ANS-C01_N01

6回閲覧 • 168問 • 2年前

問題一覧

ある企業は、転送中に暗号化を必要とするサービスの作成を計画しています。クライアントとサービスのバックエンドの間でトラフィックを復号化してはなりません。同社は、TCP ポート 443 経由で gRPC プロトコルを使用してサービスを実装します。このサービスは、数千の同時接続までスケールアップされます。サービスのバックエンドは、Kubernetes Cluster Autoscaler と horizontal Pod Autoscaler が設定された Amazon Elastic Kubernetes Service (Amazon EKS) ダスターでホストされます。会社は、クライアントとバックエンド間の双方向認証に相互 TLS を使用する必要があります。これらの要件を満たすソリューションはどれですか?

Kubernetes 用の AWS ロードバランサーコントローラーをインストールします。そのコントローラーを使用して、ポート 443 上の TCP リスナーを使用して Network Load Balancer を構成し、バックエンドサービスポッドの IP アドレスにトラフィックを転送します。

ある企業が AWS クラウドに新しいアプリケーションをデプロイしています。同社は、Elastic Load Balancer の背後に配置される高可用性 Web サーバーを望んでいます。ロードバランサーは、リクエスト内の URL に基づいてリクエストを複数のターゲットグループにルーティングします。すべてのトラフィックは HTTPS を使用する必要があります。 TLS 処理はロードバランサーにオフロードする必要があります。企業がセキュリティ目的で正確なログを保持できるように、Web サーバーはユーザーの IP アドレスを知っている必要があります。これらの要件を満たすソリューションはどれですか?

HTTPS リスナーを使用して Application Load Balancer をデプロイします。パスベースのルーティングルールを使用して、トラフィックを正しいターゲットグループに転送します。ターゲットへのトラフィックに X-Forwarded-For リクエストヘッダーを含めます。

ある企業は、自動販売機の在庫レベルを追跡し、補充プロセスを自動的に開始するアプリケーションを AWS 上で開発しました。同社は、このアプリケーションを自動販売機と統合し、世界中のいくつかの市場に自動販売機を導入する予定です。アプリケーションは、us-east-1 リージョンの VPC に存在します。このアプリケーションは、Application Load Balancer (ALB) の背後にある Amazon Elastic Container Service (Amazon ECS) クラスターで構成されます。自動販売機からアプリケーションへの通信は HTTPS 経由で行われます。同社は、AWS Global Accelerator アクセラレータを使用し、アプリケーションエンドポイントアクセス用に自動販売機にアクセラレータの静的 IP アドレスを設定することを計画しています。アプリケーションには、インターネット経由で ALB エンドポイントに直接接続するのではなく、アクセラレータを介してのみアクセスできる必要があります。これらの要件を満たすソリューションはどれですか?

VPC のプライベートサブネットに ALB を構成します。インターネットゲートウェイを指すようにサブネットルートテーブルにルートを追加せずに、インターネットゲートウェイを接続します。 ALB エンドポイントを含むエンドポイントグループを使用してアクセラレータを構成します。 ALB リスナーポートでインターネットからの受信トラフィックのみを許可するように ALB のセキュリティグループを構成します。

世界的な配送会社は、フリート管理システムを最新化しています。同社には複数の事業部門があります。各ビジネスユニットは、同じ AWS リージョン内の個別のアプリケーション VPC 内の独自の AWS アカウントでホストされるアプリケーションを設計および保守します。各ビジネスユニットのアプリケーションは、中央の共有サービス VPC からデータを取得するように設計されています。同社は、ネットワーク接続アーキテクチャによりきめ細かいセキュリティ制御を提供したいと考えています。また、アーキテクチャは、将来的により多くのビジネスユニットが中央共有サービス VPC からのデータを消費するのに合わせて拡張できなければなりません。最も安全な方法でこれらの要件を満たすソリューションはどれですか?

中央共有サービス VPC で AWS PrivateLink を利用した VPC エンドポイントサービスを作成します。各アプリケーション VPC に VPC エンドポイントを作成します

ある企業は、リンクアグリゲーショングループ (LAG) バンドルを備えた 4 Gbps AWS Direct Connect 専用接続を使用して、us-east-1 リージョンにデプロイされている 5 つの VPC に接続しています。各 VPC は異なるビジネスユニットにサービスを提供し、オンプレミス環境への接続に独自のプライベート VIF を使用します。ユーザーは、AWS でホストされているリソースにアクセスするときに速度が遅いと報告しています。ネットワークエンジニアは、スループットが突然増加し、同時に Direct Connect 接続が営業日あたり約 1 時間飽和状態になることに気付きました。会社は、どの事業部門がスループットの突然の増加を引き起こしているのかを知りたいと考えています。ネットワークエンジニアは、この情報を見つけて、問題を解決するためのソリューションを実装する必要があります。これらの要件を満たすソリューションはどれですか?

VirtualInterfaceBpsEgress と VirtualInterfaceBpsIngress の Amazon CloudWatch メトリクスを確認して、低速が観察されている期間中にどの VIF が最高のスループットを送信しているかを判断します。新しい 10 Gbps 専用接続を作成します。トラフィックを既存の専用接続から新しい専用接続に移行します。

Software-as-a-Service (SaaS) プロバイダーは、AWS クラウドの VPC 内の Amazon EC2 インスタンスでソリューションをホストします。プロバイダーの顧客もすべて、AWS クラウド内に環境を持っています。最近の設計会議で、顧客の IP アドレスがプロバイダーの AWS 展開と重複していることが明らかになりました。顧客は、内部 IP アドレスを共有せず、インターネット経由でプロバイダーの SaaS サービスに接続したくないと述べています。これらの要件を満たすソリューションの一部となる手順の組み合わせはどれですか? (2つお選びください。)

SaaS サービスエンドポイントを Network Load Balancer の背後にデプロイします。, エンドポイントサービスを構成し、エンドポイントサービスへの接続を作成する権限を顧客に付与します。

ネットワークエンジニアは、AWS クラウドに移行する医療会社のワークロードのアーキテクチャを設計しています。オンプレミス環境との間で送受信されるすべてのデータは、転送中に暗号化する必要があります。また、トラフィックがクラウドから出てオンプレミス環境またはインターネットに送信される前に、すべてのトラフィックをクラウド内で検査する必要があります。同社は、患者が予約できるようにワークロードのコンポーネントをインターネットに公開する予定です。アーキテクチャはこれらのコンポーネントを保護し、DDoS 攻撃から保護する必要があります。また、アーキテクチャは、DDoS イベント中にスケールアウトするサービスに対する経済的責任に対する保護を提供する必要があります。ワークロードのこれらすべての要件を満たすために、ネットワークエンジニアはどの手順の組み合わせを実行する必要がありますか? （3つお選びください。）

クラウドへの接続には、MACsec サポートを備えた AWS Direct Connect を使用します。, ゲートウェイロードバランサーを使用して、インライントラフィック検査用のサードパーティファイアウォールを挿入します。, AWS Shield Advanced を設定し、すべての公開アセットで設定されていることを確認します。

小売会社は AWS でサービスを実行しています。同社のアーキテクチャには、パブリックサブネットに Application Load Balancer (ALB) が含まれています。 ALB ターゲットグループは、プライベートサブネット内のバックエンド Amazon EC2 インスタンスにトラフィックを送信するように構成されています。これらのバックエンド EC2 インスタンスは、NAT ゲートウェイを使用して、インターネット経由で外部でホストされているサービスを呼び出すことができます。同社は、NAT ゲートウェイの使用量が大幅に増加していることを請求書で認識しています。ネットワークエンジニアは、この使用量増加の原因を突き止める必要があります。ネットワークエンジニアは、NAT ゲートウェイを通過するトラフィックを調査するためにどのオプションを使用できますか? (2つお選びください。)

NAT ゲートウェイの Elastic Network Interface で VPC フローログを有効にします。 Amazon CloudWatch Logs のロググループにログを公開します。 CloudWatch Logs Insights を使用して、ログのクエリと分析を行います。, NAT ゲートウェイの Elastic Network Interface で VPC フローログを有効にします。ログを Amazon S3 バケットに発行します。 Amazon Athena で S3 バケットのカスタムテーブルを作成し、ログ構造を記述します。 Athena を使用してログのクエリと分析を行います。

ある銀行会社は、パブリックモバイルバンキングスタックを AWS 上で正常に運用しています。モバイルバンキングスタックは、プライベートサブネットとパブリックサブネットを含む VPC にデプロイされます。同社は IPv4 ネットワークを使用していますが、環境内で IPv6 を導入またはサポートしていません。同社はサードパーティサービスプロバイダーの API を採用することを決定し、その API を既存の環境に統合する必要があります。サービスプロバイダーの API では IPv6 を使用する必要があります。ネットワークエンジニアは、プライベートサブネットにデプロイされている既存のワークロードに対して IPv6 接続をオンにする必要があります。同社は、公共のインターネットからの IPv6 トラフィックを許可したくなく、会社のサーバーがすべての IPv6 接続を開始する必要があると義務付けています。ネットワークエンジニアは、VPC とプライベートサブネットで IPv6 を有効にします。これらの要件を満たすソリューションはどれですか?

VPC にEgress専用インターネットゲートウェイを作成します。既存のサブネットルートテーブルにルートを追加して、IPv6 トラフィックが出力専用インターネットゲートウェイを指すようにします。

ある企業は、AWS Network Firewall ファイアウォールを VPC にデプロイしました。ネットワークエンジニアは、ネットワークファイアウォールのフローログを会社の Amazon OpenSearch Service (Amazon Elasticsearch Service) クラスターにできるだけ短い時間で配信するソリューションを実装する必要があります。これらの要件を満たすソリューションはどれですか?

Amazon OpenSearch Service (Amazon Elasticsearch Service) クラスターを宛先として含む Amazon Kinesis Data Firehose 配信ストリームを作成します。ファイアウォールのフローログの設定 Kinesis Data Firehose 配信ストリームを Network Firewall フローログの宛先として設定します。

ある企業は、VPC での名前解決に BIND を実行するカスタム DNS サーバーを使用しています。 VPC は、AWS Organizations 内の同じ組織の一部である複数の AWS アカウントにデプロイされます。すべての VPC はトランジットゲートウェイに接続されます。 BIND サーバーは中央の VPC で実行されており、オンプレミスの DNS ドメインに対するすべてのクエリをオンプレミスのデータセンターでホストされている DNS サーバーに転送するように構成されています。すべての VPC でカスタム DNS サーバーが使用されるようにするために、ネットワークエンジニアは、ドメインネームサーバーとして使用されるカスタム DNS サーバーを指定する VPC DHCP オプションセットをすべての VPC に構成しました。社内の複数の開発チームが Amazon Elastic File System (Amazon EFS) の使用を希望しています。開発チームは新しい EFS ファイルシステムを作成しましたが、そのファイルシステムを Amazon EC2 インスタンスの 1 つにマウントできません。ネットワークエンジニアは、EC2 インスタンスが EFS マウントポイント fs-33444567d.efs.us-east-1.amazonaws.com の IP アドレスを解決できないことを発見しました。ネットワークエンジニアは、組織全体の開発チームが EFS ファイルシステムをマウントできるようにソリューションを実装する必要があります。これらの要件を満たす手順の組み合わせはどれですか? (2つお選びください。)

中央 VPC に Amazon Route 53 Resolver アウトバウンドエンドポイントを作成します。名前解決に AmazonProvidedDNS を使用するようにすべての VPC DHCP オプションセットを更新します。, オンプレミスドメインのクエリをオンプレミス DNS サーバーに転送する Amazon Route 53 リゾルバールールを作成します。 AWS Resource Access Manager (AWS RAM) を使用して、ルールを組織と共有します。ルールをすべての VPC に関連付けます。

ある e コマース会社は、継続的に変化する顧客の需要に対応するために、Amazon EC2 インスタンスで Web アプリケーションをホストしています。 EC2 インスタンスは Auto Scaling グループの一部です。同社は、顧客からのトラフィックを EC2 インスタンスに分散するソリューションを実装したいと考えています。企業は、顧客とアプリケーションサーバー間のすべての段階ですべてのトラフィックを暗号化する必要があります。中間点での復号化は許可されません。これらの要件を満たすソリューションはどれですか?

ネットワークロードバランサー (NLB) を作成します。 TCP リスナーを NLB に追加します。 NLB のターゲットグループにインスタンスを登録するように Auto Scaling グループを構成します。

ある企業にはオンプレミスのデータセンターが 2 か所あります。各データセンターには会社管理のルーターがあります。各データセンターには、プライベート仮想インターフェイスを介した Direct Connect ゲートウェイへの専用の AWS Direct Connect 接続があります。最初の場所のルーターは BGP を使用して Direct Connect ゲートウェイに 110 のルートをアドバタイズし、2 番目の場所のルーターは BGP を使用して Direct Connect ゲートウェイに 60 のルートをアドバタイズします。 Direct Connect ゲートウェイは、仮想プライベートゲートウェイを介して企業 VPC に接続されます。ネットワークエンジニアは、どちらのデータセンターのさまざまな場所から VPC 内のリソースにアクセスできないという報告を受け取ります。ネットワークエンジニアは VPC ルートテーブルをチェックし、最初のデータセンターの場所からのルートがルートテーブルに入力されていないことを確認します。ネットワークエンジニアは、運用上最も効率的な方法でこの問題を解決する必要があります。これらの要件を満たすためにネットワークエンジニアは何をすべきでしょうか?

ルーターの設定を変更して、広告されたルートを要約します。

ある企業は、複数の AWS アカウントを備えたハイブリッドアーキテクチャを使用して、ネットワークを AWS クラウドに拡張しました。同社は、オンプレミスのデータセンターと会社のオフィスに接続するための共有 AWS アカウントを設定しました。ワークロードは、内部使用のためのプライベート Web ベースのサービスで構成されます。これらのサービスは、異なる AWS アカウントで実行されます。オフィスベースの従業員は、example.internal という名前のオンプレミス DNS ゾーン内の DNS 名を使用して、これらのサービスを利用します。 AWS で実行される新しいサービスを登録するプロセスでは、内部 DNS に対する手動で複雑な変更リクエストが必要です。このプロセスには多くのチームが関与します。同社は、サービス作成者に DNS レコードを登録できるアクセス権を与えることで、DNS 登録プロセスを更新したいと考えています。ネットワークエンジニアは、この目標を達成するソリューションを設計する必要があります。ソリューションは費用対効果を最大化し、必要な構成変更の回数を最小限に抑える必要があります。これらの要件を満たすために、ネットワークエンジニアはどの手順を組み合わせる必要がありますか? （3つお選びください。）

共有アカウント VPC に Amazon Route 53 リゾルバーインバウンドエンドポイントを作成します。オンプレミスの DNS サーバー上に aws.example.internal という名前のドメインの条件付きフォワーダーを作成します。転送 IP アドレスを、作成された受信エンドポイントの IP アドレスに設定します。, このドメインのクエリを解決するには、共有 AWS アカウントに aws.example.internal という名前の Amazon Route 53 プライベートホストゾーンを作成します。, サービスを実行するアカウントごとに、共有 AWS アカウントにプライベートホストゾーンを作成します。ドメイン内に aws.example.internal を含むようにプライベートホストゾーンを設定します (account1.aws.example.internal)。プライベートホストゾーンを、サービスを実行する VPC および共有アカウント VPC に関連付けます。

企業は複数の AWS アカウントを持っています。各アカウントには 1 つ以上の VPC が含まれています。新しいセキュリティガイドラインでは、VPC 間のすべてのトラフィックの検査が義務付けられています。同社は、すべての VPC 間の接続を提供するトランジットゲートウェイをデプロイしました。同社はまた、ステートフル検査のための IDS サービスを含む Amazon EC2 インスタンスを含む共有サービス VPC をデプロイしました。 EC2 インスタンスは 3 つのアベイラビリティーゾーンにデプロイされます。同社は、トランジットゲートウェイ上で VPC の関連付けとルーティングを設定しました。同社は、トラフィック検査のためにいくつかのテスト VPC を新しいソリューションに移行しました。ルーティングの構成後すぐに、同社はアベイラビリティーゾーンを通過するトラフィックの断続的な接続に関するレポートを受け取りました。この問題を解決するには、ネットワークエンジニアは何をすべきでしょうか?

アプライアンスモードのサポートを有効にして、共有サービス VPC 上のトランジットゲートウェイ VPC アタッチメントを変更します。

ある企業は、NAT ゲートウェイを使用して、us-west-2 リージョンの VPC 内のプライベートサブネットへのインターネット接続を許可しています。セキュリティ監査の後、企業は NAT ゲートウェイを削除する必要があります。プライベートサブネットには、統合された Amazon CloudWatch エージェントを使用するリソースがあります。ネットワークエンジニアは、NAT ゲートウェイの削除後も統合 CloudWatch エージェントが動作し続けることを保証するソリューションを作成する必要があります。これらの要件を満たすために、ネットワークエンジニアはどの手順を組み合わせる必要がありますか? （3つお選びください。）

EnableDnsHostnames VPC 属性とenableDnsSupport VPC 属性を true に設定して、VPC でプライベート DNS が有効になっていることを検証します。, VPC 内に次のインターフェイス VPC エンドポイントを作成します: com.amazonaws.us-west-2.logs および com.amazonaws.us-west-2.monitoring。新しいセキュリティグループをエンドポイントネットワークインターフェイスに関連付けます。, VPC エンドポイントまたは複数のエンドポイントを、プライベートサブネットが使用するルートテーブルに関連付けます。

国際企業が津波に関する早期警報を提供しています。同社は、IoT デバイスを使用して世界中の海の波を監視することを計画しています。 IoT デバイスによって収集されたデータは、できるだけ早く AWS 上の企業のインフラストラクチャに到達する必要があります。同社は世界中で 3 つのオペレーションセンターを使用しています。各オペレーションセンターは、独自の AWS Direct Connect 接続を通じて AWS に接続されます。各オペレーションセンターは、少なくとも 2 つの上流インターネットサービスプロバイダーを通じてインターネットに接続されています。同社は独自のプロバイダーに依存しない (PI) アドレス空間を持っています。 IoT デバイスは、収集したデータを確実に送信するために TCP プロトコルを使用します。 IoT デバイスは、固定電話とモバイルの両方のインターネット接続を備えています。インフラストラクチャとソリューションは複数の AWS リージョンにデプロイされます。同社は、DNS サービスに Amazon Route 53 を使用します。ネットワークエンジニアは、IoT デバイスと AWS クラウドで実行されるサービスの間の接続を設計する必要があります。これらの要件を最高の可用性で満たすソリューションはどれですか?

AWS Global Accelerator でアクセラレータをセットアップします。地域のエンドポイントグループとヘルスチェックを構成します。

ある企業は、重要なワークロードをオンプレミスのデータセンターから Amazon EC2 インスタンスに移行することを計画しています。このプランには、オンプレミスのデータセンターからトランジットゲートウェイに接続された VPC への新しい 10 Gbps AWS Direct Connect 専用接続が含まれています。移行は、オンプレミスのデータセンターと AWS クラウド間の暗号化されたパスを介して実行する必要があります。最高のスループットを提供しながらこれらの要件を満たせるソリューションはどれですか?

Direct Connect 接続用に MACsec を構成します。トランジットゲートウェイに関連付けられている Direct Connect ゲートウェイにトランジット VIF を構成します。

ネットワークエンジニアは、ルートテーブルに仮想プライベートゲートウェイ、カスタマーゲートウェイ、VPN 接続、静的ルートを作成できる AWS CloudFormation テンプレートを開発する必要があります。ネットワークエンジニアは、テンプレートのテスト中に、CloudFormation テンプレートでエラーが発生し、ロールバックしていることに気づきました。ネットワークエンジニアはエラーを解決するために何をすべきでしょうか?

ルートテーブルエントリのリソース宣言に dependsOn 属性を追加します。仮想プライベートゲートウェイリソースを指定します。

ある企業は、マルチサイトのハイブリッドインフラストラクチャを通じて IT サービスを運用しています。同社は、us-east-1 リージョンと eu-west-2 リージョンの AWS にリソースをデプロイしています。同社はまた、米国 (US) と英国 (UK) にある自社のデータセンターにもリソースを展開しています。両方の AWS リージョンで、同社はトランジットゲートウェイを使用して 15 の VPC を相互に接続しています。同社は、2 つのトランジットゲートウェイ間にトランジットゲートウェイピアリング接続を作成しました。 VPC CIDR ブロックは、相互に重複したり、データセンター内で使用される IP アドレスと重複したりすることはありません。 VPC CIDR プレフィックスは、地域レベルまたは会社の AWS 環境全体に対して集約することもできます。データセンターはプライベート WAN 接続によって相互に接続されています。 IP ルーティング情報は、内部 BGP (iBGP) セッションを通じて動的に交換されます。データセンターは、米国に 1 つの AWS Direct Connect 接続、英国に 1 つの Direct Connect 接続を介して AWS への接続を維持します。各 Direct Connect 接続は Direct Connect ゲートウェイで終端され、トランジット VIF を介してローカルのトランジットゲートウェイに関連付けられます。トラフィックは、送信元から宛先までの最短の地理的パスをたどります。たとえば、eu-west-2 のリソースを宛先とする英国のデータセンターからのパケットは、ローカルの Direct Connect 接続を経由して送信されます。英国のデータセンターから us-east-1 の VPC へなど、リージョンをまたがるデータ転送の場合は、AWS のコストを最小限に抑えるためにプライベート WAN 接続を使用する必要があります。ネットワークエンジニアは、ローカルリージョンからのみ VPC 固有の CIDR IP プレフィックスをアドバタイズするように、Direct Connect ゲートウェイ上の各トランジットゲートウェイアソシエーションを構成しました。他のリージョンへのルートは、元の非集約形式で他のデータセンターのルーターから BGP 経由で学習する必要があります。同社は最近、プライベート WAN 接続の問題により、リージョン間のデータ転送で問題が発生しました。ネットワークエンジニアは、今後同様の中断が発生しないようにルーティング設定を変更する必要があります。ネットワークが正常に動作している場合、ソリューションは元のトラフィックルーティング目標を変更できません。これらの要件を満たすのはどの変更ですか? (2つお選びください。)

他のリージョンとローカル VPC CIDR ブロックの集約 IP プレフィックスを、ローカル Direct Connect 接続を通じてアドバタイズされるサブネットのリストに追加します, ローカル Direct Connect 接続を通じてアドバタイズされたサブネットのリストからすべての VPC CIDR プレフィックスを削除します。両方の地域集約 IP プレフィックスを、ネットワークの両側の Direct Connect 接続を通じてアドバタイズされるサブネットのリストに追加します。受信した BGP コミュニティに基づいてルーティングを決定するようにデータセンタールーターを構成します。

企業のネットワークエンジニアは、ネットワーク異常のトラブルシューティングと検出に役立つ新しいソリューションを設計する必要があります。ネットワークエンジニアはトラフィックミラーリングを構成しました。ただし、ミラーリングされたトラフィックは、トラフィックミラーリングのターゲットである Amazon EC2 インスタンスを圧倒します。 EC2 インスタンスは、会社のセキュリティチームがトラフィックを分析するために使用するツールをホストします。ネットワークエンジニアは、ミラーリングされたトラフィックの需要に合わせて拡張できる可用性の高いソリューションを設計する必要があります。これらの要件を満たすソリューションはどれですか?

ネットワークロードバランサー (NLB) をトラフィックミラーターゲットとして展開します。 NLBの裏側。 Auto Scaling グループに EC2 インスタンスのフリートをデプロイします。必要に応じてトラフィックミラーリングを使用します。

ある企業はハイブリッドアーキテクチャを使用しており、オンプレミスデータセンターと AWS の間に AWS Direct Connect 接続を備えています。同社は、オンプレミスのデータセンターで実行される実稼働アプリケーションを持っています。同社には、VPC で実行される実稼働アプリケーションもあります。オンプレミスデータセンターで実行されるアプリケーションは、VPC で実行されるアプリケーションと通信する必要があります。同社はオンプレミスリソースのドメイン名として corp.example.com を使用し、VPC リソースをホストするために aws.example.com の Amazon Route 53 プライベートホストゾーンを使用しています。同社は、VPC サブネットでオープンソースの再帰 DNS リゾルバーを使用し、オンプレミスデータセンターでも DNS リゾルバーを使用しています。同社のオンプレミス DNS リゾルバーには、aws.example.com ドメイン名に対するリクエストを VPC 内の DNS リゾルバーに転送するフォワーダーがあります。 VPC の DNS リゾルバーには、corp.example.com ドメイン名に対するリクエストをオンプレミスデータセンターの DNS リゾルバーに転送するフォワーダーがあります。同社は、オープンソースの再帰 DNS リゾルバーを Amazon Route 53 リゾルバーエンドポイントに置き換えることにしました。ネットワークエンジニアがこの置き換えを行うには、どの手順の組み合わせを実行する必要がありますか? （3つお選びください。）

aws.example.com ドメインクエリを受信エンドポイントの IP アドレスに転送するようにオンプレミスの DNS リゾルバーを設定します。, Route 53 リゾルバーのインバウンドエンドポイントと Route 53 リゾルバーのアウトバウンドエンドポイントを作成します。, Route 53 リゾルバールールを作成して、corp.example.com ドメインクエリをオンプレミス DNS リゾルバーの IP アドレスに転送します。

政府の請負業者は、顧客向けに複数の VPC を備えたマルチアカウント環境を設計しています。ネットワークセキュリティポリシーでは、2 つの VPC 間のすべてのトラフィックがサードパーティアプライアンスによって透過的に検査されることが必要です。顧客は、AWS Transit Gateway を備えたソリューションを望んでいます。セットアップは複数のアベイラビリティーゾーンにわたって高可用性である必要があり、ソリューションは自動フェイルオーバーをサポートする必要があります。さらに、非対称ルーティングは検査アプライアンスではサポートされていません。これらの要件を満たすソリューションの一部となる手順の組み合わせはどれですか? (2つお選びください。)

指定された検査 VPC 内の複数のアベイラビリティーゾーンにまたがる複数のアプライアンスで構成される 2 つのクラスターをデプロイします。 VPC アタッチメントを使用して、検査 VPC をトランジットゲートウェイに接続します。ターゲットグループを作成し、アプライアンスをターゲットグループに登録します。ゲートウェイロードバランサーを作成し、新しく作成したターゲットグループに転送するように設定します。インスペクション VPC のトランジットゲートウェイサブネットに、ゲートウェイロードバランサーエンドポイントに向かうデフォルトルートを設定します。, トランジットゲートウェイ上に 2 つのルートテーブルを設定します。 1 つのルートテーブルをアプリケーション VPC のすべてのアタッチメントに関連付けます。他のルートテーブルを検査 VPC のアタッチメントに関連付けます。すべての VPC アタッチメントを検査ルートテーブルに伝播します。アプリケーションルートテーブルに静的デフォルトルートを定義します。検査 VPC に接続するアタッチメントでアプライアンスモードを有効にします。

ある企業は、VPC 内のプライベートサブネットに Amazon EC2 インスタンスをデプロイしました。 EC2 インスタンスは、AWS Direct Connect 接続を介した会社のオンプレミスデータセンターへのリクエストを含め、VPC から出るリクエストを開始する必要があります。 VPC の外部のリソースが EC2 インスタンスと直接通信できるようにすることはできません。オンプレミスデータセンターのカスタマーゲートウェイは、複数の VPC との間で送受信されるリクエストをフィルター処理するステートフルファイアウォールデバイスで構成されています。さらに、同社は単一の IP 一致ルールを使用して、単一の IP アドレスからの EC2 インスタンスからデータセンターへのすべての通信を許可したいと考えています。運用オーバーヘッドを最小限に抑えながらこれらの要件を満たすソリューションはどれですか?

EC2 インスタンスがデプロイされている VPC 内のプライベートサブネットに NAT ゲートウェイをデプロイします。 NAT ゲートウェイのタイプをプライベートとして指定します。 NAT ゲートウェイに割り当てられた IP アドレスからの接続を許可するようにオンプレミスのファイアウォールを構成します。

あるグローバル企業は、すべての非本番環境を 3 つの AWS リージョン (eu-west-1、us-east-1、us-west-1) から運用しています。同社は、すべての運用ワークロードを 2 つのオンプレミスデータセンターでホストしています。この会社には 60 の AWS アカウントがあり、各アカウントには各リージョンに 2 つの VPC があります。各 VPC には仮想プライベートゲートウェイがあり、データセンターへの復元力のある接続を実現するために 2 つの VPN 接続が終端します。同社には各データセンターへの 360 の VPN トンネルがあるため、管理オーバーヘッドが高くなります。各リージョンの合計 VPN スループットは 500 Mbps です。同社は本番環境を AWS に移行したいと考えています。同社は、ネットワークアーキテクチャを簡素化し、将来の成長を可能にするソリューションを必要としています。運用環境では、データセンターに戻るトラフィックがリージョンごとに追加で 2 Gbps 生成されます。このトラフィックは時間の経過とともに増加します。これらの要件を満たすソリューションはどれですか?

各データセンターから新たに委託された複数の VPN 接続を使用して、各リージョンにトランジットゲートウェイを作成します。 AWS Resource Access Manager (AWS RAM) を使用して、トランジットゲートウェイを各アカウントと共有します。各リージョンで、トランジットゲートウェイを各 VPCに接続します。仮想プライベートゲートウェイに直接接続されている既存の VPN 接続を削除します。

ある企業は、単一 VPC 内の AWS 上に Web サイトを構築しています。 VPC には、2 つのアベイラビリティーゾーンにパブリックサブネットとプライベートサブネットがあります。 Web サイトには画像などの静的なコンテンツがあります。同社はコンテンツの保存に Amazon S3 を使用しています。同社は、Amazon EC2 インスタンスのフリートをプライベートサブネット内の Web サーバーとしてデプロイしました。 EC2 インスタンスは、Application Load Balancer の背後にある Auto Scaling グループにあります。 EC2 インスタンスはトラフィックを処理し、Web ページをレンダリングするには S3 バケットからコンテンツを取得する必要があります。同社は、S3 バケットへのオンプレミス接続にパブリック VIF を備えた AWS Direct Connect を使用しています。ネットワークエンジニアは、EC2 インスタンスと Amazon S3 間のトラフィックが NAT ゲートウェイを介してルーティングされていることに気づきました。トラフィックが増加するにつれて、企業のコストも増加しています。ネットワークエンジニアは、EC2 インスタンスと Amazon S3 間のトラフィックによって生じる NAT ゲートウェイのコストを削減するために、接続を変更する必要があります。これらの要件を満たすソリューションはどれですか?

Amazon S3 のゲートウェイ VPC エンドポイントを実装します。 VPC ルートテーブルを更新します。

ある企業は、AWS 環境の可視性を向上させたいと考えています。 AWS 環境は、トランジットゲートウェイに接続された複数の VPC で構成されます。トランジットゲートウェイは、AWS Direct Connect ゲートウェイとトランジット VIF を使用する冗長 Direct Connect 接続のペアを介してオンプレミスデータセンターに接続します。企業は、新しいルートがオンプレミスから Direct Connect 経由で AWS にアドバタイズされるたびに通知を受け取る必要があります。これらの要件を満たすためにネットワークエンジニアは何をすべきでしょうか?

Transit Gateway Network Manager を Amazon CloudWatch Logs Insights にオンボードします。 Amazon EventBridge (Amazon CloudWatch Events) を使用して、ルートが変更されたときに通知を送信します。

あるソフトウェア会社は、AWS クラウドでホストされる Software-as-a-Service (SaaS) 会計アプリケーションを提供しています。このアプリケーションには、会社のオンプレミスネットワークへの接続が必要です。同社は、アプリケーションに対する需要の増大に対応するために、AWS とオンプレミスネットワークの間に 2 つの冗長 10 GB AWS Direct Connect 接続を備えています。同社はすでにオンプレミスネットワークとコロケーションの間に暗号化を導入しています。同社は、今後数か月以内に AWS とコロケーション内のエッジルーター間のトラフィックを暗号化する必要があります。企業は現在の帯域幅を維持する必要があります。運用上のオーバーヘッドを最小限に抑えてこれらの要件を満たすために、ネットワークエンジニアは何をすべきでしょうか?

MACsec を使用して 10 GB Direct Connect 接続の新しいペアを展開します。エッジルーターでMACsecを設定します。トラフィックを新しい Direct Connect 接続に再ルーティングします。元の Direct Connect 接続を廃止する。

ある企業は、Application Load Balancer (ALB) の背後にある Amazon EC2 インスタンスでアプリケーションをホストしています。同社は最近、ネットワークセキュリティ侵害を経験しました。ネットワークエンジニアは、アプリケーションにアクセスする各ユーザーのクライアント IP アドレス、ターゲット IP アドレス、ターゲットポート、およびユーザーエージェントを含むログを収集して分析する必要があります。これらの要件を満たす最も運用効率の高いソリューションは何ですか?

Amazon S3 バケットにログを保存するように ALB を設定します。 Amazon Athena を使用して、Amazon S3 のログを分析します。

あるメディア会社は、世界中の視聴者を対象としたニュース Web サイトを導入しています。このウェブサイトは、コンテンツ配信ネットワークとして Amazon CloudFront を使用しています。バックエンドは、Application Load Balancer (ALB) の背後にある Amazon EC2 Windows インスタンス上で実行されます。インスタンスは Auto Scaling グループの一部です。同社の顧客は、CloudFront カスタムドメイン名として service example com を使用して Web サイトにアクセスします。 CloudFront オリジンは、ドメイン名として service-alb.example.com を使用する ALB を指します。会社のセキュリティポリシーでは、ユーザーとバックエンドの間で転送中のトラフィックを常に暗号化する必要があります。このセキュリティ要件を満たすために企業はどのような変更を組み合わせる必要がありますか? （3つお選びください。）

AWS Certificate Manager (ACM) を使用して、service.example.com の証明書を作成します。このカスタム SSL/TLS 証明書を使用するように CloudFront を設定します。 HTTP を HTTPS にリダイレクトするようにデフォルトの動作を変更します。, EC2 インスタンスの任意のドメイン名を使用して、サードパーティの証明書プロバイダーからパブリック証明書を作成します。この証明書を HTTPS リスナーに使用するようにバックエンドを構成します。ターゲットに HTTPS プロトコルを使用する新しいターゲットグループの作成時に、インスタンスターゲットタイプを指定します。既存の Auto Scaling グループをこの新しいターゲットグループにアタッチします。, AWS Certificate Manager (ACM) を使用して、service-alb.example.com の証明書を作成します。 ALB で、新しいターゲットグループと service-alb.example.com ACM 証明書を使用する新しい HTTPS リスナーを追加します。 HTTPS プロトコルのみを使用するように CloudFront オリジンを変更します。 ALB 上の HTTP リスナーを削除します。

ある企業は、ネットワークロードバランサー (NLB) の背後にある Amazon EC2 インスタンスでアプリケーションをホストしています。ソリューションアーキテクトは、アプリケーションの可用性を向上させるために、2 番目のアベイラビリティーゾーンに EC2 インスタンスを追加しました。ソリューションアーキテクトは、インスタンスを NLB ターゲットグループに追加しました。会社の運用チームは、トラフィックが最初のアベイラビリティーゾーン内のインスタンスにのみルーティングされていることに気づきました。この問題を解決する最も運用効率の高いソリューションは何ですか?

NLB で新しいアベイラビリティーゾーンを有効にする

ネットワークエンジニアは、可用性の高いアーキテクチャで Linux ベースのネットワークアプライアンスを実行するために、Amazon EC2 Auto Scaling グループをセットアップする必要があります。ネットワークエンジニアは、Auto Scaling グループの新しい起動テンプレートを構成しています。ネットワークアプライアンスには、プライマリネットワークインターフェイスに加えて、インターネット経由でホストとトラフィックを交換するためにアプリケーションによって排他的に使用される 2 番目のネットワークインターフェイスが必要です。同社は、2 番目のネットワークインターフェイスのパブリック IP アドレスとして使用する必要がある Elastic IP アドレスを含む、Bring Your Own IP (BYOIP) プールを設定しました。ネットワークエンジニアは必要なアーキテクチャをどのように実装すればよいでしょうか?

Auto Scaling グループの作成中に、プライマリネットワークインターフェイスのサブネットを選択します。ユーザーデータオプションを使用して、cloud-init スクリプトを実行して 2 番目のネットワークインターフェイスを割り当て、BYOIP プールから Elastic IP アドレスを関連付けます。

ある企業はインターネット経由でアプリケーションを配信します。 Amazon Route 53 パブリックホストゾーンは、会社とそのインターネットアプリケーションのための権威 DNS サービスであり、すべてが同じドメイン名から提供されます。ネットワークエンジニアは、アプリケーションの 1 つの新しいバージョンに取り組んでいます。アプリケーションのすべてのコンポーネントは AWS クラウドでホストされます。アプリケーションは 3 層設計になっています。フロントエンドは、Elastic IP アドレスが割り当てられたパブリックサブネットにデプロイされた Amazon EC2 インスタンスを通じて配信されます。バックエンドコンポーネントは、RFC1918 に基づいてプライベートサブネットにデプロイされます。アプリケーションのコンポーネントは、パブリックインターネット上で使用されるホスト名と同じホスト名を使用して、アプリケーションの VPC 内のアプリケーションの他のコンポーネントにアクセスできる必要があります。ネットワークエンジニアは、新しいホスト名の導入や DNS エントリの廃止など、将来の DNS の変更にも対応する必要があります。これらの要件を満たす手順の組み合わせはどれですか? （3つお選びください。）

同じドメイン名に Route 53 プライベートホストゾーンを作成するアプリケーションの VPC を新しいプライベートホストゾーンに関連付けます。, アプリケーションの VPC の DNS ホスト名を有効にします。, 対応するプライベート IP アドレスを使用して、パブリックホストゾーン内の名前ごとにプライベートホストゾーンにエントリを作成します。

ある企業がアプリケーションを導入しています。アプリケーションは、Amazon Elastic Container Service (Amazon ECS) クラスター内の一連のコンテナーに実装されます。同社はタスクに Fargate 起動タイプを使用します。コンテナーは、SSL 接続経由で開始される接続を必要とするワークロードを実行します。トラフィックは、プライベート接続を介して他の AWS アカウントからアプリケーションに流れることができる必要があります。より多くの消費者がアプリケーションを使用するにつれて、アプリケーションは管理可能な方法で拡張する必要があります。これらの要件を満たすソリューションはどれですか?

ECS サービスのロードバランサーのタイプとしてネットワークロードバランサー (NLB) を選択します。サービス定義で NLB を指定します。 NLB の VPC エンドポイントサービスを作成します。 VPC エンドポイントサービスを他の AWS アカウントと共有します。

会社の開発チームが新製品レコメンデーション Web サービスを作成しました。 Web サービスは、CIDR ブロック 192.168.224.0/19 を持つ VPC でホストされています。同社は Web サービスを Amazon EC2 インスタンスにデプロイし、Auto Scaling グループを Network Load Balancer (NLB) のターゲットとして構成しました。同社は、製品の推奨を受け取ったユーザーが、製品の推奨を受け取らないユーザーよりも多くのお金を費やすかどうかを判断するテストを実行したいと考えています。同社は 5 日後に大規模な販売イベントを開催するため、それまでに既存の運用環境をレコメンデーションエンジンと統合する必要があります。既存の本番環境は、CIDR ブロック 192.168.128 0/17 を持つ VPC でホストされています。ネットワークエンジニアは、既存の環境への混乱を最小限に抑えるソリューションを設計してシステムを統合する必要があります。これらの要件を満たすソリューションはどれですか?

VPC エンドポイントサービスを作成します。 VPC エンドポイントサービスを Web サービスの NLB に関連付けます。既存の本番 VPC に Web サービスのインターフェイス VPC エンドポイントを作成します。

ネットワークエンジニアは、新しいアプリケーションの今後のリリースに備えて、会社のハイブリッドネットワークを更新して IPv6 をサポートする必要があります。アプリケーションは AWS クラウドの VPC でホストされます。同社の現在の AWS インフラストラクチャには、トランジットゲートウェイによって接続された VPC が含まれています。トランジットゲートウェイは、AWS Direct Connect および AWS Site-to-Site VPN によってオンプレミスネットワークに接続されます。同社のオンプレミスデバイスは、新しい IPv6 要件をサポートするために更新されました。同社は、新しい IPv6 CIDR ブロックを VPC に割り当て、IPv6 をデュアルスタックサポートのサブネットに割り当てることにより、既存の VPC で IPv6 を有効にしました。同社は、更新されたサブネットで新しいアプリケーション用に新しい Amazon EC2 インスタンスを起動しました。ハイブリッドネットワークを更新して IPv6 をサポートする場合、ネットワークエンジニアは現在のインフラストラクチャに変更を加えないようにする必要があります。ネットワークエンジニアは、インターネットからインスタンスの新しい IPv6 アドレスへの直接アクセスもブロックする必要があります。ただし、ネットワークエンジニアはインスタンスからのアウトバウンドインターネットアクセスを許可する必要があります。これらの要件を満たす最も運用効率の高いソリューションは何ですか?

Direct Connect トランジット VIF を更新し、AWS が割り当てた IPv6 ピアリングアドレスを使用して BGP ピアリングを構成します。 IPv6 接続をサポートする新しい VPN 接続を作成します。下り専用インターネットゲートウェイを追加します。影響を受ける VPC セキュリティグループとルートテーブルを更新して、VPC 内および VPC とオンプレミスデバイス間の接続を提供します

ネットワークエンジニアは、一意のランダムセッションキーを使用して、Application Load Balancer (ALB) で暗号化されたデータを保護するための追加の保護手段を提供する必要があります。この要件を満たすためにネットワークエンジニアは何をすべきでしょうか?

ALB セキュリティポリシーを Forward Secrecy (FS) をサポートするポリシーに変更します。

ある企業は、すべてのオフィスを相互接続するためにソフトウェアデファインド WAN (SD-WAN) ソリューションを導入しました。同社はワークロードを AWS に移行しており、これらのワークロードへの接続をサポートするために SD-WAN ソリューションを拡張する必要があります。ネットワークエンジニアは、この接続を提供するために、AWS Transit Gateway Connect と 2 つの SD-WAN 仮想アプライアンスをデプロイすることを計画しています。会社のポリシーによれば、一度に AWS ワークロードからのトラフィックを処理できるのは 1 つの SD-WAN 仮想アプライアンスだけです。ネットワークエンジニアは、これらの要件を満たすためにルーティングをどのように構成すればよいでしょうか?

トランジットゲートウェイへの BGP ルートのセカンダリ SD-WAN 仮想アプライアンスで AS_PATH プリペンド属性を構成します。

ある企業は、多数のソフトウェア定義 WAN (SD-WAN) サイトの展開を計画しています。同社は AWS Transit Gateway を使用しており、必要な AWS リージョンにトランジットゲートウェイをデプロイしています。ネットワークエンジニアは、トランジットゲートウェイに接続されている VPC に SD-WAN ハブ仮想アプライアンスをデプロイする必要があります。このソリューションは、SD-WAN ハブ仮想アプライアンスからトランジットゲートウェイに接続されている他の VPC までのスループットを少なくとも 5 Gbps サポートする必要があります。これらの要件を満たすソリューションはどれですか?

新しい CIDR ブロックをトランジットゲートウェイに割り当てます。 SD-WAN ハブ仮想アプライアンス用の新しい VPC を作成します。 VPC アタッチメントを使用して、新しい VPC をトランジットゲートウェイに接続します。トランジットゲートウェイ接続アタッチメントを追加します。 Connect ピアを作成し、GRE および BGP パラメータを指定します。 SD-WAN ハブ仮想アプライアンスがトランジットゲートウェイにルーティングするためのルートを適切な VPC に作成します。

ある企業が AWS に新しいアプリケーションをデプロイしています。アプリケーションは動的マルチキャストを使用します。同社には 5 つの VPC があり、それらはすべてトランジットゲートウェイに接続されています。各 VPC の Amazon EC2 インスタンスは、マルチキャスト送信を受信するために動的に登録できる必要があります。これらの要件を満たすために、ネットワークエンジニアは AWS リソースをどのように構成すればよいでしょうか?

トランジットゲートウェイ内にインターネットグループ管理プロトコル (IGMP) マルチキャストドメインを作成します。 VPC および該当するサブネットをマルチキャストドメインに関連付けます。マルチキャスト送信者のネットワークインターフェイスをマルチキャストドメインに登録します。ネットワーク ACL を調整して、送信元からすべての受信者への UDP トラフィックを許可し、マルチキャストグループアドレスに送信される UDP トラフィックを許可します。

ある企業は、自社の e コマース Web サイトに新しい機能を作成しています。これらの機能は、異なるパスを通じてアクセスされる複数のマイクロサービスを使用します。マイクロサービスは Amazon Elastic Container Service (Amazon ECS) 上で実行されます。同社は、すべての公開 Web サイトで HTTPS の使用を要求しています。アプリケーションには顧客の送信元 IP アドレスが必要です。ネットワークエンジニアは、これらの要件を満たす負荷分散戦略を実装する必要があります。この目標を達成するには、ネットワークエンジニアはどのアクションの組み合わせを実行する必要がありますか? (2つお選びください。)

X-Forwarded-For ヘッダーを使用してクライアント IP アドレスを取得します。, アプリケーションロードバランサーを使用します。

ある企業は、コンテナ化されたアプリケーションを AWS に移行しています。このアーキテクチャでは、同社は、Amazon Elastic Kubernetes Service (Amazon EKS) クラスター内のフロントエンドポッドにトラフィックを分散するために、Network Load Balancer (NLB) を備えたイングレス VPC を用意します。アプリケーションのフロントエンドは、どのユーザーがアクセスを要求しているかを判断し、10 個のサービス VPC のうちの 1 つにトラフィックを送信します。各サービス VPC には、EKS クラスター内のサービスポッドにトラフィックを分散する NLB が含まれます。同社は全体的なコストを懸念している。ユーザートラフィックは、毎月、イングレス VPC からサービス VPC への 10 TB を超えるデータ転送を担当します。ネットワークエンジニアは、VPC 間の通信を設計する方法を推奨する必要があります。最も低コストでこれらの要件を満たすソリューションはどれですか?

入力 VPC と 10 個の各サービス VPC の間に VPC ピアリング接続を作成します。サービス VPC の NLB にゾーン DNS 名を使用して、受信 VPC からサービス VPC へのクロス AZ トラフィックを最小限に抑えます。

ある企業には、一元化された共有サービス VPC 内の複数のアベイラビリティーゾーンにデプロイされたステートフルセキュリティアプライアンスがあります。 AWS 環境には、アプリケーション VPC と共有サービス VPC に接続されたトランジットゲートウェイが含まれています。アプリケーション VPC には、複数のアベイラビリティーゾーンにわたるプライベートサブネットにデプロイされるワークロードがあります。共有サービス VPC のステートフルアプライアンスは、すべての East West (VPC 間) トラフィックを検査します。ユーザーは、異なるアベイラビリティーゾーンへの VPC 間のトラフィックが低下していると報告しています。ネットワークエンジニアは、アプリケーション VPC 全体の異なるアベイラビリティゾーンにあるワークロード間で Internet Control Message Protocol (ICMP) ping を発行することで、この主張を検証しました。ネットワークエンジニアは、トラフィックのドロップの原因として、セキュリティグループ、ステートフルデバイス構成、およびネットワーク ACL を除外しました。トラフィックが減少する原因は何ですか?

アプライアンスモードは、共有サービス VPC へのトランジットゲートウェイ接続では有効になっていません。

ある企業には、us-east-1 リージョンのすべてのアベイラビリティーゾーンにわたる 2 つの本番 VPC で実行されている数百の Amazon EC2 インスタンスがあります。本番 VPC の名前は次のとおりです。 VPC A と VPC B。新しいセキュリティ規制では、トラフィックが最終宛先にルーティングされる前に、本番 VPC 間のすべてのトラフィックを検査することが求められています。同社は、ステートフルファイアウォールアプライアンスと、すべての VPC にわたる VPC アタッチメントを持つトランジットゲートウェイを含む新しい共有 VPC をデプロイし、検査のためにファイアウォールアプライアンスを介して VPC A と VPC B の間のトラフィックをルーティングします。同社はテスト中に、トラフィックが 2 つのアベイラビリティーゾーン間で発生するたびに、トランジットゲートウェイがトラフィックをドロップしていることに気付きました。最小限の管理オーバーヘッドでこの問題を解決するには、ネットワークエンジニアは何をすべきでしょうか?

共有 VPC 内の VPC アタッチメントでトランジットゲートウェイアプライアンスモードを有効にします。

ある企業は、Application Load Balancer の背後にある Amazon EC2 インスタンスのフリートに重要なアプリケーションをデプロイしました。アプリケーションには、公共のインターネットからポート 443 で常にアクセスできる必要があります。最近、EC2 セキュリティグループへの誤った変更が原因でアプリケーションが停止しました。ネットワークエンジニアは、セキュリティグループに変更が加えられるたびに、パブリックインターネットと EC2 インスタンスの間のネットワーク接続を検証する方法を自動化する必要があります。また、ソリューションは、変更が接続に影響を与える場合には、ネットワークエンジニアに通知する必要があります。これらの要件を満たすソリューションはどれですか?

ポート 443 に VPC Reachability Analyzer パスを作成します。VPC のインターネットゲートウェイをソースとして指定します。宛先として EC2 インスタンスを指定します。 Amazon Simple Notice Service (Amazon SNS) トピックを作成して、セキュリティグループへの変更が接続に影響を与えたときにネットワークエンジニアに通知します。 AWS Lambda 関数を作成して、Reachability Analyzer を開始し、分析が失敗した場合にメッセージを SNS トピックに公開します。セキュリティグループへの変更が発生したときに Lambda 関数を呼び出す Amazon EventBridge (Amazon CloudWatch Events) ルールを作成します。

セキュリティチームは、企業の AWS 導入の監査を実行しています。セキュリティチームは、ネットワーク ACL とセキュリティグループによってブロックされるべきリソースに 2 つのアプリケーションがアクセスしている可能性があることを懸念しています。アプリケーションは、Kubernetes 用の Amazon VPC Container Network Interface (CNI) プラグインを使用する 2 つの Amazon Elastic Kubernetes Service (Amazon EKS) クラスターにデプロイされます。クラスターは同じ VPC 内の別のサブネットにあり、クラスターオートスケーラーが構成されています。セキュリティチームは、どの POD IP アドレスが VPC 全体でどのサービスと通信しているかを判断する必要があります。セキュリティチームはフローログの数を制限し、2 つのアプリケーションのみからのトラフィックを検査したいと考えています。運用オーバーヘッドを最小限に抑えながらこれらの要件を満たすソリューションはどれですか?

カスタム形式で VPC フローログを作成します。アプリケーションのサブネットをリソースとして設定します。フローログに pkt-srcaddr フィールドと pkt-dstaddr フィールドを含めます。

あるデータ分析会社には、100 ノードのハイパフォーマンスコンピューティング (HPC) クラスターがあります。 HPC クラスターは並列データ処理用であり、AWS クラウドの VPC でホストされます。データ処理ワークフローの一部として、HPC クラスターはいくつかの DNS クエリを実行して、Amazon RDS データベース、Amazon S3 バケット、AWS Direct Connect 経由でアクセスできるオンプレミスデータストアを解決して接続する必要があります。 HPC クラスターは、年末の同社のピークイベント中にサイズが 5 ～ 7 倍に増加する可能性があります。同社は 2 つの Amazon EC2 インスタンスを VPC のプライマリ DNS サーバーとして使用しています。 EC2 インスタンスは、Amazon Route 53 でホストされているドメインのデフォルトの VPC リゾルバーにクエリを転送し、他のオンプレミスでホストされているドメイン名のオンプレミス DNS サーバーにクエリを転送するように設定されています。同社はジョブの失敗に気づき、ノードが RDS および S3 バケットのエンドポイントを解決しようとしたときに、HPC クラスターノードからの DNS クエリが失敗したことを発見しました。最もスケーラブルな方法で DNS サービスを提供するには、ネットワークエンジニアはどのアーキテクチャ変更を実装する必要がありますか?

Route 53 リゾルバーのアウトバウンドエンドポイントを作成します。オンプレミスでホストされているドメイン名のクエリをオンプレミス DNS サーバーに転送する Route 53 リゾルバールールを作成します。 EC2 インスタンスベースの DNS サーバーの代わりにデフォルトの VPC リゾルバーを使用するように HPC クラスターノードを再構成します。 EC2 インスタンスを終了します。

企業のネットワークエンジニアは、2 つのオンプレミスデータセンターから AWS へのアクティブ/パッシブ接続を設計しています。同社は、オンプレミスのデータセンターと AWS の間に AWS Direct Connect 接続を設定しました。企業は、各場所から、トランジットゲートウェイに関連付けられた Direct Connect ゲートウェイに接続するトランジット VIF を使用しています。ネットワークエンジニアは、AWS からデータセンターへのトラフィックが最初にプライマリデータセンターにルーティングされることを確認する必要があります。トラフィックは、障害が発生した場合にのみフェールオーバーデータセンターにルーティングされる必要があります。これらの要件を満たすソリューションはどれですか?

プライマリデータセンターからのすべてのプレフィックスの BGP コミュニティタグを 7224:7300 に設定します。フェールオーバーデータセンターからのすべてのプレフィックスの BGP コミュニティタグを 7224:7100 に設定します。

ある不動産会社は、不動産業者がさまざまな物件の写真やビデオをアップロードできるようにするための内部アプリケーションを構築しています。アプリケーションはこれらの写真とビデオを Amazon S3 バケットにオブジェクトとして保存し、Amazon DynamoDB を使用して対応するメタデータを保存します。 S3 バケットは、新しいオブジェクトのアップロードに対するすべての PUT イベントを Amazon Simple Queue Service (Amazon SQS) キューに発行するように設定されます。 Amazon EC2 インスタンスのコンピューティングクラスターは、SQS キューをポーリングして、新しくアップロードされたオブジェクトを確認します。クラスターは新しいオブジェクトを取得し、独自の画像とビデオの認識と分類を実行して、DynamoDB 内のメタデータを更新し、オブジェクトを新しい透かし入りオブジェクトに置き換えます。同社は EC2 インスタンスにパブリック IP アドレスを使用することを望んでいません。アプリケーションの使用量が増加するにつれて、これらの要件を最もコスト効率よく満たすネットワーキング設計ソリューションはどれでしょうか?

EC2 インスタンスをプライベートサブネットに配置します。 Amazon SQS のインターフェイス VPC エンドポイントを作成します。 Amazon S3 および DynamoDB のゲートウェイ VPC エンドポイントを作成します。

ある企業は、米国 (US) のオンプレミスデータセンターと us-east-1 リージョンのワークロードの間に AWS Direct Connect 接続を持っています。接続では、トランジット VIF を使用して、データセンターを us-east-1 のトランジットゲートウェイに接続します。同社は、英国に新しいオンプレミスデータセンターを備えた新しいオフィスをヨーロッパに開設します。ダイレクト接続接続は、新しいデータセンターを、eu-west-2 リージョンの単一 VPC で実行されているいくつかのワークロードに接続します。会社は、米国のデータセンターおよび us-east-1 をヨーロッパのデータセンターおよび eu-west-2 に接続する必要があります。ネットワークエンジニアは、データセンターとリージョン間の完全な接続を可能な限り最小限の遅延で確立する必要があります。ネットワークエンジニアは、これらの要件を満たすネットワークアーキテクチャをどのように設計すればよいでしょうか?

eu-west-2 の VPC を新しいトランジットゲートウェイに接続します。 Direct Connect ゲートウェイと新しいトランジット VIF を使用して、ヨーロッパデータセンターを新しいトランジットゲートウェイに接続します。 us-east-1 のトランジットゲートウェイを同じ Direct Connect ゲートウェイに関連付けます。両方のトランジット VIF に対して SiteLink を有効にします。 2 つのトランジットゲートウェイをピアリングします。

ネットワークエンジニアは、VPC のプライベートサブネットに Amazon EC2 インスタンスをデプロイしました。 VPC にはパブリックサブネットがありません。 EC2 インスタンスは、Amazon Simple Queue Service (Amazon SQS) キューにメッセージを送信するアプリケーションコードをホストします。サブネットには、変更が適用されていないデフォルトのネットワーク ACL があります。 EC2 インスタンスには、変更が適用されていないデフォルトのセキュリティグループがあります。 SQS キューがメッセージを受信していません。この問題の考えられる原因は次のうちどれですか? (2つお選びください。)

Amazon SQS 用に設定されたインターフェイス VPC エンドポイントがありません。, Amazon SQS によって使用される IP アドレス範囲のサブネットルートテーブルにルートが設定されていません。

ネットワークエンジニアは、AWS サービスとのプライベート通信のためのインターフェイス VPC エンドポイントを一元管理および管理するための企業のアプローチを標準化する必要があります。同社は、ハブアンドスポークモデルによる AWS アカウント間の VPC 間接続に AWS Transit Gateway を使用しています。会社のネットワークサービスチームは、共有サービスの AWS アカウント内のすべての Amazon Route 53 ゾーンとインターフェイスエンドポイントを管理する必要があります。同社は、この一元化モデルを使用して、パブリックインターネット経由でトラフィックを送信せずに AWS リソースに AWS Key Management Service (AWS KMS) へのアクセスを提供したいと考えています。これらの要件を満たすためにネットワークエンジニアは何をすべきでしょうか?

共有サービスアカウントで、AWS KMS のインターフェイスエンドポイントを作成します。プライベート DNS 名を無効にして、インターフェイスエンドポイントを変更します。インターフェイスエンドポイントを指すエイリアスレコードを使用して、共有サービスアカウントにプライベートホストゾーンを作成します。各 AWS アカウントのプライベートホストゾーンをスポーク VPC に関連付けます。

開発チームは AWS クラウドで新しい Web アプリケーションを構築しています。会社の主要ドメイン example.com は現在、会社の実稼働 AWS アカウントの 1 つの Amazon Route 53 パブリックホストゾーンでホストされています。開発者は、必要に応じて DNS レコードを作成および削除できる機能を持つ、example.com ドメインの下のパブリックに解決可能なサブドメインを使用して、会社のステージング AWS アカウントで Web アプリケーションをテストしたいと考えています。開発者はステージングアカウント内の Route 53 ホストゾーンに完全にアクセスできますが、本番環境の AWS アカウントのリソースにアクセスすることは禁止されています。開発者がサンプル com ドメインの下にレコードを作成できるようにするには、ネットワークエンジニアはどの手順を組み合わせる必要がありますか? (2つお選びください。)

example.com ドメインにステージング example.com NS レコードを作成します。 staging.example.com ドメインのネームサーバーを値に入力します。ルーティングポリシータイプを単純ルーティングに設定します。, ステージングアカウントに staging.example.com のパブリックホストゾーンを作成します。

ある企業は、2 層 Web アプリケーションを単一の AWS リージョン内の新しい VPC にデプロイすることを計画しています。同社は、インターネットゲートウェイと 4 つのサブネットを使用して VPC を構成しました。サブネットのうち 2 つはパブリックであり、インターネットゲートウェイを指すデフォルトルートがあります。サブネットのうち 2 つはプライベートで、デフォルトルートを持たないルートテーブルを共有します。アプリケーションは、外部 Application Load Balancer の背後にデプロイされる一連の Amazon EC2 インスタンス上で実行されます。 EC2 インスタンスにはインターネットから直接アクセスできません。アプリケーションは、同じリージョン内の Amazon S3 バケットを使用してデータを保存します。アプリケーションは、EC2 インスタンスから S3 GET API オペレーションと S3 PUT API オペレーションを呼び出します。ネットワークエンジニアは、データ転送コストを最小限に抑える VPC アーキテクチャを設計する必要があります。これらの要件を満たすソリューションはどれですか?

EC2 インスタンスをプライベートサブネットにデプロイします。エンドポイントの作成中にプライベートサブネットの VPSpecify ルートテーブルに S3 ゲートウェイエンドポイントを作成し、Amazon S3 へのルートを作成します。

ある企業には 2 つの AWS アカウントがあり、1 つは本番用、もう 1 つは接続用です。ネットワークエンジニアは、本番アカウント VPC を接続アカウントのトランジットゲートウェイに接続する必要があります。共有添付ファイルを自動的に受け入れる機能は、トランジットゲートウェイでは有効になっていません。これらの要件を満たすために、ネットワークエンジニアは各 AWS アカウントでどの一連の手順に従う必要がありますか?

1. 接続アカウントで: AWS Resource Access Manager でトランジットゲートウェイのリソース共有を作成します。運用アカウント ID を指定します。外部アカウントを許可する機能を有効にします。 2. 本番アカウントの場合: リソースを受け入れます。 3. 本番アカウントで: VPC サブネットへのアタッチメントを作成します。 4. 接続アカウントで: 添付ファイルを受け入れます。ルートテーブルをアタッチメントに関連付けます。

ある企業は、パブリックサブネットの Amazon EC2 インスタンスで複数のワークロードを実行しています。最近のインシデントでは、攻撃者が EC2 インスタンスの 1 つでアプリケーションの脆弱性を悪用し、インスタンスにアクセスしました。同社はアプリケーションを修正し、更新されたアプリケーションを含む代替 EC2 インスタンスを起動しました。攻撃者は侵害されたアプリケーションを使用して、インターネット上にマルウェアを拡散しました。同社は AWS からの通知を通じて侵害に気づきました。同社は、EC2 インスタンスにデプロイされたアプリケーションがいつマルウェアを拡散させているかを特定する機能を必要としています。最小限の運用労力でこの要件を満たすソリューションはどれですか?

Amazon GuardDuty を使用して、DNS リクエストと VPC フローログを検査することでトラフィックパターンを分析します。

ある企業は、Amazon EC2 インスタンスに新しい Web アプリケーションをデプロイします。アプリケーションは、Application Load Balancer (ALB) の背後にある 3 つのアベイラビリティーゾーンのプライベートサブネットで実行されます。セキュリティ監査者はすべての接続の暗号化を要求します。同社は Amazon Route 53 を DNS に使用し、AWS Certificate Manager (ACM) を使用して SSL/TLS 証明書のプロビジョニングを自動化しています。 SSL/TLS 接続は ALB で終了します。同社は単一の EC2 インスタンスを使用してアプリケーションをテストしましたが、問題は観察されませんでした。ただし、運用展開後、ユーザーはログインはできるがアプリケーションを使用できないと報告します。新しい Web リクエストが発生するたびに、ログインプロセスが再開されます。この問題を解決するには、ネットワークエンジニアは何をすべきでしょうか?

スティッキー属性を有効にして、ALB ターゲットグループ設定を変更します。アプリケーションベースの Cookie を使用します。期間をアプリケーションセッションの最大長に設定します。

ある企業は最近、セキュリティコンプライアンス要件を満たすために、Amazon EC2 インスタンスを VPC プライベートサブネットに移行しました。 EC2 インスタンスは、インターネットアクセスに NAT ゲートウェイを使用するようになりました。移行後、プライベート EC2 インスタンスからパブリックにアクセス可能なサードパーティデータベースへの一部の長時間実行データベースクエリは応答を受信しなくなります。データベースクエリログから、クエリは 7 分後に正常に完了しましたが、クライアント EC2 インスタンスが応答を受信していないことがわかります。この問題を解決するには、ネットワークエンジニアはどの構成変更を実装する必要がありますか?

クライアント EC2 インスタンスで TCP キープアライブを 300 秒未満の値で有効にします。

ある企業は、AWS Direct Connect を使用して、企業ネットワークを同じ AWS アカウントおよび同じ AWS リージョン内の複数の VPC に接続します。各 VPC は、Direct Connect 接続上で独自のプライベート VIF と独自の仮想 LAN を使用します。会社は成長しており、まもなく接続ごとの VPC とプライベート VIF の制限を超えます。オンプレミス接続で VPC を追加する最もスケーラブルな方法は何ですか?

トランジットゲートウェイを作成し、VPC を接続します。 Direct Connect ゲートウェイを作成し、それをトランジットゲートウェイに関連付けます。 Direct Connect ゲートウェイへのトランジット VIF を作成します。

ネットワークエンジニアは、会社のデータセンターと 2 つの AWS リージョン (us-east-1 および eu-west-1) の間で 1 Gbps AWS Direct Connect 接続を使用するハイブリッドアーキテクチャを設計しています。 us-east-1 の VPC はトランジットゲートウェイによって接続されており、いくつかのオンプレミスデータベースにアクセスする必要があります。会社のポリシーに従って、eu-west-1 内の 1 つの VPC のみが 1 つのオンプレミスサーバーに接続できます。オンプレミスネットワークは、データベースとサーバー間のトラフィックをセグメント化します。これらの要件を満たすために、ネットワークエンジニアは Direct Connect 接続をどのように設定すればよいでしょうか?

専用の接続を 1 つ作成します。トランジット VIF を使用して、us-east-1 のトランジットゲートウェイに接続します。プライベート VIF を使用して、eu-west-1 の VPC に接続します。 2 つの Direct Connect ゲートウェイ (VIF ごとに 1 つ) を使用して、Direct Connect の場所から対応する AWS リージョンに、レイテンシーが最も低いパスに沿ってルーティングします。

ある企業は、インターネットへの送信トラフィックに NAT ゲートウェイを使用するアプリケーションを VPC にデプロイしました。ネットワークエンジニアは、VPC からインターネット経由で拒否リストに含まれている IP アドレスに大量の疑わしいネットワークトラフィックが送信されていることに気づきました。ネットワークエンジニアは、どの AWS リソースが不審なトラフィックを生成しているかを特定するソリューションを実装する必要があります。ソリューションでは、コストと管理オーバーヘッドを最小限に抑える必要があります。これらの要件を満たすソリューションはどれですか?

VPC フローログを使用します。フローログを Amazon CloudWatch Logs のロググループに公開します。 CloudWatch Logs Insights を使用してフローログをクエリし、不審なトラフィックを生成している AWS リソースを特定します。

ある企業は、アカウント 1 の eu-west-1 リージョンに本番 VPC (VPC-A) を持っています。VPC-A は、ダブリンのオンプレミスデータセンターに接続されているトランジットゲートウェイ (TGW-A) に接続されています。アイルランド、AWS Direct Connect ゲートウェイ用に構成された AWS Direct Connect トランジット VIF による。同社には、アカウント 2 の eu-west-2 リージョンの別のトランジットゲートウェイ (TGW-B) に接続されたステージング VPC (VPC-B) もあります。ネットワークエンジニアは、VPC-B とダブリンのオンプレミスデータセンター間の接続を実装する必要があります。これらの要件を満たすソリューションはどれですか? (2つお選びください。)

TGW-B を Direct Connect ゲートウェイに関連付けます。許可されたプレフィックスの下で VPC-B CIDR ブロックをアドバタイズします。, TGW-A と TGW-B の間のリージョン間トランジットゲートウェイピアリングを構成します。ピアリングルートをトランジットゲートウェイルートテーブルに追加します。 VPC-A と VPC-B の両方の CIDR ブロックを、Direct Connect ゲートウェイ関連付けの許可されたプレフィックスリストに追加します。

会社のネットワークエンジニアは、AWS クラウドワークロード用のハイブリッド DNS ソリューションを設計しています。個々のチームは、開発環境でアプリケーションの独自の DNS ホスト名を管理したいと考えています。このソリューションでは、アプリケーション固有のホスト名とオンプレミスネットワークからの一元管理される DNS ホスト名を統合し、双方向の名前解決を提供する必要があります。また、ソリューションでは管理オーバーヘッドを最小限に抑える必要があります。これらの要件を満たすために、ネットワークエンジニアはどの手順を組み合わせる必要がありますか? （3つお選びください。）

Amazon Route 53 リゾルバーのインバウンドエンドポイントを使用します。, Amazon Route 53 Resolver アウトバウンドエンドポイントを使用します。, Amazon Route 53 プライベートホストゾーンを作成します。

ある企業は、Application Load Balancer (ALB) の背後にある Amazon EC2 インスタンスで Web アプリケーションをホストしています。 ALB は、Amazon CloudFront ディストリビューションのオリジンです。同社は、認証された顧客にトークンを提供するカスタム認証システムを実装したいと考えています。 Web アプリケーションは、コンテンツを配信する前に、GET/POST リクエストが認証された顧客からのものであることを確認する必要があります。ネットワークエンジニアは、Web アプリケーションが許可された顧客を識別できるようにするソリューションを設計する必要があります。これらの要件を満たす最も運用効率の高いソリューションは何ですか?

AWS Lambda@Edge 関数を使用して、GET/POST リクエストペイロード内の承認されたトークンを検査します。 Lambda@Edge 関数を使用して、認証された顧客リクエストを Web アプリケーションに通知するカスタマイズされたヘッダーを挿入することもできます。

ある企業は、実稼働 VPC、非実稼働 VPC、および共有サービス VPC の 3 つの VPC を作成しました。実稼働 VPC と非実稼働 VPC はそれぞれ、共有サービス VPC と通信する必要があります。実稼働 VPC と非実稼働 VPC の間に通信があってはなりません。 VPC 間の通信を容易にするために、トランジットゲートウェイがデプロイされます。トランジットゲートウェイ上のどのルートテーブル構成がこれらの要件を満たすでしょうか?

共有サービス VPC のみの伝播ルートに関連付けられた実稼働および非実稼働 VPC アタッチメントを使用してルートテーブルを構成します。実稼働 VPC および非実稼働 VPC から伝播されたルートに関連付けられた共有サービス VPC アタッチメントのみを含む追加のルートテーブルを作成します。

ある企業は、自社のオンプレミスデータセンターから AWS クラウドの仮想プライベートゲートウェイへの AWS Site-to-Site VPN 接続を使用しています。輻輳のため、トラフィックがインターネット上を通過する前に可用性とパフォーマンスの問題が発生しています。トラフィックは AWS に到達します。ネットワークエンジニアは、最小限の管理労力で、接続に関するこれらの問題をできるだけ早く軽減する必要があります。これらの要件を満たすソリューションはどれですか?

既存の仮想プライベートゲートウェイと同じ AWS リージョンにトランジットゲートウェイを構成します。新しい高速サイト間 VPN 接続を作成します。 VPN アタッチメントを使用して、新しい接続をトランジットゲートウェイに接続します。新しいサイト間 VPN 接続を使用するようにカスタマーゲートウェイデバイスを更新します。既存のサイト間 VPN 接続を削除します。

オーストラリアの e コマース企業は、すべてのサービスを AWS クラウドでホストしており、顧客ベースを米国 (US) に拡大したいと考えています。同社は米国西部での事業拡大を目指している。同社の既存の AWS アーキテクチャは、ap-southeast-2 リージョンにデプロイされた複数の VPC を持つ 4 つの AWS アカウントで構成されています。すべての VPC は、ap-southeast-2 のトランジットゲートウェイに接続されます。各アプリケーションサービスには専用の VPC があります。同社には、プロキシ、ファイアウォール、ロギングなどの集中セキュリティ機能用の VPC もあります。同社は、ap-southeast-2 から us-west-1 リージョンにインフラストラクチャを複製することを計画しています。ネットワークエンジニアは、2 つのリージョン内のさまざまなアプリケーション間の接続を確立する必要があります。ソリューションでは、帯域幅を最大化し、遅延を最小限に抑え、運用上のオーバーヘッドを最小限に抑える必要があります。これらの要件を満たすソリューションはどれですか?

各リージョンのトランジットゲートウェイをピアリングします。各リージョンの IP アドレスに対して 2 つのトランジットゲートウェイ間のルーティングを構成します。

ある IoT 企業は、MQTT メッセージングプロトコルを通じて温度、湿度、圧力、位置データを定期的に送信するハードウェアセンサーモジュールを販売しています。ハードウェアセンサーモジュールは、ロードバランサーの背後の Linux サーバー上で実行される同社のオンプレミス MQTT ブローカーにこのデータを送信します。ハードウェアセンサーモジュールには、ブローカーに到達するためのパブリック IP アドレスがハードコーディングされています。同社は成長しており、世界中で顧客を獲得しています。同社は世界的に存在しているため、既存のソリューションでは拡張できなくなり、追加の遅延が生じています。その結果、同社はインフラストラクチャ全体をオンプレミスから AWS クラウドに移行することを決定しました。同社は、すでに世界中に展開されているハードウェアセンサーモジュールを再構成せずに移行する必要があります。また、ソリューションでは遅延を最小限に抑える必要があります。同社は MQTT ブローカーを移行して Amazon EC2 インスタンス上で実行します。これらの要件を満たすために企業は次に何をすべきでしょうか?

EC2 インスタンスを Network Load Balancer (NLB) の背後に配置します。 TCP リスナーを構成します。 Global Accelerator を使用してオンプレミスネットワークから NLUse Bring Your Own IP (BYOIP) の前に AWS Global Accelerator アクセラレータを作成します。

ある企業が AWS に Web アプリケーションをデプロイしました。 Web アプリケーションは、複数のアベイラビリティーゾーンにわたって Application Load Balancer (ALB) を使用します。 ALB のターゲットは AWS Lambda 関数です。 Web アプリケーションは、モニタリングに Amazon CloudWatch メトリクスも使用します。ユーザーから、Web アプリケーションの一部が正しく読み込まれていないとの報告がありました。ネットワークエンジニアは問題のトラブルシューティングを行う必要があります。ネットワークエンジニアは、ALB のアクセスログを有効にします。 ALB がどのエラーを受信しているかを判断するには、ネットワークエンジニアは次に何をすべきでしょうか?

Amazon S3 バケットの宛先を構成します。 Amazon Athena を使用して、ALB がどのエラーメッセージを受信しているかを確認します。

ある企業は、Amazon S3 を使用して財務データをアーカイブすることを計画しています。現在、データはオンプレミスのデータセンターに保存されています。同社は、オンプレミスデータセンターに接続するために、Direct Connect ゲートウェイとトランジットゲートウェイを備えた AWS Direct Connect を使用しています。データは公共のインターネット上で転送することはできないため、転送中に暗号化する必要があります。これらの要件を満たすソリューションはどれですか?

トランジット VIF 経由で IPsec VPN 接続を作成します。 VPC を作成し、その VPC をトランジットゲートウェイにアタッチします。 VPC で、Amazon S3 のインターフェイス VPC エンドポイントをプロビジョニングします。通信にはHTTPSを使用します。

ある企業は、VPC で Amazon Route 53 リゾルバー DNS ファイアウォールを使用して、承認リストにあるドメインを除くすべてのドメインをブロックしています。同社は、DNS ファイアウォールが応答しない場合、ネットワークが DNS クエリを解決できない場合に VPC 内のリソースが影響を受ける可能性があることを懸念しています。アプリケーションのサービスレベルアグリーメントを維持するには、Route 53 リゾルバーが DNS ファイアウォールから応答を受信しない場合でも、引き続き解決できるように DNS クエリを必要とします。これらの要件を満たすために、ネットワークエンジニアはどの変更を実装する必要がありますか?

DNS ファイアウォール VPC 構成を更新して、VPC のフェールオープンを有効にします。

ある企業は、既存のアプリケーションを新しい AWS アカウントに移行しています。同社は、1 つの VPC と複数のアベイラビリティーゾーンを使用して、単一の AWS リージョンにアプリケーションをデプロイします。アプリケーションは Amazon EC2 インスタンス上で実行されます。各アベイラビリティーゾーンには複数の EC2 インスタンスがあります。 EC2 インスタンスはプライベートサブネットにデプロイされます。会社のクライアントは、HTTPS プロトコルを備えた Web ブラウザを使用してアプリケーションに接続します。インバウンド接続は、アベイラビリティーゾーンと EC2 インスタンス全体に分散する必要があります。同じクライアントセッションからのすべての接続は、同じ EC2 インスタンスに接続する必要があります。企業は、アプリケーションの SSL 証明書を使用して、クライアントとアプリケーション間のすべての接続にエンドツーエンドの暗号化を提供する必要があります。これらの要件を満たすソリューションはどれですか?

ネットワークロードバランサーを作成します。ターゲットグループを作成します。ターゲットグループのプロトコルを TCP に、ポートを 443 に設定します。セッションアフィニティ (スティッキーセッション) をオンにします。 EC2インスタンスをターゲットとして登録します。リスナーを作成します。リスナーのプロトコルを TCP に、ポートを 443 に設定します。 SSL 証明書を EC2 インスタンスにデプロイします。

ある企業は、IoT デバイスが測定値を AWS クラウドに報告するアプリケーションを開発しています。アプリケーションには何百万ものエンドユーザーが存在します。同社は、IoT デバイスが DNS 解決をサポートできないことを観察しています。同社は、IoT デバイスが DNS を使用せずにアプリケーションエンドポイントに接続できるように、Amazon EC2 Auto Scaling ソリューションを実装する必要があります。これらの要件を最もコスト効率よく満たすソリューションはどれですか?

Network Load Balancer (NLB) エンドポイントで AWS Global Accelerator アクセラレータを使用します。 EC2 Auto Scaling グループを作成します。 Auto Scaling グループを NLB にアタッチします。アクセラレータの IP アドレスに接続するように IoT デバイスをセットアップします。

ある企業は、Application Load Balancer (ALB) の背後にある Amazon EC2 インスタンスに新しい Web アプリケーションをデプロイしました。インスタンスは Amazon EC2 Auto Scaling グループにあります。世界中の企業顧客がこのアプリケーションを使用することになります。これらの企業顧客の従業員は、オフィスの場所から HTTPS 経由でアプリケーションに接続します。企業は、承認された IP アドレスへの送信トラフィックのみを許可するようにファイアウォールを構成する必要があります。企業顧客の従業員は、最小限の遅延でアプリケーションにアクセスできる必要があります。これらの要件を満たすために、ネットワークエンジニアはインフラストラクチャにどのような変更を加えるべきでしょうか?

AWS Global Accelerator で新しいアクセラレータを作成します。 ALB をアクセラレータエンドポイントとして追加します。

ある企業は AWS 上に数百の VPC を持っています。すべての VPC は、NAT ゲートウェイを介して Amazon S3 および AWS Systems Manager のパブリックエンドポイントにアクセスします。 VPC から Amazon S3 および Systems Manager へのすべてのトラフィックは、NAT ゲートウェイを通過します。企業のネットワークエンジニアは、これらのサービスへのアクセスを一元管理し、パブリックエンドポイントを使用する必要性を排除する必要があります。運用オーバーヘッドを最小限に抑えながらこれらの要件を満たすソリューションはどれですか?

中央共有サービス VPC を作成する中央共有サービス VPC で、Amazon S3 と Systems Manager がアクセスするためのインターフェイス VPC エンドポイントを作成します。プライベート DNS がオフになっていることを確認します。 AWS Transit Gateway を使用して、すべての VPC を中央共有サービス VPC に接続します。 Amazon S3 および Systems Manager の完全なサービスエンドポイント名を使用して、Amazon Route 53 プライベートホストゾーンを作成します。プライベートホストゾーンをすべての VPC に関連付けます。共有サービス VPC 内のインターフェイス VPC エンドポイントを指す完全な AWS サービスエンドポイントを使用して、各プライベートホストゾーンにエイリアスレコードを作成します。

ある企業は、複数の AWS リージョンの VPC にわたるリソースを管理しています。企業は、内部ドメイン名を使用してリソースに接続する必要があります。ネットワークエンジニアは、すべてのリソースに aws.example.com DNS サフィックスを適用する必要があります。この要件を満たすためにネットワークエンジニアは何をしなければなりませんか?

aws.example.com 用に Amazon Route 53 プライベートホストゾーンを 1 つ作成します。プライベートホストゾーンをリソースを持つすべての VPC に関連付けます。プライベートホストゾーンで、すべてのリソースの DNS レコードを作成します。

ある保険会社が、オンプレミスのデータセンターからAWSクラウドへのワークロードの移行を計画している。同社はエンドツーエンドのドメイン名解決を必要としている。AWSと既存のオンプレミス環境の間で双方向のDNS解決を確立する必要がある。ワークロードは複数のVPCに移行される。ワークロードは互いに依存関係があり、すべてのワークロードが同時に移行されるわけではない。これらの要件を満たすソリューションはどれか。

各アプリケーションVPCにプライベートホストゾーンを構成し、必要なレコードを作成します。egress VPCにAmazon Route 53 Resolverのインバウンドおよびアウトバウンドエンドポイントのセットを作成します。オンプレミスドメインのリクエストをオンプレミスDNSリゾルバに転送するRoute 53 Resolverルールを定義します。アプリケーション VPC のプライベートホストゾーンを egress VPC に関連付け、Route 53 Resolver のルールを AWS Resource Access Manager を使用してアプリケーションアカウントと共有します。クラウドドメインを Route 53 インバウンドエンドポイントに転送するように、オンプレミスの DNS サーバを構成します。

あるグローバル企業では、us-east-1 リージョンの VPC 内でビジネスアプリケーションを実行している。ロンドンにある同社の地域オフィスの 1 つは、仮想プライベートゲートウェイを使用して、VPC との間で AWS Site-to-Site VPN 接続を行っています。同社はトランジットゲートウェイを設定し、VPCと社内の様々な部署が利用する他のVPCとの間でピアリングを設定している。ロンドンオフィスの従業員がビジネスアプリケーションに接続する際、遅延の問題が発生しています。この待ち時間を短縮するために、ネットワークエンジニアは何をすべきでしょうか。

新しい Site-to-Site VPN 接続を作成します。トランジットゲートウェイをターゲットゲートウェイに設定します。新しい Site-to-Site VPN 接続でアクセラレーションを有効にします。ロンドンオフィスのVPNデバイスを新しい接続の詳細で更新する。

ある企業がハイブリッドクラウド環境を構築している。この企業のデータセンターは、AWS Direct Connect接続によってAWSクラウドに接続されている。AWS環境には、トランジットゲートウェイによってハブアンドスポークモデルで接続されたVPCが含まれる。AWS環境には、オンプレミス接続用のDirect Connectゲートウェイを持つトランジットVIFがある。同社はハイブリッドDNSモデルを採用している。ハブVPCにAmazon Route 53 Resolverエンドポイントを設定し、双方向のDNSトラフィックフローを可能にしている。 VPCの1つでバックエンドアプリケーションを実行している。同社はメッセージ指向アーキテクチャを使用しており、プライベートネットワーク経由で他のアプリケーションからメッセージを受信するためにAmazon Simple Queue Service（Amazon SQS）を採用しています。あるネットワーク・エンジニアは、このアーキテクチャでAmazon SQS用のインターフェイスVPCエンドポイントを使用したいと考えています。クライアントサービスは、オンプレミスからも、会社のAWSインフラストラクチャ内の複数のVPCからも、エンドポイントサービスにアクセスできなければなりません。クライアントアプリケーションがインターフェイスエンドポイントのDNSを解決できるようにするために、ネットワークエンジニアが取るべき手順の組み合わせはどれですか。(3つ選びなさい)

プライベートDNS名のオプションをオフにして、Amazon SQSのインターフェイスエンドポイントを作成します。, sqs.us-east-1.amazonaws.comのプライベートホストゾーンを手動で作成します。インターフェイスエンドポイントを指す必要なレコードを追加します。プライベートホストゾーンを他のVPCに関連付けます。, VPCおよび構内で、インターフェイス・エンドポイントのプライベートDNS名.sqs.us-east-1.vpce.amazonaws.comを使用してSQSエンドポイントにアクセスします。

ある企業のネットワーク・エンジニアが、開発アカウントで VPC のネットワーク設計を構築し、テストしています。同社はネットワーク・リソースに加えられた変更を監視する必要があり、ネットワーク・セキュリティ・ポリシーの厳格な遵守を保証する必要があります。また、ネットワーク・リソースの過去の設定にアクセスする必要があります。これらの要件を満たすソリューションはどれか。

AWS Configを使用して、ネットワークリソースの現在の状態を記録する。望ましいコンフィギュレーション設定を反映したルールを作成する。非準拠リソースに対する修復を設定する。

ある企業がアプリケーションをオンプレミスからAWSに移行しようとしている。この企業は、1つのVPCにデプロイされたAmazon EC2インスタンス上でアプリケーションをホストする。移行期間中、EC2インスタンスからのDNSクエリは、オンプレミスのサーバーの名前を解決できなければならない。移行期間は3カ月を予定している。3カ月の移行期間を過ぎると、オンプレミスサーバーの名前解決は不要になる。最小限の構成でこれらの要件を満たすために、ネットワークエンジニアは何をすべきか。

オンプレミスとAWS間のAWS Site-to-Site VPN接続をセットアップします。VPCをホストしているリージョンにAmazon Route 53 Resolverアウトバウンドエンドポイントをデプロイします。

ある企業は、Application Load Balancer の背後にある Amazon EC2 インスタンスでアプリケーションをホストしています。インスタンスは Amazon EC2 Auto Scaling グループにあります。セキュリティグループが最近変更されたため、外部ユーザーはアプリケーションにアクセスできません。ネットワークエンジニアは、このダウンタイムが再び発生しないようにする必要があります。ネットワークエンジニアは、セキュリティグループに対する非準拠の変更を修正するソリューションを実装する必要があります。これらの要件を満たすソリューションはどれですか?

AWS Config ルールを設定して、目的のセキュリティグループ設定と現在のセキュリティグループ設定の間の不一致を検出します。 AWS Systems Manager Automation Runbook を作成して、非準拠のセキュリティグループを修復します。

ある企業は、トラフィック検査と NAT 機能のために VPC にサードパーティのファイアウォールアプライアンスをデプロイしています。 VPC はプライベートサブネットとパブリックサブネットで構成されます。会社は、ロードバランサの背後にファイアウォールアプライアンスを展開する必要があります。これらの要件を最もコスト効率よく満たすアーキテクチャはどれでしょうか?

ファイアウォールアプライアンスをターゲットとしてゲートウェイロードバランサーを展開します。ファイアウォールアプライアンスを 2 つのネットワークインターフェイスで構成します。1 つのネットワークインターフェイスはプライベートサブネットに、もう 1 つのネットワークインターフェイスはパブリックサブネットにあります。ファイアウォールアプライアンスの NAT 機能を使用して、検査後にトラフィックをインターネットに送信します。

企業の AWS アーキテクチャは、複数の VPC で構成されています。 VPC には、共有サービス VPC といくつかのアプリケーション VPC が含まれます。同社は、すべての VPC からオンプレミスの DNS サーバーへのネットワーク接続を確立しました。アプリケーション VPC にデプロイされるアプリケーションは、オンプレミスで内部ホストされているドメインの DNS を解決できる必要があります。また、アプリケーションは、ローカル VPC ドメイン名と、Amazon Route 53 プライベートホストゾーンでホストされているドメインを解決できなければなりません。これらの要件を満たすためにネットワークエンジニアは何をすべきでしょうか?

共有サービス VPC に新しい Route 53 リゾルバーアウトバウンドエンドポイントを作成します。オンプレミスでホストされているドメインの転送ルールを作成します。ルールを新しいリゾルバーエンドポイントおよび各アプリケーション VPC に関連付けます。

ある企業は、アプリケーション間の通信に時代遅れのアプリケーション層プロトコルを使用しています。同社はこのプロトコルを今後使用しないことを決定し、新しいプロトコルをサポートするためにすべてのアプリケーションを移行する必要があります。古いプロトコルと新しいプロトコルは TCP ベースですが、使用するポート番号が異なります。数か月の作業を経て、同社は Amazon EC2 インスタンスおよびコンテナ内で実行される数十のアプリケーションを移行しました。同社はすべてのアプリケーションが移行されたと考えていますが、この考えを検証したいと考えています。ネットワークエンジニアは、古いプロトコルをまだ使用しているアプリケーションがないことを確認する必要があります。ダウンタイムを発生させずにこれらの要件を満たすソリューションはどれですか?

VPC フローログが Amazon S3 バケットに配信されるように設定します。 Amazon Athena を使用してデータをクエリし、古いプロトコルで使用されているポート番号をフィルタリングします。

ある企業は、AWS環境を単一のAWSリージョンに展開している。この環境は、数百のアプリケーションVPC、共有サービスVPC、およびオンプレミス環境へのVPN接続で構成されています。ネットワークエンジニアは、以下の要件を満たすトランジットゲートウェイを実装する必要があります： - アプリケーションVPCは互いに隔離されていなければならない。 - アプリケーションVPCとオンプレミスネットワーク間で双方向通信が可能であること。 - アプリケーションVPCと共有サービスVPCの間で双方向通信が可能であること。ネットワーク・エンジニアは、デフォルト・ルート・テーブルの関連付けとデフォルト・ルート・テーブルの伝播のオプションを無効にして、トランジット・ゲートウェイを作成します。ネットワーク・エンジニアはまた、オンプレミス・ネットワーク用のVPNアタッチメントを作成し、アプリケーションVPCと共有サービスVPC用のVPCアタッチメントを作成します。ネットワークエンジニアは、トランジットゲートウェイのルートテーブルの数が最小になるようにソリューションを設計することで、トランジットゲートウェイのすべての要件を満たす必要があります。この目標を達成するために、ネットワークエンジニアはどのアクションの組み合わせを実行する必要がありますか？(2つ選んでください)

すべてのアプリケーションVPCに対して別のトランジットゲートウェイ経路表を構成します。すべてのアプリケーションVPCをこのトランジットゲートウェイのルートテーブルに関連付けます。共有サービスVPCアタッチメントとVPNアタッチメントをこのトランジットゲートウェイルートテーブルに伝搬します。, 構内と共有サービスVPC用に別々のトランジット・ゲートウェイ・ルート・テーブルを構成します。VPNアタッチメントと共有サービスVPCアタッチメントをこのトランジットゲートウェイルートテーブルに関連付けます。すべてのアプリケーション VPC アタッチメントをこのトランジットゲートウェイルートテーブルに伝播します。

ある企業は、既存の VPC とオンプレミスネットワークの間に AWS サイト間 VPN 接続を持っています。デフォルトの DHCP オプションセットは VPC に関連付けられています。この会社には、VPC 内の Amazon Linux 2 Amazon EC2 インスタンスで実行されているアプリケーションがあります。アプリケーションは、プライベート VPC エンドポイントを通じて AWS Secrets Manager に保存されている Amazon RDS データベースシークレットを取得する必要があります。オンプレミスアプリケーションは、URL (https://api.example.internal) によってアクセスできる内部 RESTful API サービスを提供します。 2 つのオンプレミス Windows DNS サーバーが内部 DNS 解決を提供します。 EC2 インスタンス上のアプリケーションは、オンプレミス環境にデプロイされた内部 API サービスを呼び出す必要があります。 EC2 インスタンス上のアプリケーションが、サービスに割り当てられているホスト名を参照して内部 API サービスを呼び出そうとすると、呼び出しは失敗します。ネットワークエンジニアが API サービスの IP アドレスを使用して、同じ EC2 インスタンスからの API サービス呼び出しをテストすると、呼び出しは成功します。この問題を解決し、同じ問題が VPC 内の他のリソースに影響を与えないようにするために、ネットワークエンジニアは何をすべきでしょうか?

Amazon Route 53 リゾルバールールを作成します。ルールを VPC に関連付けます。ドメイン名が example.internal と一致する場合、DNS クエリをオンプレミスの Windows DNS サーバーに転送するルールを構成します。

ある会社は、AWS クラウド内の異なるアカウントに複数の本番アプリケーションを持っている。会社はus-east-1リージョンのみで運営している。特定のパートナー企業のみがアプリケーションにアクセスできる。アプリケーションは、アプリケーションロードバランサー（ALB）の背後にあるAuto ScalingグループにあるAmazon EC2インスタンス上で実行されている。EC2インスタンスはプライベートサブネットにあり、ALBからのトラフィックのみを許可する。ALBはパブリックサブネットにあり、ポート80を介したパートナーネットワークのIPアドレスレンジからのインバウンドトラフィックのみを許可する。会社が新しいパートナーを追加する場合、会社は各アカウントの ALB に関連付けられたセキュリティグループで、パートナーネットワークの IP アドレス範囲を許可する必要があります。ネットワークエンジニアは、パートナーネットワークの IP アドレス範囲を集中管理するソリューションを実装する必要があります。運用上最も効率的な方法でこれらの要件を満たすソリューションはどれか。

新しいプレフィックスリストを作成する。プレフィックスリストに、許可されるすべての IP アドレス範囲を追加します。AWS Resource Access Manager（AWS RAM）を使用して、異なるアカウント間でプレフィックスリストを共有する。セキュリティグループを更新して、パートナー IP アドレス範囲の代わりにプレフィックスリストを使用する。会社が新しいパートナーを追加したときに、新しいIPアドレス範囲でプレフィックスリストを更新する。

ある企業は、1GbpsのAWS Direct Connect接続を使用して、AWS環境をオンプレミスのデータセンターに接続しています。この接続により、従業員はAWS上でホストされているアプリケーションVPCにアクセスできる。多くのリモート従業員は、会社が提供する VPN を使用してデータセンターに接続しています。これらの従業員は、業務時間中にアプリケーションにアクセスした際に、遅さを報告しています。オンプレミスのユーザーも、オフィスにいる間に同様の遅さを報告し始めている。同社は、AWS上に追加のアプリケーションを構築することを計画している。オンサイトおよびリモートの従業員は、この追加アプリケーションを使用する。この追加アプリケーションのデプロイ後、同社は現在使用している帯域幅よりも20%多い帯域幅を必要とします。使用量の増加に伴い、同社はAWS接続に弾力性を持たせたいと考えている。ネットワークエンジニアは、現在の実装を見直し、限られた予算内で改善しなければなりません。これらの要件を最もコスト効率よく満たすために、ネットワークエンジニアは何をすべきか？

既存の 1 Gbps Direct Connect 接続を 2 つの新しい 2 Gbps Direct Connect ホスト型接続に置き換えます。アプリケーション VPC に AWS クライアント VPN エンドポイントを作成します。リモートの従業員にクライアント VPN エンドポイントに接続するように指示します。

ある企業はグローバルネットワークを持ち、トランジットゲートウェイを使用してAWSリージョン間を接続している。この企業は、異なるリージョンにある2つのAmazon EC2インスタンスが互いに通信できないことを発見した。ネットワークエンジニアは、この接続性の問題をトラブルシューティングする必要があります。この要件を満たすために、ネットワークエンジニアは何をすべきですか？

AWS Network Manager Route Analyzer を使用して、トランジットゲートウェイのルートテーブルのルートを分析します。VPC のルートテーブルが正しいことを確認します。VPCフローログを使用して、VPCでセキュリティグループルールおよびネットワークACLルールが受け入れる、または拒否するIPトラフィックを分析します。

ある企業がVPCとオンプレミスのデータセンター間でデータを転送する必要がある。データは専用の帯域幅を持つ接続を経由しなければならない。また、データは転送中に暗号化される必要がある。同社は、AWSパートナーネットワーク（APN）パートナーと協力して接続を確立しています。これらの要件を満たす手順の組み合わせはどれか。(3つ選びなさい)

APNパートナーにホスト接続を要求する。, AWS Site-to-Site VPN接続を作成する。, パブリックVIFを作成する。

ある企業のセキュリティ・ガイドラインでは、VPCからオンプレミスのデータ・センターへのアウトバウンド・トラフィックはすべて、セキュリティ・アプライアンスを経由しなければならないと定めている。セキュリティ・アプライアンスはAmazon EC2インスタンス上で動作する。ネットワークエンジニアは、オンプレミスのデータセンターとセキュリティアプライアンス間のネットワークパフォーマンスを改善する必要があります。これらの要件を満たすために、ネットワークエンジニアが取るべき行動はどれか。(2つ選んでください)。

拡張ネットワークをサポートするEC2インスタンスを使用する。, EC2インスタンスサイズを大きくする。

企業のアプリケーションチームは、新しいリソースを VPC に起動できません。ネットワークエンジニアは、VPC で使用可能な IP アドレスが不足していることを発見しました。 VPC CIDR ブロックは 172.16.0.0/16 です。ネットワークエンジニアは、どの追加 CIDR ブロックを VPC に接続できますか?

172.17.0.0/16

金融取引会社は、Amazon EC2 インスタンスを使用して取引プラットフォームを実行しています。同社の取引プラットフォームの一部には、EC2 インスタンスがポート 50000 で UDP 経由で通信するサードパーティの価格設定サービスが含まれています。最近、同社は価格設定サービスに問題を抱えていた。価格設定サービスからの応答の一部は、形式が間違っているようで、正常に処理されていません。サードパーティベンダーは、価格設定サービスが返すデータへのアクセスを要求します。サードパーティベンダーは、価格設定サービスにアクセスする EC2 インスタンスにログインして、デバッグ用のリクエストデータとレスポンスデータをキャプチャしたいと考えています。同社は実稼働システムへの直接アクセスを禁止し、すべてのログ分析を専用の監視アカウントで実行することを要求しています。データをキャプチャしてこれらの要件を満たすために、ネットワークエンジニアはどの一連の手順を実行する必要がありますか?

1. UDP データをキャプチャするようにトラフィックミラーフィルターを構成します。 2. EC2 インスタンスの Elastic Network Interface のトラフィックをキャプチャするようにトラフィックミラーリングを設定します。 3. モニタリングアカウントの新しい EC2 インスタンスにパケット検査パッケージを設定します。新しい EC2 インスタンスの Elastic Network Interface をトラフィックミラーのターゲットとして使用します。 4. パケット検査パッケージを使用してデータを抽出します。 5. データをサードパーティベンダーに提供します。

企業のネットワークエンジニアは、トランジットゲートウェイと企業のオンプレミスネットワークの間に AWS サイト間 VPN 接続を構成しています。サイト間 VPN 接続は、トランジットゲートウェイで等価コストマルチパス (ECMP) ルーティングが有効になっているアクティブ/アクティブモードで 2 つのトンネル上で BGP を使用するように構成されています。ネットワークエンジニアがオンプレミスネットワークから Amazon EC2 インスタンスにトラフィックを送信しようとすると、トラフィックは最初のトンネルを介して送信されます。ただし、戻りトラフィックは 2 番目のトンネル経由で受信され、カスタマーゲートウェイでドロップされます。ネットワークエンジニアは、VPN 全体の帯域幅を減らさずにこの問題を解決する必要があります。これらの要件を満たすソリューションはどれですか?

非対称ルーティングを許可するようにカスタマーゲートウェイ上の仮想トンネルインターフェイスを構成します。

ある企業がAmazon EC2インスタンスでアプリケーションを運用している。ネットワークエンジニアがアプリケーションの VPC に NAT ゲートウェイを実装し、自己管理 NAT インスタンスを置き換えた。ネットワークエンジニアがトラフィックを自己管理型NATインスタンスからNATゲートウェイに移行した後、ユーザーから問題が報告され始めた。トラブルシューティング中に、ネットワークエンジニアは、アプリケーションへの接続が約 6 分間の非アクティブの後に閉じていることを発見しました。この問題を解決するために、ネットワークエンジニアは何をすべきですか？

NAT ゲートウェイの IdleTimeoutCount Amazon CloudWatch メトリックの増加をチェックします。アプリケーションEC2インスタンスでTCP keepaliveを構成する。

Software-as-a-Service (SaaS) 企業は、プライベート SaaS アプリケーションを AWS に移行しています。同社には、VPN トンネルを使用して複数のデータセンターに接続する数百の顧客がいます。顧客の数が増加するにつれて、同社は複雑な NAT ルールを使用して顧客のルーティングとセグメント化を管理する取り組みがより困難になることを経験しました。 AWS への移行が完了すると、同社の AWS 顧客は VPC から SaaS アプリケーションに直接アクセスできるようになります。一方、同社のオンプレミス顧客は依然として IPsec 暗号化トンネル経由で接続できる必要があります。これらの要件を満たすソリューションはどれですか?

AWS PrivateLink を使用して AWS 顧客を接続します。 SaaS アプリケーション VPC でサードパーティのルーティングアプライアンスを使用して、オンプレミスのサイト間 VPN 接続を終了します。

企業の既存の AWS 環境には、Amazon EC2 インスタンス上で実行されるパブリックアプリケーションサーバーが含まれています。アプリケーションサーバーは VPC サブネット内で実行されます。各サーバーは Elastic IP アドレスに関連付けられます。同社には、トラフィックが EC2 インスタンスに到達する前に、インターネットからのすべてのトラフィックをファイアウォール検査するという新しい要件があります。セキュリティエンジニアは、サードパーティのファイアウォール群を備えたスタンドアロン VPC にゲートウェイロードバランサー (GLB) をデプロイして構成しました。ネットワークエンジニアは、トラフィックが一連のファイアウォールを通過できるように環境を更新するにはどうすればよいでしょうか?

新しいサブネットのアプリケーション VPC に GLB エンドポイントをプロビジョニングします。アプリケーションサブネット CIDR ブロックを宛先として、GLB エンドポイントをターゲットとして指定するルートを含むゲートウェイルートテーブルを作成します。ゲートウェイルートテーブルをアプリケーション VPC のインターネットゲートウェイに関連付けます。アプリケーションのサブネットルートテーブルのデフォルトのルート宛先を GLB エンドポイントに更新します。

ある企業では、オフィスと VPC の間に AWS サイト間 VPN 接続があります。ユーザーは、VPC 内でホストされているアプリケーションへの接続に時折失敗することを報告します。ネットワークエンジニアは、アプリケーションへの接続が失敗するとインターネットキー交換 (IKE) セッションが終了することをカスタマーゲートウェイログで発見しました。 IKE セッションがダウンした場合、ネットワークエンジニアは IKE セッションを立ち上げるために何をすべきでしょうか?

デッドピア検出 (DPD) のタイムアウトアクションを [再起動] に設定します。オンプレミスから VPC へのトラフィックを開始します。

100

ネットワークエンジニアは、企業の企業ネットワークを企業の AWS 環境に接続するハイブリッドネットワーキング環境を設計しています。 AWS 環境は、3 つの AWS リージョンにある 30 の VPC で構成されます。ネットワークエンジニアは、会社のセキュリティチームが承認したファイアウォールを使用して、トラフィックを一元的にフィルタリングするソリューションを実装する必要があります。このソリューションでは、すべての VPC が相互に接続できるようにする必要があります。 AWS と企業ネットワーク間の接続は、2 Gbps の最小帯域幅要件を満たす必要があります。これらの要件を満たすソリューションはどれですか?

4 つの 1 Gbps AWS Direct Connect 接続をさまざまな Direct Connect の場所に展開して、企業ネットワークに接続します。 Direct Connect ゲートウェイへの接続ごとにトランジット VIF を構築します。 Direct Connect ゲートウェイをリージョンごとの新しいトランジットゲートウェイに関連付けます。トランジットゲートウェイピアリングアタッチメントを使用して、トランジットゲートウェイを接続します。等コストマルチパス (ECMP) ルーティングを使用するように VIF を構成します。トラフィックを検査 VPC にルーティングするようにトランジットゲートウェイルートテーブルを設定します。承認されたファイアウォールを検査 VPC にデプロイします。

PSE-Strata

His Taro · 183問 · 1年前