理解確認：Private Service Integration

Amazon S3用ゲートウェイエンドポイントは作成済みだが、プライベートサブネットのアプリケーション通信が引き続きNATゲートウェイを経由している。調査すると、アプリケーションサブネットが使用するルートテーブルはエンドポイント作成時の関連付け対象に含まれていなかった。最も適切な修正はどれか。

アプリケーションはゲートウェイエンドポイント経由で機密S3バケットを利用している。要件は「AppRoleのGetObjectだけを許可し、さらに承認エンドポイント以外からのバケットアクセスを拒否する」である。最も適切な制御組み合わせはどれか。

プライベートアプリケーションからAWS Secrets ManagerへNATを経由せず接続するインターフェイスエンドポイントは導入済みである。エンドポイントへ接続できるワークロードもアプリケーション層だけに限定したい。最も直接的な追加制御はどれか。

プライベートサービス統合をレビューしている。正しい判断を3つ選択してください。

アプリケーションは通常のAWSサービスDNS名を使用している。設計者は「パブリック形式のDNS名なので必ずインターネット経由」と判断した。最も適切なレビューはどれか。

インターフェイスエンドポイントのエンドポイントポリシーでは特定APIを許可しているが、アプリケーションIAMロールにはそのAPIを実行する権限がない。アクセス判定として最も適切なのはどれか。

S3バケットへのアプリケーションアクセスを承認VPCエンドポイントだけに限定したい。一方、セキュリティ管理者はAWS Management Consoleからバケットを確認する運用要件も持つ。指定エンドポイント以外をaws:SourceVpceで一律拒否する案をどう評価するべきか。

アプリケーションはインターフェイスエンドポイント経由でAWS Secrets Managerを利用する。エンドポイントポリシーはSecretAだけを許可しているが、IAMロールはSecretAとSecretBの両方を許可しており、別の送信経路も残っている。要件は「このアプリケーションからSecretBへはどの経路でもアクセスさせない」である。最も適切な評価はどれか。

アプリケーションからAWS Secrets Managerへのインターフェイスエンドポイントを作成し、プライベートDNSも有効化した。通常のサービスDNS名はエンドポイントのプライベートIPへ解決され、IAMとエンドポイントポリシーも許可しているが、接続がタイムアウトする。次に確認すべき事項として最も適切なのはどれか。

提供側はPrivateLink エンドポイントサービスをアカウント Bだけに利用させ、さらにアカウント Bからのエンドポイント接続リクエストを1件ずつ承諾したい。最も適切な組み合わせはどれか。

インターフェイスエンドポイントを使うAWSサービス統合で多層防御を設計する。適切な確認を4つ選択してください。

あるAWSサービス向けインターフェイスエンドポイントにエンドポイントポリシーでAPI 範囲を制限したい。実装前の確認として最も適切なのはどれか。

「アプリケーションから必要なAWSサービスへはパブリックインターネットを経由させない」というアーキテクチャを最終レビューする。確認すべき項目を4つ選択してください。