プライベートサブネットからのS3セキュアアクセス設計

ゲートウェイエンドポイントとルート設定により、NATなどを必要としないS3への経路を用意できる。 SourceVpce条件の明示的拒否で、指定エンドポイント以外の操作を制限できる。管理コンソールからの操作にも影響するため運用経路を確認する。 そのエンドポイントを通過する要求は制限できるが、別経路からの要求には適用されない。バケット自体への入口制限にはバケットポリシーも必要である。 VPCエンドポイント経由のS3要求には通常の送信元公開IPの条件をそのまま使わない。指定エンドポイントを識別するaws:SourceVpceを利用する。 VPC単位の条件では、同じVPC内の別エンドポイントも区別できない。指定したエンドポイントだけという要件にはSourceVpceによる制限が適する。

同じリージョンのプライベートサブネットにあるEC2がS3の業務データを利用する。インターネットゲートウェイとNATを通さず、指定したVPCエンドポイント以外からのバケット操作を拒否したい。IAMの操作許可は別途設定する。必要な対策を2つ選択してください。

出典AWS非公式・オリジナル問題
【複数選択】 正解を 2つ 選択してください0 / 2 選択中