【構成図解付き】出題範囲網羅+AWS ANS-C01日本語実践問題220問 (Advanced Networking)

更新履歴

• 2025/7:  演習問題4（20問） を追加いたしました。

• 2025/8:  演習問題4（5問） を追加いたしました。

• 2026/2:  出題順序固定版の演習問題を追加しました。※出題順序固定版は演習1~4と同じ問題です。

コース紹介

ANS-C01の全ての出題範囲を網羅した実践問題集です。
AWS ANS（AWS Certified Advanced Networking - Specialty）に合格したい方はもちろんのこと、AWSでネットワークエンジニアロールを担う方の効率的な学習をサポートするコースです。スペシャリティ試験は解くための前提となる知識が多いため、その前提知識についての解説は詳しく記載するようにしました。

特にネットワーク試験では問題となっているネットワーク構成を文章から読み取るのが難しいため、ほぼすべての問題にネットワーク構成図の図解を記載しました。

本問題集のサンプル

以下本問題集に収録されている問題サンプルです。ご自身が求めているレベルかを確認してください

問題文：

大手電力会社が、AWS Cloud WANをap-northeast-1リージョンとap-southeast-1リージョンにエッジロケーションとして展開しています。各エッジロケーションには、開発環境・本番環境・共有サービス環境のそれぞれに専用のセグメントが構成されています。これらの環境へ多数の新しいVPCがデプロイされ、AWS Cloud WANコアネットワークへのアタッチメントとして登録されます。ネットワーク運用チームは、各VPCアタッチメントが正しいセグメントへ振り分けられるようにしたいと考えています。チームは、対応する環境セグメント名を値に持つEnvironmentキーでVPCアタッチメントにタグを付けています。ap-northeast-1の本番環境セグメントだけはアタッチメント要求に承認を必要とする設定にし、それ以外のアタッチメント要求は承認なしで自動的に振り分けたいと考えています。これらの要件を満たすソリューションはどれですか。

選択肢：

A. 番号100のルールを作成して本番セグメントへのアタッチメントに承認を要求する設定にし、条件ロジックを「or」に設定します。タグ値がProductionであるか、リージョンがap-northeast-1であるという条件を含めます。番号200のルールを作成して、任意のタグ値を各セグメントへマッピングし承認を要求しないようにします。

B. 番号100のルールを作成して本番セグメントへのアタッチメントに承認を要求し、条件ロジックを「and」に設定します。タグ値がProductionであり、かつリージョンがap-northeast-1であるという条件を含めます。番号200のルールを作成して、任意のタグ値を各セグメントへマッピングし承認を要求しないようにします。

C. 番号100のルールを作成して、任意のタグ値を各セグメントへマッピングし承認を要求しないようにします。番号200のルールを作成して本番セグメントへのアタッチメントに承認を要求し、条件ロジックを「and」に設定して、タグ値がProductionであり、かつリージョンがap-northeast-1であるという条件を含めます。

D. 番号100のルールを作成して、任意のタグ値を各セグメントへマッピングし承認を要求しないようにします。番号200のルールを作成して本番セグメントへのアタッチメントに承認を要求し、条件ロジックを「or」に設定して、タグ値がProductionであるか、リージョンがap-northeast-1であるという条件を含めます。

正解：B

A. 番号100のルールを作成して本番セグメントへのアタッチメントに承認を要求する設定にし、条件ロジックを「or」に設定します。タグ値がProductionであるか、リージョンがap-northeast-1であるという条件を含めます。番号200のルールを作成して、任意のタグ値を各セグメントへマッピングし承認を要求しないようにします。

不正解 条件ロジックを「or」にすると、Environmentタグの値がProductionである場合と、リージョンがap-northeast-1である場合のいずれか一方を満たしただけでルール100に一致します。その結果、ap-northeast-1の開発環境や共有サービス環境のアタッチメント、さらにap-southeast-1の本番環境のアタッチメントまで承認待ちになり、承認を求める対象をap-northeast-1の本番環境に絞るという要件から外れます。

B. 番号100のルールを作成して本番セグメントへのアタッチメントに承認を要求し、条件ロジックを「and」に設定します。タグ値がProductionであり、かつリージョンがap-northeast-1であるという条件を含めます。番号200のルールを作成して、任意のタグ値を各セグメントへマッピングし承認を要求しないようにします。

正解 条件ロジックを「and」にすると、Environmentタグの値がProductionであり、かつリージョンがap-northeast-1であるアタッチメントだけがルール100に一致し、承認が必要になります。アタッチメントポリシーのルールは番号の小さい順に評価され、一致した時点で後続のルールは処理されないため、例外を扱うルール100を先に置けば、残りはルール200がタグ値に応じた各セグメントへ承認なしで振り分けます。

C. 番号100のルールを作成して、任意のタグ値を各セグメントへマッピングし承認を要求しないようにします。番号200のルールを作成して本番セグメントへのアタッチメントに承認を要求し、条件ロジックを「and」に設定して、タグ値がProductionであり、かつリージョンがap-northeast-1であるという条件を含めます。

不正解 アタッチメントポリシーのルールは番号の小さい順に評価され、アタッチメントがあるルールに一致した時点で以降のルールは処理されません。番号100に「任意のタグ値を承認なしで各セグメントへマッピングする」汎用ルールを置くと、すべてのアタッチメントがそこで一致してしまい、番号200の承認要求ルールは評価されません。ap-northeast-1の本番環境も承認なしで接続されます。

D. 番号100のルールを作成して、任意のタグ値を各セグメントへマッピングし承認を要求しないようにします。番号200のルールを作成して本番セグメントへのアタッチメントに承認を要求し、条件ロジックを「or」に設定して、タグ値がProductionであるか、リージョンがap-northeast-1であるという条件を含めます。

不正解 ルールの順序と条件ロジックの両方が誤っています。番号100の承認不要ルールがすべてのアタッチメントに先に一致するため番号200は評価されず、仮に評価される状況でも「or」条件ではap-northeast-1の開発環境や共有サービス環境、ap-southeast-1の本番環境まで承認の対象に含まれてしまい、要件から外れます。

全体的な説明

問われている要件

• ap-northeast-1とap-southeast-1にエッジロケーションを持つAWS Cloud WANで、開発・本番・共有サービスのセグメントを構成すること

• VPCアタッチメントに対応する環境名のタグを付けること

• ap-northeast-1の本番環境セグメントのみ、アタッチメント要求に承認を必要とすること

• それ以外のアタッチメント要求は承認を必要としないこと

前提知識

AWS Cloud WANについて

• グローバルなWANの構築と運用を一元化するマネージドサービスで、中心となる論理構造がコアネットワークです。

• コアネットワークは複数のエッジロケーション（AWSリージョン）にまたがり、各エッジロケーションでVPCなどのリソースを収容します。

• コアネットワークの動作は、JSON形式のコアネットワークポリシーで宣言的に定義します。ポリシーにはセグメント定義、アタッチメントポリシー、セグメント間の共有設定などが含まれます。

セグメントとアタッチメントについて

• セグメントはコアネットワーク内の論理的なルーティング区分で、開発・本番・共有サービスといった環境どうしを分離できます。

• アタッチメントはVPC、Site-to-Site VPN、Direct Connectゲートウェイなどをコアネットワークへ接続する単位で、いずれかのセグメントに関連付けられます。

• セグメント定義とアタッチメントポリシーのアクションのどちらでも、アタッチメントの受け入れに管理者の承認を必要とする設定ができます。アクション側では require-acceptance を true にします。

アタッチメントポリシーについて

• ルールは rule-number の小さい順に評価され、アタッチメントがあるルールに一致した時点で、それ以降のルールは処理されません。

• 条件にはタグ名、タグ値、リージョン、アカウント、リソースID、アタッチメントタイプを指定でき、equals や begins with といった演算子を組み合わせられます。

• 条件ロジックには「and」（すべての条件を満たす）と「or」（いずれかの条件を満たす）があります。

• アクションの association-method が constant なら固定のセグメント名へ、tag なら tag-value-of-key で指定したタグの値をセグメント名として関連付けます。

• 限定的な例外を扱うルールほど小さい番号に置き、すべてを受ける汎用ルールを大きい番号に置く設計が基本です。

アーキテクチャ図の解説

★本編にはアーキテクチャ図が貼付されています★

VPCアタッチメントはアタッチメントポリシーのルールでセグメントへ振り分けられます。ap-northeast-1のProductionタグを持つVPC（VPC #1）はルール#100に一致して承認が必要になり、それ以外はルール#200へ進んで承認不要で各セグメントへマッピングされます。ルールは番号の小さい順に評価され、最初に一致した時点で打ち切られる点がポイントです。「or」条件ではリージョンかタグの一方で一致してしまいap-northeast-1の全環境が承認対象になるため、「and」でProductionかつap-northeast-1を指定します。順序を逆にして承認不要ルールを先に置くと、例外ルールが評価されず本番環境も承認なしで接続されます。

解くための考え方

まず要件を整理します。承認が必要なのはap-northeast-1にある本番環境セグメントへのアタッチメントだけで、同じap-northeast-1の開発環境や共有サービス環境、そしてもう一方のエッジロケーションであるap-southeast-1のアタッチメントは、承認なしで各セグメントへ自動的に振り分けたい、という条件です。「ap-northeast-1の本番環境」は「Environmentタグの値がProductionであること」と「リージョンがap-northeast-1であること」という2つの条件が同時に成り立つ場合を指すので、条件ロジックは「and」でなければ表現できません。「or」にすると、ap-northeast-1の開発環境や共有サービス環境、さらにap-southeast-1の本番環境までルールに一致してしまい、承認の対象が要件より広がります。次に見るのはルールの順序です。アタッチメントポリシーのルールはrule-numberの小さい順に評価され、一致した時点でそれ以降のルールは処理されません。したがって、限定的な例外を扱うルールを小さい番号に、すべてを受ける汎用ルールを大きい番号に置く必要があります。番号100に「任意のタグ値を承認なしでマッピングする」汎用ルールを置いてしまうと、すべてのアタッチメントがそこで一致し、後ろに置いた承認要求ルールは一度も評価されません。この2点を同時に満たすのは、番号100で「and」条件の承認要求ルールを定義し、番号200で残りをタグ値に応じたセグメントへ承認なしでマッピングする構成です。

参考資料★問題本編には公式ドキュメントへのリンクが添付されます★

• AWS Cloud WANとは - AWS Cloud WAN

• AWS Cloud WANコアネットワークポリシー - AWS Cloud WAN

• AWS Cloud WANアタッチメントポリシー - AWS Cloud WAN

• AWS Cloud WANセグメント - AWS Cloud WAN

• AWSリソースのタグ付け - AWS 全般のリファレンス

ANS-C01の特徴

AWS認定ANS-C01（AWS Certified Advanced Networking - Specialty）は、複雑なネットワークソリューションの設計、実装、トラブルシューティングに関する知識が求められる難関試験です。実践的なシナリオベースの出題であり、単にAWSサービスの機能を理解しておくだけでは点数を取ることは難しいです。

ハイブリッドIT接続アーキテクチャ、高度なVPC設計、専用接続サービス（Direct Connect）、VPNソリューション、トランジットゲートウェイ、複数アカウント・リージョン間のネットワーキング、セキュリティ設計、高可用性設計などに関する深い知識が必要です。

本問題集の特徴

• ANS-C01の出題形式に沿った本番ライクな問題

• ほぼすべての問題の解説にネットワーク構成図を記載

• 全問題に詳細な解説とAWS公式ドキュメントへのリンクを記載

• 不正解選択肢の理由についての解説

• 長文の問題文から問われている要点を解説

• 問題を解くための詳しい前提知識の説明