Application Load Balancerの背後にあるEC2インスタンスに対して、インターネットから直接HTTPアクセスさせたくありません。セキュリティグループの設定として最も適切なものはどれですか？

解説

ALB配下のEC2は、EC2側のセキュリティグループでALBのセキュリティグループからの通信だけを許可する構成にします。

選択肢ごとの解説

実務での使いどころ

Application Load Balancer（ALB）配下の EC2 では、EC2 側のセキュリティグループ（SG）で「ALB の SG からのインバウンドのみ許可」する構成にすることで、インターネットからの直接アクセスを構造的に遮断できる。セキュリティグループは送信元として CIDR だけでなく、別の SG を ID 指定で参照できるため、ALB SG の ID を許可する設定にしておくと、ALB の IP が変動しても EC2 側のルールを変更せずに済む。ALB 側 SG では `0.0.0.0/0` からの 80/443 を受け、EC2 側 SG では ALB SG からの 80/8080 等を受ける、という二段構成が標準となる。 セキュリティグループは「許可ルールのみ・ステートフル」、ネットワーク ACL（NACL）は「許可と拒否を書ける・ステートレス」という違いもあり、SAA-C03 では両者の使い分けが問われる。EC2 を VPC のプライベートサブネットに配置し、ALB をパブリックサブネットに配置するのが一般的構成で、EC2 にパブリック IP や Elastic IP を付与する必要はない。プライベート IP と ALB 経由のヘルスチェック・トラフィック転送だけで通信が成立する。 SAA-C03 では「ALB 配下の EC2 にインターネットから直接アクセスさせない」要件で、EC2 側 SG に ALB SG からのみ許可するパターンが頻出する。誤答は `0.0.0.0/0` 開放、EC2 への Elastic IP 付与、ALB 側 SG を EC2 からのみ許可する逆方向設定など、入口を ALB に集約する意図に反するパターンが並ぶ。SG 同士の参照は同一 VPC 内（または VPC ピアリング先）に限られる点も実装時の注意ポイントとなる。