通信を中継するマネージドNAT。
Elastic IP
NAT Gatewayなどへ関連付けて、外部から見えるIPv4アドレスを固定する仕組み。
問題IDAWS-DEA-315
確認環境AWS公式DEA-C01試験ガイドと各サービスの公式ドキュメントの確認
最終技術確認2026-08-31
誤り・権利侵害を報告