セキュリティグループ vs ネットワークACL難易度 標準無料
ソリューションアーキテクトは、EC2 インスタンスのセキュリティグループのインバウンドルールにポート 443（HTTPS）を許可するルールのみを追加した。アウトバウンドルールは編集していない（デフォルトのまま）。クライアントからの HTTPS リクエストに対して、インスタンスは正常にレスポンスを返せている。
アウトバウンドルールを何も追加していないのに、レスポンス（戻りの通信）が正しく届く理由として最も適切なものを選べ。（単一選択）
- Aセキュリティグループはステートフルであり、インバウンドで許可された通信の戻りのレスポンスは自動的に許可されるため、対応するアウトバウンドルールを個別に追加する必要はない
- BセキュリティグループもネットワークACLと同様にステートレスであるが、デフォルトのアウトバウンドルールでポート 443 の戻り通信専用のルールが暗黙に用意されているため通る
- Cこのインスタンスが属するサブネットのネットワークACLがすべての通信を許可しているため、セキュリティグループの設定とは無関係にレスポンスが届いている
- DAWS は各セキュリティグループに対して、既知のウェルノウンポート（443 等）の戻り通信を自動生成して許可リストに追加するため
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
セキュリティグループはステートフルである。これが本問の核心。
- インバウンドルールで許可した通信の戻りのレスポンスは、アウトバウンドルールの内容にかかわらず自動的に許可される（コネクション追跡により、往路が許可されれば復路も自動的に通す）。
- セキュリティグループのデフォルトのアウトバウンドルールは「すべての送信を許可」であるため、仮に明示的なアウトバウンドルールを何も追加していなくても外向き通信自体は妨げられない。だが本問で問われている本質はステートフルな戻り通信の自動許可の性質である。
- 対照的にネットワークACL（NACL）はステートレスであり、インバウンド／アウトバウンド双方を明示的に許可しなければならない（戻り通信にはエフェメラルポートのアウトバウンド許可が別途必要）。
- Bセキュリティグループはステートレスではなくステートフル。また「443専用の暗黙ルール」という個別ポートに紐づく特別扱いは存在しない。戻り通信が通るのはステートフルな性質そのものによる。
- CNACL の設定次第でレスポンスが届く／届かないは変わり得るが、本問が問うているのは「アウトバウンドルールを追加していないのに戻り通信が届く」理由であり、それはセキュリティグループのステートフルな性質による。NACL の設定如何にすり替える説明は本質を外している。
- Dそのような「ウェルノウンポートの自動許可リスト生成」という仕組みは存在しない。戻り通信が通るのはコネクション追跡に基づくステートフルな挙動であり、ポート番号ごとの特別処理ではない。
ひっかけ： 「セキュリティグループもステートレスで、往復両方のルールが要る」という NACL との混同（B）が頻出。ステートフル＝セキュリティグループ／ステートレス＝NACL という対応を正確に覚える。
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）