【ANS-C01 模擬】オンプレミスと100アカウントのVPCで相互にプライベート名前解決を行い、DNS構成を集約するには？
ある企業はAWS Organizations配下の100アカウントにVPCを持ち、すべてのVPCをTransit Gatewayに接続し、Direct Connectでオンプレミスと接続しています。オンプレミスのDNSサーバーは corp.example.internal を管理しており、AWS側のプライベートホストゾーン aws.example.internal はネットワーク管理アカウントで管理しています。要件は次のとおりです。(1) すべてのVPC内のワークロードが corp.example.internal をオンプレミスのDNSで解決できること。(2) オンプレミスのサーバーが aws.example.internal を解決できること。(3) 各アカウントにResolverエンドポイントを作らず、DNS構成と運用コストを集約すること。
これらを満たす構成として最も適切なものはどれですか。
これらを満たす構成として最も適切なものはどれですか。
正解: B
正解はBです。Route 53 Resolverのアウトバウンドエンドポイントと転送ルールで corp.example.internal をオンプレミスへ転送し、インバウンドエンドポイントでオンプレミスからのクエリを受けます。エンドポイントを1つのVPCに集約し、転送ルールとプライベートホストゾーンをRoute 53 Profilesにまとめて、AWS RAMで共有すると、多数のアカウントのVPCへ一括して関連付けられ、構成が集約されます。オンプレミスから aws.example.internal を解決するには、プライベートホストゾーンがインバウンドエンドポイントのあるVPCにも関連付いている必要があります。Aは各アカウントにエンドポイントを作るため「集約」「コスト抑制」の要件に反し、ENIの時間課金も100アカウント分発生します。CはAmazon提供のDNSを使わなくなるため、プライベートホストゾーンのレコードやVPCエンドポイントのプライベートDNS名が解決できなくなります。DはDNSサーバーの自前運用が必要で、可用性・パッチ・ゾーン同期の負担が大きく、マネージドな構成の要件に合いません。