1 問目
ソリューションアーキテクトは、オンデマンドのAmazon EC2インスタンスがSSH接続を通じてこのIPアドレス(110.238.98.71)からのみアクセスできるようにする必要があります。 この要件を満たす設定はどれですか?
正解: D
- D. セキュリティグループのインバウンドルール:プロトコル – TCP、ポート範囲 – 22、ソース 110.238.98.71/32
AI 解説
🚩 問題概要
この問題では、EC2インスタンスへのSSHアクセスを特定IPアドレスからのみ許可するセキュリティグループ設定について聞かれています。
今の状態
- オンデマンドのEC2インスタンスが存在する
- SSH接続でアクセスする必要がある
やりたいこと
- 特定のIPアドレス(110.238.98.71)からのみSSH接続を許可したい
- それ以外のIPアドレスからはアクセスを拒否したい
押さえておきたい制約
- SSH接続(プロトコルとポートが決まっている)
- 単一IPアドレスのみ許可(/32表記)
要するに、「セキュリティグループで正しい方向・プロトコル・ポート・IPを設定できるか」という基本設計の問題です。
📋 選択肢の解説
❌ 選択肢A:アウトバウンドルール、UDP、ポート22、送信先 0.0.0.0/0
なぜ不正解なのか
3つの問題点があります。
- 方向が逆: 外部からEC2への接続を許可したいので、インバウンドルールが必要です
- プロトコルが違う: SSHはUDPではなくTCPを使用します
- IPアドレスが違う: 0.0.0.0/0は「すべてのIP」を意味し、特定IPへの制限になりません
❌ 選択肢B:アウトバウンドルール、TCP、ポート22、送信先 110.238.98.71/32
なぜ不正解なのか
プロトコルとポートは正しいですが、方向が逆です。
アウトバウンドルールは「EC2から外部への通信」を制御します。今回は「外部からEC2への通信」を制御したいので、インバウンドルールが必要です。
❌ 選択肢C:インバウンドルール、UDP、ポート22、ソース 110.238.98.71/32
なぜ不正解なのか
方向とIPアドレスは正しいですが、プロトコルが違います。
SSHはTCPプロトコルで動作します。UDPを指定しても、SSH接続は確立できません。
✅ 選択肢D:インバウンドルール、TCP、ポート22、ソース 110.238.98.71/32(正解)
なぜ正解なのか
すべての要素が正しく設定されています。
| 設定項目 | 設定値 | 理由 |
|---|---|---|
| 方向 | インバウンド | 外部→EC2への接続だから |
| プロトコル | TCP | SSHはTCPを使用するから |
| ポート | 22 | SSHのデフォルトポートだから |
| ソース | 110.238.98.71/32 | 単一IPのみ許可するから |
Well-Architected観点(セキュリティの柱): 最小権限の原則に従い、必要なIPアドレスからのみアクセスを許可しています。
要件×選択肢マトリクス
| 要件 | A | B | C | D |
|---|---|---|---|---|
| インバウンド方向 | ❌ | ❌ | ✅ | ✅ |
| TCPプロトコル | ❌ | ✅ | ❌ | ✅ |
| ポート22 | ✅ | ✅ | ✅ | ✅ |
| 特定IP(/32) | ❌ | ✅ | ✅ | ✅ |
差がつくポイント: 「インバウンド」と「TCP」の両方を正しく選べるかどうか
🏗️ 設計パターン
パターン名: 単一IP許可のSSHアクセス制御
graph LR
subgraph Internet[インターネット]
Client[クライアント<br>110.238.98.71]
Other[その他のIP]
end
subgraph VPC[VPC]
SG[セキュリティグループ<br>インバウンド: TCP/22<br>ソース: 110.238.98.71/32]
EC2[EC2インスタンス]
end
Client -->|✅ SSH許可| SG
SG --> EC2
Other -->|❌ 拒否| SG
なぜこの設計が最適なのか
ステートフルの恩恵: セキュリティグループはステートフル(状態を記憶する)です。インバウンドルールで許可した通信の「戻りのトラフィック」は、アウトバウンドルールがなくても自動的に許可されます。つまり、SSH接続を確立した後のレスポンス通信は自動で通ります。
⚡ 即答パターン
SSH接続の設定問題では、以下の4つの要素を確認してください。
| 確認項目 | 正解パターン |
|---|---|
| 方向 | インバウンド(外部→EC2) |
| プロトコル | TCP(SSHはTCP) |
| ポート | 22(SSHデフォルト) |
| ソース | /32で単一IP指定 |
覚え方のコツ
「SSH = TCP 22 イン」(SSH接続は、TCPのポート22でインバウンド)
📝 学習ポイント
よくある間違い
間違い1: 「SSH = UDP」と思いがち
SSH、HTTP、HTTPSなど、一般的なプロトコルの多くはTCPを使用します。UDPは、DNSの一部やストリーミングなど、信頼性より速度を重視する通信で使われます。
間違い2: 「戻りの通信もルールが必要」と思いがち
セキュリティグループはステートフルなので、許可した通信の戻りトラフィックは自動で許可されます。これがネットワークACL(ステートレス)との大きな違いです。
重要ポイント
インバウンド vs アウトバウンドの判断 — 「誰が接続を開始するか」で決まります。外部から来る接続はインバウンド、EC2から出ていく接続はアウトバウンドです
CIDR表記の意味 — /32は単一IP、/24は256個(xxx.xxx.xxx.0〜255)、/0は全IPを表します。セキュリティ設計では、可能な限り狭い範囲(/32など)を指定するのがベストプラクティスです