AWS セキュリティグループの説明として正しいものはどれですか？

解説

セキュリティグループはAWS VPC内でインスタンス（ENI）単位で適用される仮想ファイアウォールです。最大の特徴はステートフルである点です。これは、インバウンドルールで許可されたトラフィックに対する応答（戻りの通信）は、アウトバウンドルールに明示的な許可がなくても自動的に通過できることを意味します。逆にアウトバウンドで許可した通信の戻りも同様です。各誤答についても確認しておきましょう。選択肢1は、サブネット単位で適用されると述べていますが、これはネットワークACL（NACL）の特徴です。セキュリティグループはENI（Elastic Network Interface）単位、つまり実質的にはインスタンス単位で適用されます。同じサブネット内でもインスタンスごとに異なるセキュリティグループを割り当てることが可能です。選択肢3は、デフォルトの挙動が誤りです。新規作成したセキュリティグループでは、インバウンドトラフィックはすべて拒否、アウトバウンドトラフィックはすべて許可がデフォルトです。なお、VPC作成時に自動生成されるデフォルトセキュリティグループは例外的にインバウンドも同グループ内からの通信を許可しますが、一般的な新規セキュリティグループとは挙動が異なります。選択肢4は、拒否ルールを定義できると述べていますが、セキュリティグループでは許可ルールのみ定義可能です。許可と拒否の両方を定義できるのはネットワークACLの特徴です。セキュリティグループでは、ルールに一致しないトラフィックはすべて暗黙的に拒否されます。試験対策としては、セキュリティグループ（ステートフル・許可のみ・インスタンス単位）とネットワークACL（ステートレス・許可と拒否・サブネット単位）の違いを正確に整理しておくことが重要です。