AWS ソリューションアーキテクト プロフェッショナル管理接続と欠測・配信失敗を観測するオリジナル・公式資料照合難易度★★★★☆
プライベートEC2へ、踏み台やインバウンドSSHポートを増やさずに承認済み管理者がシェル接続したい。Session Managerを使う方針で、インターネット向けNATも設置しない。必要条件に合う構成はどれか。
A
IAM権限だけ用意すれば、SSM Agentもサービスへのネットワーク経路も不要になる
IAMは認可であり、実際に通信・セッション処理するAgentや経路の代わりにはならない。
B
Session Managerを使っても、インバウンドTCP22とSSH秘密鍵の配布が必須である
Session ManagerはそのようなインバウンドSSHを必須とせず、管理セッションを提供する。
C
VPC endpointを作れば、ノードや管理者のIAM権限も自動的に付与される
ネットワーク到達性とアクセス認可は別の要件である。
D
Agentと適切なIAM権限を用意し、必要なサービスへVPC endpoint経由で到達させる★ 正解
管理者の認可、ノード側の処理、プライベート通信経路を合わせて満たす。
解説
Session ManagerにはSSM Agent、ノードと管理者の適切なIAM権限、必要なSystems Managerサービスへの通信経路が必要である。VPC endpointでプライベートに到達でき、Agent側から接続を始めるため、インスタンスのインバウンド22を開ける必要はない。
根拠資料・確認情報
対応範囲：SAP-C03（2026-11-17開始予定、2026-10-30時点）
資料確認日：2026-10-30