[AWS][SAA][EXAMTOPICS] Question 7 (확인)

A corporation uses an AWS application to offer content to its subscribers worldwide. Numerous Amazon EC2 instances are deployed on a private subnet behind an Application Load Balancer for the application (ALB). The chief information officer (CIO) wishes to limit access to some nations due to a recent change in copyright regulations.

Which course of action will satisfy these criteria?

• A. Modify the ALB security group to deny incoming traffic from blocked countries.
• B. Modify the security group for EC2 instances to deny incoming traffic from blocked countries.
• C. Use Amazon CloudFront to serve the application and deny access to blocked countries.
• D. Use ALB listener rules to return access denied responses to incoming traffic from blocked countries.

 

한글로 번역

기업은 AWS 애플리케이션을 사용하여 전 세계 구독자에게 콘텐츠를 제공합니다. 수많은 Amazon EC2 인스턴스가 애플리케이션(ALB)용 Application Load Balancer 뒤의 프라이빗 서브넷에 배포됩니다. CIO(최고 정보 책임자)는 최근 저작권 규정 변경으로 인해 일부 국가에 대한 액세스를 제한하고자 합니다.

이러한 기준을 충족하는 조치는 무엇입니까?

• A. 차단된 국가에서 들어오는 트래픽을 거부하도록 ALB 보안 그룹을 수정합니다.
• B. 차단된 국가에서 들어오는 트래픽을 거부하도록 EC2 인스턴스에 대한 보안 그룹을 수정합니다.
• C. Amazon CloudFront를 사용하여 애플리케이션을 제공하고 차단된 국가에 대한 액세스를 거부합니다.
• D. ALB 수신기 규칙을 사용하여 차단된 국가에서 들어오는 트래픽에 대한 액세스 거부 응답을 반환합니다.

 

정답

• C. Use Amazon CloudFront to serve the application and deny access to blocked countries.

해설

"일부 국가"에 대한 접근을 차단합니다. 라는 지리적 차단이라고도 하는 지리적 제한을 사용하여 특정 지리적 위치에 있는 사용자가 CloudFront 웹 배포를 통해 배포하는 콘텐츠에 액세스 하지 못하게 할 수 있습니다.

참조: 

https://docs.aws.amazon.com/ko_kr/AmazonCloudFront/latest/DeveloperGuide/georestrictions.html

 

CloudFront 지리적 제한 사용

사용자가 콘텐츠를 요청할 경우 일반적으로 CloudFront는 사용자가 위치한 장소와 상관없이 요청한 콘텐츠를 제공합니다. 특정 지리적 위치에 있는 사용자가 콘텐츠에 액세스하는 것을 차단해야 하는 경우, CloudFront 지리적 제한 기능을 사용하여 다음 중 하나를 실행할 수 있습니다.

• 사용자가 허용 목록의 승인된 국가 중 하나에 있는 경우에만 액세스를 허용합니다.
• 사용자가 차단 목록의 금지된 국가 중 하나에 있는 경우 액세스를 금지합니다.

예를 들어, 콘텐츠를 배포하도록 허용되지 않는 특정 국가로부터 요청이 온 경우 CloudFront 지리적 제한을 사용하여 이 요청을 차단할 수 있습니다.

 

20220823업데이트

ALB뒤의 Private Subnet에 배포된다고 하지만, 특정 국가에 대한 엑세스 제한이라고 하는 지문에서
내 생각에 ALB와 Private Subnet이 해당 지문에서 답을 가를만큼 중요한 요소는 아니라고 생각된다.
ALB 보안 그룹과 EC2 보안 그룹은 엄밀히 말하자면 IP와 포트에 대해서만 컨트롤 하는것이지, 해당 국가에서 오는 트래픽을 제어하지는 못한다.
ALB 수신기 규칙도 마찬가지로 포트와 프로토콜에 대한 제어이지 국가 트래픽 제어는 아니라고 판단된다.
그렇기 때문에 답은 C 밖에 될수 없는 것이다.