SOA-C03：AWS Certified CloudOps Engineer - Associate ネットワークとコンテンツ配信 問5
ネットワークとコンテンツ配信／ネットワーク接続の問題のトラブルシューティングEC2 間またはサブネット間の通信がつながりません。実際のトラフィックが届いているか、どこで許可／拒否されているかの手掛かりを得るため、ネットワークインターフェースの送受信トラフィックと許可／拒否の結果を記録したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SOA-C03：AWS Certified CloudOps Engineer - Associateの出題範囲「ネットワークとコンテンツ配信」に対応。実際の試験問題ではありません）
- AVPC Reachability Analyzer で構成上の到達性を分析すれば、実トラフィックの ACCEPT／REJECT のログが得られる
- Bセキュリティグループをすべて開放して様子を見る
- CCloudTrail のデータイベントでパケットの許可／拒否を記録する
- DVPC フローログを有効にして、送受信トラフィックの送信元・宛先・ポートと許可／拒否（ACCEPT／REJECT）を記録し、調査の手掛かりにする
正解：D
解説
VPC フローログを有効にすると、ネットワークインターフェースを出入りするトラフィックの送信元・宛先・ポートと、許可／拒否（ACCEPT／REJECT）の結果が記録され、実際のトラフィックが届いているか・どこかで拒否されているかの手掛かりになります。ただしフローログに記録されるのは通信の可否（ACCEPT／REJECT）であり、どのセキュリティグループ規則・ネットワーク ACL・ルートテーブルが原因かを直接特定できるわけではありません。構成上どの要素が到達性を妨げているかを特定したい場合は、VPC Reachability Analyzer（実パケットは送らず構成を解析する）を併用します。CloudTrail は AWS API コールの監査記録で、パケットの許可／拒否は記録しません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。VPC Reachability Analyzer は構成情報から到達性を解析するツールで、実トラフィックの ACCEPT／REJECT ログを出力するものではありません。
- B誤り。セキュリティグループの全開放は原因の切り分けにならず、セキュリティを損ないます。
- C誤り。CloudTrail のデータイベントは API 操作の記録で、ネットワークパケットの許可／拒否は記録しません。
- D正しい。VPC フローログで送受信トラフィックと ACCEPT／REJECT を記録すれば、通信可否の手掛かりが得られます。ただしどの規則が原因かの特定には構成確認（Reachability Analyzer 等）を併用します。