理解確認：AWSサービスへのプライベート接続

答え：A

S3 ゲートウェイエンドポイントは追加のエンドポイント料金なしで利用できます。

答え：D

ゲートウェイエンドポイントはルートテーブルへサービスプレフィックスリストのルートを追加する方式です。

答え：C

PrivateLink対応AWSサービスにはインターフェイスエンドポイントを利用できます。

答え：D

インターフェイスエンドポイントでは利用するAZごとにサブネットを選択し、そのサブネットへエンドポイントENIを作成します。

答え：B

プライベート DNSを有効にすると通常のサービス DNS名をエンドポイントENIのプライベート IPへ解決できます。

答え：A / C / E

セキュリティグループはエンドポイントENIへのネットワーク到達性、エンドポイントポリシーはエンドポイント経由のサービス APIアクセス範囲を制御します。責任が異なるため、同じインターフェイスエンドポイントで両方を組み合わせられます。

答え：B

エンドポイントポリシーはIAM ポリシーやリソースポリシーを置き換えず、明示的拒否を無視できません。

答え：C

ゲートウェイエンドポイントはVPC ルートテーブルベースです。ハイブリッドアクセスではS3 インターフェイスエンドポイントを評価します。

答え：B

S3ではVPC内をゲートウェイエンドポイント、オンプレミスからのハイブリッドアクセスをインターフェイスエンドポイントへ分ける設計を評価できます。

答え：A

PrivateLinkはネットワーク全体ではなくサービス単位で公開でき、CIDR重複がある場合にも有力です。

答え：B / D / E

従来型PrivateLink エンドポイントサービスでは、提供側でNetwork Load Balancerをエンドポイントサービスへ関連付け、利用側はインターフェイスエンドポイントから接続します。ゲートウェイエンドポイントやVPC ピアリングをこの構成の代替として使うものではありません。

答え：D

VPCエンドポイントは対象サービスへの接続を提供するもので、任意のインターネット宛先への経路にはなりません。

答え：A / B / D

中央化はエンドポイント数とコストを抑えられる場合がありますが、DNS / ルーティング / ポリシーや共有依存関係を設計する必要があります。分散はコストと引き換えにポリシーや障害影響をVPC単位へ分離しやすくなります。

答え：B / C / E / F

ゲートウェイエンドポイントはS3 / DynamoDB向けで、エンドポイントENIではなくルートテーブルを利用し、エンドポイント自体の追加料金はありません。またゲートウェイエンドポイントはAWS PrivateLinkを利用しないエンドポイントタイプです。

答え：A / C / D / E

現在 PrivateLinkには従来のNLB エンドポイントサービス以外にもリソースエンドポイント、サービスネットワークエンドポイント、GWLB エンドポイント、対応サービスでのクロスリージョン接続性があります。「PrivateLink = 必ずNLB」と固定しません。

答え：A

S3ではインバウンド Resolver エンドポイント向けプライベート DNSを使い、オンプレミスクエリをインターフェイスエンドポイントへ解決しつつ、VPC内はゲートウェイエンドポイントを利用してコストを最適化できます。この構成ではゲートウェイエンドポイントとの組合せが重要です。