ANS-C01 練習問題 15

ある企業は、us-east-1 リージョンに 1 つのエッジロケーション、us-west-1 リージョンに 1 つのエッジロケーションを持つ AWS Cloud WAN を使用しています。両方のエッジロケーションに共有サービスセグメント(shared services segment)が存在します。各共有サービスセグメントは、各リージョンの各インスペクション VPC への VPC アタッチメントを持っています。インスペクション VPC は AWS Network Firewall を使用して WAN からのトラフィックを検査します。 企業は、us-east-1 エッジロケーションに新しいビジネスユニット(BU)用の新しいセグメントを作成します。新しい BU には、新しい BU セグメントにアタッチされた 3 つの VPC があります。規制に準拠するため、BU の VPC は相互に通信してはなりません。すべてのインターネット宛トラフィックはインスペクション VPC で検査されなければなりません。 企業は、インターネット宛のすべてのトラフィックが AWS Cloud WAN コアネットワークへ向かうように VPC ルートテーブルを更新します。 企業は将来、新しい BU 用にさらに多くの VPC を追加する予定です。将来のすべての VPC も規制に準拠しなければなりません。 この要件を最も運用効率の高い方法で満たすソリューションはどれですか?(2 つ選択)

【正解】A、C

【0からの解説】
AWS Cloud WAN では「セグメント」がルーティングドメイン(VRF のようなもの)で、同一セグメント内のアタッチメント同士はデフォルトで相互通信できます。

要件は 2 つです。(1) 同じ BU セグメント内の 3 つの VPC が相互に通信してはならない、(2) インターネット宛トラフィックはインスペクション VPC(共有サービスセグメント側)で検査されなければならない。さらに将来 VPC を追加しても自動的に準拠させたい(運用効率)。

・C(isolate-attachments = True): セグメントの isolate-attachments を True にすると、そのセグメント内のアタッチメント同士は直接通信できなくなります。BU セグメントに対してこれを設定すれば、現在の 3 VPC も、将来追加される VPC も、自動的に相互通信が遮断され、規制に準拠します。手動で個別ルートを管理する必要がないため運用効率も最良です。
・A(共有サービスセグメントを BU セグメントと共有する): isolate-attachments=True にしても、BU の VPC は依然として共有サービス(インスペクション VPC 経由のインターネット出口)に到達する必要があります。Cloud WAN の「セグメント共有(sharing / segment actions)」を使い、共有サービスセグメントと BU セグメント間の通信を許可すれば、各 BU VPC はインスペクション VPC を経由してインターネットに出られます(セグメント内分離は維持したまま、共有サービスへの経路だけ開く)。

よって A と C の組み合わせが正解です。

【誤りの選択肢】
B：検査(インスペクション)機能は共有サービスセグメント側のインスペクション VPC が担っており、トラフィックは共有サービスセグメントを経由させる。「インスペクションサービスセグメント」を別途共有するのではなく、共有サービスセグメントの共有(A)が適切で、B は構成が噛み合わない。
D：isolate-attachments=False は同一セグメント内の相互通信を許可してしまい、「BU の VPC は相互通信不可」という規制要件に真っ向から反する。
E：VPC CIDR ごとに静的ルートを手動追加する運用は、VPC が増えるたびに手作業が発生し「最も運用効率が高い」要件に反する。isolate-attachments による分離の方が自動的で効率的。

【参考】
AWS Cloud WAN のセグメントとセグメントアクション(共有・分離)
AWS Cloud WAN のポリシーと isolate-attachments の概念