ハイブリッドDNS（Route 53 Resolverルールの中央管理）難易度 高無料
ネットワーク部門は、オンプレミスDNSへの転送ルール（corp.example.com → オンプレミスDNSサーバーIP）を中央のネットワークアカウントで一元管理しつつ、50個のスポークアカウントの各VPCへこの転送設定を適用したい。転送ルールの変更（オンプレミスDNSサーバーIPの変更等）は中央アカウントで1回行うだけで全スポークVPCに反映されるようにしたい。この要件を満たすために必要な操作を2つ選べ。
- A中央のネットワークアカウントでアウトバウンドエンドポイントと
corp.example.comのResolverルールを作成する - B作成したResolverルールをAWS RAMで対象のスポークアカウント（またはOU）へ共有し、各スポークアカウント側でそのルールを自分のVPCに関連付ける（AssociateResolverRule）
- C各スポークアカウントで同一内容のResolverルールを個別に作成する（RAM共有は行わない）。これがResolverルールの標準的な中央管理方法である
- DRoute 53のホストゾーンVPC関連付け認可API（CreateVPCAssociationAuthorization / AssociateVPCWithHostedZone）を使ってResolverルールをスポークVPCへ関連付ける
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
Route 53 Resolverルールの中央管理・大量VPCへの適用は、AWS RAMでのルール共有＋各アカウント側でのVPC関連付けという2段階の操作で実現する。
- ルールの作成と共有：中央のネットワークアカウントでアウトバウンドエンドポイントとResolverルール（
corp.example.comをオンプレミスDNS IPへ転送）を作成し、AWS RAMで対象のスポークアカウント（またはOU）へ共有する。 - 各アカウントでのVPC関連付け：共有を受けたスポークアカウント側で、そのResolverルールを自分のVPCへ関連付ける（AssociateResolverRule）。RAMでの共有はルールを「利用可能」にするだけで、VPCへの適用（関連付け）は各アカウント側の操作が別途必要になる。
- この構成にしておけば、オンプレミスDNSサーバーIPが変わった場合も中央アカウントのルールを1箇所修正するだけで、関連付け済みの全スポークVPCへ変更が反映される。
- C個別作成でも動作はするが、オンプレミスDNSサーバーIPの変更時に50アカウント全てを個別修正する必要があり「中央で1回変更するだけで反映」という要件に反する。中央集約の効果が得られない。
- DこのAPIはプライベートホストゾーンをクロスアカウントでVPCに関連付けるための仕組みであり、Resolverルールの共有・関連付けとは別の機能。Resolverルールの共有にはAWS RAMを使う。
ひっかけ： 「各スポークアカウントで同じ内容のResolverルールを個別に作成すれば同じ効果が得られる」という発想（誤答C相当）は技術的には動くが、変更のたびに50アカウント全てを個別修正する必要があり、
本問が明示する「中央で1回変更するだけで反映」という要件に反する。また「RAM共有だけで自動的に全VPCに適用される」という誤解（RAM共有の後にVPC関連付けの操作が別途必要）にも注意。
公式ドキュメント・関連Amazon Route 53 Resolver ― Sharing forwarding rules with other AWS accounts↗AWS RAM User Guide ― Shareable AWS resources↗
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）