許可したドメインだけへの外向き通信

正解は ア です。 Network Firewall はTLSのSNIなどで ドメイン単位の許可 ができます。出口を 集中検査用のVPC にまとめ、TGWで全VPCの通信を通せば、管理は一か所で済みます。 方法 ドメイン単位 一元管理 Network Firewall（集中） ○ ○ SG・NACLのIP指定 ×（SaaSのIPは変わる） × DNS Firewallだけ 名前解決の段階のみ（IP直指定を防げない） ○ ドメインで許可し、全VPCの出口を一か所で管理できる。 ポートだけの制限で、宛先のドメインを制限できない。 SaaSのIPは頻繁に変わり、各VPCで管理する必要もある。 IPアドレスを直接指定した通信は防げないため、単独では不十分である。

全VPCのワークロードは、外部の決められた5つのSaaSのドメインにだけHTTPSで通信してよい。それ以外への外向き通信は遮断し、管理は一か所で行いたい。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
出口用の検査VPCのNetwork Firewallでドメインを許可し、TGWで全VPCの通信を向ける
イ
各VPCのネットワークACLで、443番ポートだけを許可する
ウ
各VPCのセキュリティグループで、SaaSのIPアドレスだけを宛先として許可し、定期的に更新する
エ
Route 53 Resolver DNS Firewallだけを使い、許可したドメイン以外の名前解決を拒否する