SAP-C02 練習問題 6

ある企業は、製造業向けアプリケーションのために AWS 環境を設計しています。このアプリケーションは顧客から成功を収め、ユーザーベースが増加しました。同社は、1 Gbps の AWS Direct Connect 接続を通じて AWS 環境を自社のオンプレミスデータセンターに接続しています。同社はこの接続に BGP を構成しています。 同社は、ソリューションが高可用性・耐障害性・安全であることを保証するために、既存のネットワーク接続ソリューションを更新する必要があります。 これらの要件を最もコスト効率よく満たすソリューションはどれですか？

【正解】D

【0からの解説】
要件は「高可用性・耐障害性・安全」を「最もコスト効率よく」です。
Direct Connect は専用線ですが、それ自体は暗号化されていません。安全性（転送中の暗号化）とレジリエンス（冗長経路）を低コストで足すなら、Direct Connect のバックアップとして AWS Site-to-Site VPN を追加するのが定石です。VPN は IPsec でトラフィックを暗号化するため「転送中データの保護」を満たし、Direct Connect 障害時のフェイルオーバー経路として「耐障害性」も提供します。VPN はインターネット経由で低コストに用意できます。
選択肢 A と D の違いは「動的（dynamic/BGP）」か「静的（static）」かです。最もコスト効率を重視する観点では、シンプルな静的ルーティングの Site-to-Site VPN をセカンダリに追加する D が、追加の MACsec 対応機器や複数 DX を必要とせず最安で要件を満たします。

【誤りの選択肢】
A：動的 VPN ＋ MACsec の組み合わせは要件を満たせますが、MACsec は対応する専用の物理ポート（専有接続）やデバイスが必要でコストが高くなります。VPN を足すだけで暗号化要件は満たせるため、MACsec まで足す A は「最もコスト効率が良い」とは言えません。
B：2 本目の Direct Connect を引くのは最もコストが高い選択肢です。さらに MACsec も追加しており、コスト効率の要件に最も反します。
C：複数のプライベート VIF は同一の Direct Connect 物理接続上に作るため、その物理接続自体が落ちると全 VIF が同時に失われます。真の冗長経路にならず耐障害性を満たさず、暗号化（安全性）も提供しません。

【参考】
Direct Connect のバックアップとしての Site-to-Site VPN
AWS Site-to-Site VPN とは