SAA（Solutions Architect Associate）攻略・ 2026-07-19

SAA ハイブリッドクラウド設計の頻出パターン｜接続・DNS・ストレージ・実行を要件で即断する

AWS SAA-C03 で「オンプレミスと AWS をどうつなぐか」を問うハイブリッドクラウド設計は、セキュア設計（ドメイン1）・弾力性（ドメイン2）・コスト最適化（ドメイン4）を横断する頻出テーマだ。本記事は無数に見えるハイブリッド構成を「①どうつなぐか（接続）②どう名前解決するか（DNS）③データをどう共存させるか（ストレージ）④AWS をオンプレ側でどう動かすか（実行）」の4評価軸に畳み、頻出10パターンを分解する。最頻出の罠——Direct Connect は単体では暗号化されない・DX 一本は単一障害点・「共存」と「一度きりの移行」の取り違え——を要件文のキーワードから即断できる型に落とし込む。結論は「まず接続の要件（帯域・暗号化・冗長）を読み、次に DNS・ストレージ・実行を用途で足す」こと。読み終えれば、ハイブリッド設問の選択肢を迷わず絞れるようになる。

#AWS #SAA #SAA-C03 #Solutions Architect #ハイブリッドクラウド #Direct Connect #VPN #Transit Gateway #Route 53 Resolver #Storage Gateway #Outposts #試験対策 #AWS認定資格

「オンプレミスのデータセンターと AWS を安全につなぎ、名前解決もデータ共有もそのまま使い続けたい」——SAA-C03 でこの手の設問を読んだとき、Direct Connect・VPN・Transit Gateway・Storage Gateway・Route 53 Resolver が選択肢に散らばっていて手が止まるなら、それはハイブリッド設計を「サービス単位の暗記」で捉えているサインだ。ハイブリッドクラウドはセキュア設計（ドメイン1）・弾力性（ドメイン2）・コスト最適化（ドメイン4）を貫く頻出テーマで、単体サービスの設問より「組み合わせ」で問われる。攻略の鍵はシンプルで、構成を「①どうつなぐか（接続）②どう名前解決するか（DNS）③データをどう共存させるか（ストレージ）④AWS をオンプレ側でどう動かすか（実行）」の4層に分けて読むことだ。とくに接続層は、帯域・暗号化・冗長という3つの要件が選択肢を一意に決める。本記事では、この4評価軸で頻出10パターンを分解し、要件文のキーワードから正解を反射で引ける型に落とし込む。読み終えれば、ハイブリッドが絡むどの設問でも選択肢を迷わず絞れるようになる。

※ 本記事はアフィリエイト広告（Amazon アソシエイト等）を含みます

1. 結論：ハイブリッドは「接続 → DNS・ストレージ・実行」を要件で足す

ハイブリッドクラウド設計の設問を最短で解く骨格は、**「①まず接続層（オンプレ↔AWS をどうつなぐか）の要件を読み、②その上に DNS・ストレージ・実行の要件を用途で足していく」**という積み上げだ。これが本記事の結論である。

理由は、ハイブリッド構成が**「土台の接続」と「その上に乗るサービス」の2階建てになっているからだ。接続がなければ何も始まらないので、設問はまず接続の要件——帯域（安定した専用線か／即時の低コストか）・暗号化（機密要件があるか）・冗長（単一障害点を許さないか）——を問う。ここが決まってから、名前解決を統合したいなら Route 53 Resolver、オンプレのファイルを AWS と共有し続けたいなら Storage Gateway、AWS のインフラをオンプレ側で動かしたいなら Outposts、と目的ごとに部品を足す**。

具体例で確認しよう。「金融機関が、安定帯域かつ暗号化必須でオンプレと AWS を常時接続したい」——専用線だから Direct Connect、ただし DX は素のままでは暗号化されないので IPsec（VPN over DX）または MACsec を重ねる。「まず低コストで今すぐつなぎたい」——即時・従量課金の Site-to-Site VPN。「複数 VPC とオンプレをまとめて相互接続したい」——ハブになる Transit Gateway。このように、接続の3要件で土台を決め、DNS・ストレージ・実行を要件で足す——この積み上げがハイブリッド設問の攻略法だ。

2. 評価軸1：どうつなぐか（Direct Connect と VPN）

接続層の第一分岐は、専用線の Direct Connect か、インターネット経由の Site-to-Site VPN かだ。ここは要件文の「帯域の安定性」「コスト」「立ち上げ速度」で一意に決まる。

AWS Direct Connect（DX）：AWS と自社データセンターを専用線で物理接続する。帯域が安定し、レイテンシが低く、インターネットを経由しない。大容量・低遅延・一貫した性能が要る本番系ハイブリッドの土台。ただし開通に時間と初期コストがかかる。
AWS Site-to-Site VPN：インターネット経由で IPsec トンネルを張る。数分〜数十分で立ち上がり、従量課金で安く、標準で暗号化される。即時性・低コストが要件なら第一候補。ただしインターネット品質に依存し、帯域とレイテンシは DX ほど安定しない。

3. 評価軸1の応用：暗号化と冗長化の頻出3パターン

接続の土台が決まると、SAA は必ず**「暗号化」と「冗長化」**を上乗せで問う。ここに最頻出の罠が2つ潜む。

パターン②：DX は単体では暗号化されない。Direct Connect は専用線だが、通信そのものは暗号化されていない。「機密データを暗号化して転送」という要件が付いたら、DX の上に IPsec を重ねる（VPN over Direct Connect） か、専用線区間を MACsec（L2 暗号化・Dedicated 接続で対応） で守る。「専用線だから安全＝暗号化済み」と思い込むのが典型的な誤答だ。
パターン③：DX 一本は単一障害点（SPOF）。専用線が1本だけだと、それが落ちれば全断する。高可用の要件では、DX を2本引く（最高可用） か、DX をメイン＋ Site-to-Site VPN をバックアップにする（コスト最小で冗長化） のが定番だ。予算を抑えつつ冗長性が欲しい設問では、後者（DX + VPN バックアップ）が正解になりやすい。

ハイブリッド接続：暗号化・冗長の選択

評価項目	要件	正解構成
安定帯域だけでよい	Direct Connect 単体	専用線・低遅延・非暗号
安定帯域＋暗号化	DX ＋ IPsec / MACsec	DX は素では暗号化しない
即時・低コスト	Site-to-Site VPN	インターネット経由・標準暗号化
高可用（予算重視）	DX ＋ VPN バックアップ	片系冗長を安く実現
高可用（最高水準）	Direct Connect ×2	経路・機器を二重化

接続は帯域・暗号化・冗長の3要件で決まる。『DX＝暗号化済み』『DX 一本で高可用』の思い込みが二大罠。

4. 評価軸1の集約：Transit Gateway で複数 VPC をまとめる

VPC が1つならオンプレとの接続は仮想プライベートゲートウェイ（VGW）で足りるが、VPC が増えると1対1接続では破綻する。ここで登場するのが集約役だ。

AWS Transit Gateway（TGW）：複数の VPC とオンプレ接続をハブに集約する。VPC 同士も、VPC とオンプレも、TGW を中心にスター型でまとめて相互接続できる。VPC Peering のフルメッシュ（N×N の張り合わせ）が破綻する規模で選ぶのが鉄板。
Direct Connect Gateway と組み合わせる：DX を Direct Connect Gateway → Transit Gateway 経由で複数 VPC・複数リージョンへ届ける。「1本の DX を複数 VPC・複数リージョンで共有したい」という要件はこの構成が正解。
VGW との使い分け：オンプレとつなぐ VPC が単一なら VGW で十分。複数 VPC を集約するなら TGW。「VPC が増えても破綻しない設計」を問われたら TGW と読む。

5. 評価軸2：どう名前解決するか（Route 53 Resolver）

接続がつながっても、オンプレと AWS がお互いのホスト名を解決できなければハイブリッドは完成しない。ここを担うのが Route 53 Resolver のハイブリッド DNS だ。方向で2つのエンドポイントを使い分ける。

インバウンドエンドポイント：オンプレ → AWS 方向の DNS クエリを受ける。オンプレの DNS サーバーから、VPC 内のプライベートホストゾーン（例：db.internal.example.com）を解決したいときに置く。
アウトバウンドエンドポイント：AWS → オンプレ方向のクエリを転送する。VPC 内のリソースから、オンプレの DNS サーバーが持つ社内ドメインを解決したいときに、**転送ルール（フォワーディングルール）**と組み合わせて使う。

要件文の**「どちら向きに名前解決したいか」**でエンドポイントが一意に決まる。オンプレから AWS の名前を引くならインバウンド、AWS からオンプレの名前を引くならアウトバウンド——この向きの読み違いが唯一にして最大の罠だ。

6. 評価軸3：データをどう共存させるか（Storage Gateway）

オンプレのアプリが AWS ストレージを「ローカルのように」使い続けたい——この恒久的なデータ共存を担うのが Storage Gateway だ。用途で3タイプを引き分ける。

File Gateway：オンプレから NFS / SMB でマウントし、実体を S3 に保存する。オンプレのファイルサーバー感覚で S3 を使いたいときの定番。
Volume Gateway：iSCSI ブロックボリュームをオンプレに見せ、S3 にバックアップ（スナップショット）する。既存アプリのブロックストレージをクラウドに逃がしたいとき。
Tape Gateway：物理テープ装置の代替として **仮想テープ（VTL）**を提供し、S3 Glacier へアーカイブ。既存のバックアップソフトをそのままに、テープ運用を AWS へ置き換える。

そして SAA 頻出の分岐が、「共存（Storage Gateway）」なのか「一度きりの移行（DataSync）」なのかだ。DataSync は移し終えたら役目を終える一括／継続転送、Storage Gateway は移行後も使い続ける橋渡し。**期間（使い続けるか／移して終わりか）**で切り分ける。

7. 評価軸4：AWS をオンプレ側でどう動かすか（Outposts）

最後の層は、AWS のインフラそのものをオンプレ（自社拠点やエッジ）側で動かすケースだ。「データを AWS リージョンに出せない」「超低レイテンシが要る」といった要件で顔を出す。

AWS Outposts：AWS のハードウェアラックを自社データセンターに設置し、EC2・EBS・RDS などをオンプレの中で動かす。データを物理的に自拠点に置きたい（データ主権・規制）、あるいは工場・店舗でリージョン往復のレイテンシを許せないときの答え。
ローカルゾーン / Wavelength：ローカルゾーンは大都市近傍で低レイテンシ、Wavelength は 5G キャリア網のエッジ。「特定地域のユーザーに一桁ミリ秒で」という文脈で候補になる。
エッジでの一時処理・搬送：ネットワークが乏しい現場での処理やオフライン大容量搬送は Snow Family。
運用の統合：オンプレのサーバーも AWS Systems Manager のハイブリッドアクティベーションでAWS と一元管理でき、Session Manager なら踏み台なしで安全に接続できる。

8. 要件キーワード → 正解サービス早見表

本番でそのまま判断できるよう、要件文のキーワードと正解の対応を4層で1枚に畳んでおく。

ハイブリッド設計の要件キーワード → 正解サービス

評価項目	要件文のキーワード	正解
安定帯域・低レイテンシ・専用線	Direct Connect	接続
すぐに・低コスト・一時的に	Site-to-Site VPN	接続
専用線だが機密で暗号化必須	DX ＋ IPsec / MACsec	接続
予算内で接続を冗長化	DX ＋ VPN バックアップ	接続
多数の VPC とオンプレを集約	Transit Gateway	接続
オンプレから AWS の名前を解決	Route 53 Resolver インバウンド	DNS
AWS からオンプレの名前を解決	Route 53 Resolver アウトバウンド	DNS
オンプレのファイルを S3 と共有し続ける	Storage Gateway (File)	ストレージ
オンプレの NAS を S3 へ一括移行	DataSync	ストレージ
データを出せない／超低レイテンシで AWS 実行	Outposts	実行

接続層で土台を決め、DNS・ストレージ・実行を要件で足す。キーワードが正解を一意に決める。

9. 次のアクションチェックリスト

ハイブリッド設計を、今日からの学習に落とし込むための具体アクションをまとめる。

メリット

接続はまず帯域・暗号化・冗長の3要件で読む（DX か VPN か）
DX は素では暗号化されない→機密は IPsec か MACsec を重ねると反射で補う
DX 一本は SPOF→予算重視なら DX＋VPN バックアップ、最高水準なら DX×2
多数 VPC の集約は Transit Gateway、単一 VPC は VGW で十分
Route 53 Resolver はインバウンド（オンプレ→AWS）／アウトバウンド（AWS→オンプレ）を向きで引く
共存は Storage Gateway、一度きりの移行は DataSync と期間で切る
データを出せない／超低レイテンシは Outposts と読む

デメリット

Direct Connect を『暗号化済み』と思い込む
Direct Connect 一本で高可用と誤解する
単一 VPC でも過剰に Transit Gateway を選ぶ
Resolver のインバウンド／アウトバウンドを逆に選ぶ
継続共存が要るのに一度きりの DataSync を選ぶ

10. 関連記事

AWS Direct Connect とは？専用線接続の仕組み — 安定帯域のハイブリッド接続の土台
Site-to-Site VPN の設定と Direct Connect との違い — 即時・低コストな接続オプション
VPC Peering と Transit Gateway の使い分け — 複数 VPC・拠点の集約
AWS Storage Gateway 4 種類と使い分け — 恒久的なデータ共存
AWS Outposts とは？オンプレ × AWS のハイブリッド — AWS をオンプレ側で動かす
SAA：VPC 設計問題の頻出パターン10選 — ハイブリッド接続先のネットワーク設計
SAA オンプレミス → AWS 移行のサービス選定 — 移行（DataSync/Snow/DMS）との切り分け
SAA：マイグレーション戦略 6R の理解 — Retain（据え置き）とハイブリッドの関係
SAA 試験範囲：4ドメイン詳細解説 — ドメイン1〜4の全体像
SAA ドメイン2：弾力性のあるアーキテクチャの設計 — 接続の冗長化と可用性

11. 関連サイト

AWS 公式

参考（ハイブリッド接続の解説）

💡 学習中のひとこと

AWS SAA-C03 のハイブリッドクラウド設計は、セキュア設計（ドメイン1）・弾力性（ドメイン2）・コスト最適化（ドメイン4）を横断する頻出テーマです。攻略の骨格は、構成を「①接続 ②DNS ③ストレージ ④実行」の4層に分け、まず接続の要件（帯域・暗号化・冗長）で土台を決め、その上に用途で部品を足すことです。

接続は、安定帯域・低レイテンシの専用線なら Direct Connect、即時・低コストなら Site-to-Site VPN。ここに2つの最頻出の罠があります。第一に、Direct Connect は専用線でも通信は暗号化されないため、機密要件があれば IPsec（VPN over DX・L3）か MACsec（L2）を重ねます。第二に、DX 一本は単一障害点なので、予算重視なら DX ＋ VPN バックアップ、最高水準なら Direct Connect ×2 で冗長化します。VPC が多い・増えるなら Transit Gateway でハブ集約し、単一 VPC なら VGW で十分です。

名前解決は Route 53 Resolver を方向で使い分けます。オンプレから AWS の名前を引くならインバウンド、AWS からオンプレの名前を引くならアウトバウンド（＋転送ルール）。データ共存は、オンプレのアプリが AWS を使い続けるなら Storage Gateway（File/Volume/Tape）、一度きりの移行なら DataSync と期間で切り分けます。データを出せない・超低レイテンシで AWS を動かすなら Outposts が答えです。

最大の地雷は「Direct Connect＝暗号化済み」「DX 一本で高可用」「共存（Storage Gateway）と一度きりの移行（DataSync）の取り違え」「Resolver のインバウンド／アウトバウンドを逆にする」の4つ。4層を一筆書きで読み、要件キーワードから各層の正解を1つずつ引けるようにすれば、ハイブリッドが絡むどの設問でも安定して得点できます。