Amazon SOA-C02: ネットワーキングとコンテンツ配信 — 学習ガイド
こちらの一部です： AWS SysOps Administrator Associate SOA-C02 — 学習ガイド. 検証済みの解答で練習： Amazon試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.
ネットワーキングとコンテンツ配信は、VPCの基礎、ハイブリッド接続、DNSとグローバルルーティング、CloudFrontによるエッジキャッシング、TLS証明書のライフサイクルをカバーしており、これらはすべて可用性、セキュリティ、パフォーマンスにとって極めて重要です。運用を習熟することで、ワークロードが到達可能で、障害に対する回復力を持ち、オンプレミスとクラウドの両方でセキュアであることを保証します。このセクションでは、本番システムをサポートするSysOpsアドミニストレーターとして使用する、実践的な設定パターン、CLI/コンソールの例、および意思決定の基準に焦点を当てます。
VPCの設計、サブネット、ルーティング、接続性
将来の成長を念頭に置いてVPCのCIDRスペースを設計します。十分に大きなVPC（例えば、規模に応じて/16や/20）を割り当て、AZ間の依存関係を避けるためにAZローカルのサブネット（AZごとに10.0.0.0/24、10.0.1.0/24）に分割します。サブネットタイプごとに明示的なルートテーブルを作成します。パブリックサブネットはInternet Gateway (IGW)へのルートを使用します（例：
undefined
）。プライベートサブネットは、予測可能なエグレスコストと低レイテンシーのために、同じAZ内のNAT Gatewayに0.0.0.0/0をルーティングします。
NATの動作とルーティングのニュアンスを理解します。NAT Gateway/Instanceは、アウトバウンドIPv4接続に対してソースNATを実行し、リターントラフィックがサブネットのルートテーブルに従ってNAT経由で戻ることを要求します。IPv6の場合は、Egress-Only Internet Gatewayを使用します。AWS CLIを使用してNAT Gatewayを作成し、Elastic IPを関連付けます：
undefined
。Transit GatewayまたはVPNアタッチメントでルート伝播を使用して、動的ルートを自動的に管理します。
セキュリティグループとNACL、およびトラフィックフローは意図的に設計する必要があります。セキュリティグループはステートフル（インバウンドを許可すれば、リターンは自動的に許可される）で、ENIにアタッチされます。NACLはステートレスで、順序付けられたルールでサブネットごとに評価されるため、インバウンドとアウトバウンドの両方のエフェメラルポートを許可する必要があります。コマンド例：
undefined
;
undefined
。意思決定の基準：インスタンスレベルのアクセス制御にはセキュリティグループを使用し、境界防御、高性能フィルタリング、クロスアカウント分離にはNACLを使用します。
VPN, Direct Connect, ハイブリッドネットワーキング
帯域幅、レイテンシー、および回復性のニーズに基づいて接続方法を選択します。Site-to-Site VPNは、インターネット経由で暗号化されたIPsecトンネルを提供し、
undefined
を使用して迅速にデプロイできます。HA（高可用性）のために2つのVPNトンネルを設定し、動的ルーティングにはBGPを使用し、Virtual Private GatewayまたはTransit Gatewayを介してルートを伝播させます。迅速な展開やDirect ConnectのフェイルオーバーとしてAWS Managed VPNを使用します。
Direct Connectは、プライベートで広帯域、低レイテンシーの接続を提供します。Direct Connectコンソールで接続（またはLAG）をプロビジョニングし、Direct Connect Gatewayを介してVPCへのプライベート仮想インターフェイス（VIF）を作成し、マルチリージョンアクセスを実現します。適切なASNでBGPを使用し、DX + VPNのハイブリッド構成を推奨します。重要なプレフィックスはDX経由でアドバタイズし、VPNを自動バックアップとして使用します。意思決定の基準：
- 短期的、中低帯域幅、または暗号化されたインターネットベースのバックアップにはVPNを使用します。
- 持続的な高スループットと予測可能なレイテンシーがポートおよびクロスコネクトのコストを正当化する場合には、Direct Connectを使用します。
- ハブアンドスポーク型のスケールと簡素化されたルート管理が必要な場合は、Transit Gatewayを使用して多数のVPCとオンプレミス接続を集約します。
運用チェックリスト：BGPセッションがアップしていることを確認し、ルートテーブルの伝播を保証し（TGWの場合は
undefined
を使用）、1つのトンネルをダウンさせるかBGPパスを切り替えることでフェイルオーバーをテストします。
Route 53 DNS, ヘルスチェック, ルーティングポリシー
Route 53は、権威DNSサーバーであると同時に、ルーティングコントロールプレーンでもあります。エンドポイント（HTTP/HTTPS/TCP）のヘルスチェックを実装し、フェイルオーバーまたは加重レコードと組み合わせます。例：Route 53コンソールでプライマリ/セカンダリのレコードタイプを持つフェイルオーバーレコードを作成するか、FailoverルーティングポリシーとHealthCheckIdを指定して
undefined
を使用します。予想されるフェイルオーバーSLAに基づいてTTLをチューニングします。アクティブなフェイルオーバーには低いTTL（30～60秒）、安定したエンドポイントには長いTTL（300秒以上）を使用します。
目的に応じてルーティングポリシーを選択します：
- シンプル: 単一の値を返します。重要でない、または単一のエンドポイントに使用します。
- フェイルオーバー: ヘルスチェック付きのプライマリ/セカンダリ構成で、障害対応に使用します。
- 加重: ブルー/グリーンまたはカナリアデプロイメントのための段階的なトラフィックシフトに使用します。
- レイテンシーベース: ユーザーを最もレイテンシーの低いリージョンにルーティングします。
- 位置情報/近接度: データレジデンシー要件への準拠や、ターゲットコンテンツの配信に使用します。
意思決定のポイント：
- アクティブ-アクティブ構成のリージョンとELBを持つグローバルアプリケーションの場合：追加料金を避け、エンドポイントのヘルスを活用するために、ALB/ELBを指すエイリアスレコードを使用します。
- 計画的な移行やトラフィックシェーピングの場合：加重レコードを使用し、CLI（
undefined
）を介して重みを段階的に変更します。
- データセンターの障害から迅速に復旧する場合：低いTTLと堅牢なヘルスチェックを備えたフェイルーバーティングを使用します。
← セキュリティ、アイデンティティ、およびコンプライアンス · すべてのドメイン · ストレージとデータ管理 →
これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
試験に合格する →