AWS ソリューションアーキテクト プロフェッショナルハイブリッド通信の経路判定オリジナル・公式資料照合難易度
ALBの既定appendモードを通したX-Forwarded-Forで接続元制限を行う。外部利用者は元のヘッダーを付けて送れる。安全な設計方針はどれか。
A
HTTPSならHTTPヘッダーの値は利用者が指定できないと判断する
HTTPSは通信を保護するが、利用者によるヘッダー値の入力を禁止しない。
B
信頼するプロキシ経路を限定し、その経路が付加した値を区別して解釈する★ 正解
先頭の値を無条件に信頼すると利用者入力を接続元と誤認する。アプリへの直通も防ぎ、信頼境界に沿って解釈する。
C
常に一番左のIPだけを本人のIPとして信じる
クライアントが元ヘッダーに入れた値が残る可能性がある。
D
ヘッダーがあればALBを通らない直通通信でも同じように信じる
ヘッダーは直通の利用者も自由に送れるため、接続経路の制限が必要である。
解説
先頭の値を無条件に信頼すると利用者入力を接続元と誤認する。アプリへの直通も防ぎ、信頼境界に沿って解釈する。
根拠資料・確認情報
対応範囲：SAP-C02
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。
同じレッスンの問題
問題 1
TGWルートテーブルに、静的10.0.0.0/16→検査VPCと、伝播10.0.8.0/24→VPNがある。宛先10.0.8.9に対し、経路選択の最初の基準はどれか。
問題 2
既存Direct ConnectのPublic VIFでS3の公開エンドポイントへ接続している。今後、TGW配下の複数VPCのプライベートIPへ接続する。追加構成として適切なのはどれか。
問題 3
対応Direct Connect接続でMACsecを有効化した。オンプレミスのアプリからAWSのDBまで全区間のアプリ通信暗号化を保証する要件は、これだけで満たせるか。
問題 4
別リージョンのTGW同士のピアリングを承認したが、VPC間通信ができない。対向TGW配下の経路も自動伝播すると考えていた。必要な対応はどれか。