SAP-C02 練習問題 2

ある企業は AWS Organizations を使用しています。この企業は、集約型のネットワーキングアカウントで 2 台のファイアウォールアプライアンスを運用しています。各ファイアウォールアプライアンスは、手動で構成された高可用性の Amazon EC2 インスタンス上で実行されています。Transit Gateway が、集約型ネットワーキングアカウントの VPC をメンバーアカウントの VPC と接続しています。各ファイアウォールアプライアンスは静的なプライベート IP アドレスを使用しており、その IP アドレスを使ってメンバーアカウントからインターネットへトラフィックをルーティングしています。 最近のインシデントで、誤った設定のスクリプトが両方のファイアウォールアプライアンスの終了を開始してしまいました。ファイアウォールアプライアンスの再構築中に、同社は起動時にファイアウォールアプライアンスを構成する新しいスクリプトを作成しました。 同社はファイアウォールアプライアンスのデプロイをモダナイズしたいと考えています。ファイアウォールアプライアンスは、ネットワークが拡張して増加するトラフィックを処理できるよう、水平方向にスケールできる必要があります。同社は会社の方針に準拠するため、引き続きこのファイアウォールアプライアンスを使用しなければなりません。ファイアウォールアプライアンスのプロバイダーは、最新バージョンのファイアウォールコードがすべての AWS サービスで動作することを確認しています。 これらの要件を最もコスト効率よく満たすために、ソリューションアーキテクトが推奨すべき手順の組み合わせはどれですか？（3 つ選択してください。）

【正解】A、C、E

【0からの解説】
サードパーティ製ファイアウォールアプライアンス（インライン検査）を、水平スケール可能・高可用に「モダナイズ」する AWS の標準パターンが Gateway Load Balancer（GWLB）です。
(A) GWLB は、L3 のトランスペアレントなネットワーク仮想アプライアンス（ファイアウォール/IDS/IPS 等）を背後に並べて負荷分散・スケール・ヘルスチェックする専用ロードバランサーです。GWLB は GENEVE プロトコルでトラフィックをアプライアンスへ転送し、AWS PrivateLink を使った「エンドポイントサービス」として公開できます。これにより各 VPC から GWLB エンドポイント（GWLBe）経由でファイアウォール群へトラフィックを送れます。
(C) ファイアウォールアプライアンス群を Auto Scaling グループ＋起動テンプレートで管理し、新スクリプトをユーザーデータで起動時構成すれば、自動復旧と水平スケールが実現します。GWLB のターゲットグループは「インスタンスターゲットタイプ」を使うのが適切です。
(E) 各メンバーアカウントに Gateway Load Balancer エンドポイント（VPC エンドポイント）を作成し、ルートテーブルでそのエンドポイントを指すようにすれば、各メンバーアカウントの送信トラフィックを集約型のファイアウォール群へ検査のため転送できます。
これにより、静的 IP に依存した手作りの脆い構成から、ASG によるセルフヒーリング＆スケールと GWLB による分散検査というマネージドかつ堅牢な構成へモダナイズできます。

【誤りの選択肢】
B：Network Load Balancer（NLB）は通常の L4 ロードバランシング用で、トラフィックを「透過的に検査して元の宛先へ戻す」インライン型のサードパーティアプライアンス連携には向きません。この用途専用の GWLB が正解です。
D：AWS Launch Wizard は SAP や SQL Server など特定のエンタープライズアプリの導入を支援するサービスで、汎用のファイアウォールアプライアンスを ASG でデプロイする用途には使いません。また GWLB のターゲットは通常「インスタンスタイプ」で構成します。
F：エンドポイント（GWLBe）はトラフィックを発生させる各メンバーアカウント側の VPC に置き、メンバーアカウントのルートテーブルからそこへ向ける必要があります。集約アカウント側にだけ作る構成では、メンバーアカウントの送信トラフィックを検査経路に乗せられません。

【参考】
Gateway Load Balancer とは
Gateway Load Balancer エンドポイント（PrivateLink）