SnowPro Advanced: Architect 無料問題 2 / 10 ・ 分野1: Accounts and Security
アカウントのネットワークポリシーの許可リストに、TYPE = AWSVPCEID・VALUE_LIST = ('vpce-aaa') の規則と、TYPE = IPV4・VALUE_LIST = ('198.51.100.0/24') の規則を入れた。ブロックリストは空である。次の2つの要求は、どちらも AWS PrivateLink を通って届く。それぞれの問いに、はいなら ○、いいえなら × で答える。 (1) vpce-aaa を通り、送信元の IP アドレスが 10.1.2.3 の要求は、IPv4 の規則の範囲に無いことを理由に止められるか。 (2) vpce-bbb を通り、送信元の IP アドレスが 198.51.100.7 の要求は、IPv4 の規則の範囲に有ることを理由に通されるか。
- (1) ○、(2) ×
- (1) ×、(2) ○
- (1) ×、(2) ×
- (1) ○、(2) ○
正解と解説を見る
正解: C
正解の理由
AWSVPCEID や AZURELINKID の型のネットワーク規則は、IPV4 と IPV6 の規則より優先される。公式は、要求がプライベート接続を使い、許可リストに AWSVPCEID か AZURELINKID の規則があるときは、公開か私設かにかかわらず IP の範囲を持つ IPV4・IPV6 の規則はすべて無視されると書いている。(1) は vpce-aaa を通るので VPCE ID の規則で許され、送信元の IP が IPv4 の規則の範囲に無いことは判定に使われず、止められない。(2) も同じく IPv4 の規則は無視され、vpce-bbb は許可リストに無い VPCE ID なので、送信元の IP が 198.51.100.0/24 に入っていても通されない。
違う選択肢
「(1) ○、(2) ○」…（(1) は止められ、(2) は通される） 2つの要求をどちらも IPv4 の規則で判定した場合の結果である。プライベート接続で届き、許可リストに AWSVPCEID の規則がある要求では、IPv4 の規則は無視される。
「(1) ○、(2) ×」…（(1) は止められ、(2) は通されない） (2) は正しいが、(1) で IPv4 の規則を使っている。vpce-aaa を通る要求は VPCE ID の規則で判定され、送信元の IP の範囲は判定に入らない。
「(1) ×、(2) ○」…（(1) は止められず、(2) は通される） (1) は正しいが、(2) で IPv4 の規則を使っている。vpce-bbb を通る要求でも IPv4 の規則は無視されるので、198.51.100.7 であることは通す理由にならない。
押さえどころ
この優先は、プライベート接続で届く要求の話である。公式は、VPC エンドポイント ID や LinkID を使う規則は公衆のネットワークから届く要求には効かないとも書いている。公衆からの要求も止めたいなら、0.0.0.0/0 の IPV4 の規則をブロックリストに入れる例が示されている。