変更要約: ANS-C01 第6章を深掘り（SG/NACL評価順序・SG参照/エフェメラル・検査VPCルーティング/アプライアンスモード/各FWの守備範囲・Shield Adv/WAF Web ACL/Firewall Mgr前提/ACMリージョン＋比較表・シナリオ・FAQ・ひっかけ、図ja化）
6.3DDoS 対策とガバナンス
攻撃と統制——Shield Standard/Advanced、WAF、Firewall Manager、証明書管理（ACM）、組織横断のポリシー——を理解します。守りと統制を全体に効かせます。
外部からの攻撃には Shield（DDoS） と WAF（L7） で対処し、複数アカウント・多数リソースには Firewall Manager でポリシーを一括適用します。
6.3.1攻撃対策と一元統制
- Shield Standard：自動・無料で一般的な L3/L4 DDoS をエッジで緩和する。
- Shield Advanced：有料。大規模攻撃の高度防御・SRT 支援・コスト保護を提供。
- WAF：L7 で HTTP をフィルタ。SQLi/XSS・レートベースルール・IP/地理マッチ。
- Firewall Manager：組織全体に WAF/Shield/SG/Network Firewall のポリシーを一括適用し統制する。
「L3/L4 DDoS＝Shield（大規模・コスト保護は Advanced）」「L7 の SQLi/XSS・レート制限＝WAF」「組織横断でルールを一括強制＝Firewall Manager」「TLS 証明書の管理/自動更新＝ACM」 は ANS-C01 で頻出です。複数アカウントに同じ WAF ルールを強制するなら Firewall Manager です。
ACM（AWS Certificate Manager）は TLS 証明書を無料で発行・自動更新します。CloudFront・ALB・API Gateway と統合し、HTTPS を簡単に有効化できます。
ANS-C01 では Shield Advanced の具体的な価値、WAF のルール構造、Firewall Manager の前提、ACM のリージョン制約が問われます。Shield Advanced は単なる強い DDoS 防御ではなく、保護対象（CloudFront/ALB/NLB/Global Accelerator/EIP/Route 53）への自動アプリ層緩和、攻撃時の従量課金の急増を補填するコスト保護（スケール課金の払い戻し）、24/365 の SRT（Shield Response Team）支援、Route 53 Application Recovery Controller との連携などをまとめて提供します。WAF はルールを Web ACL にまとめ、内部は ルールグループ（AWS マネージドや自前）で構成し、各ルールに優先度と Allow/Block/Count/CAPTCHA のアクションを設定します。レートベースルールで単位時間あたりの過剰アクセスを抑え、Count モードで本番を止めずに新ルールを検証できます。Firewall Manager は前提として AWS Organizations と AWS Config の有効化、そして指定した管理者アカウントが必要で、これにより WAF/Shield Advanced/SG/Network Firewall/Resolver DNS Firewall の各ポリシーを全アカウントへ自動適用し、新規アカウントや新規リソースにも継続的に強制（非準拠の自動修復）できます。ACM は CloudFront に付ける証明書だけは us-east-1（バージニア北部）で発行する必要がある一方、ALB/API Gateway はそのリソースと同一リージョンで発行します。証明書は ACM のものはエクスポート不可（プライベート CA の ACM PCA は別）で、自動更新は DNS 検証を使うと無人で回せます。
| 機能 | 役割 | 要点/前提 |
|---|---|---|
| Shield Standard | L3/L4 DDoS 自動緩和 | 無料・全顧客に自動適用 |
| Shield Advanced | 高度防御・コスト保護・SRT | 有料・保護リソース指定 |
| WAF | L7 フィルタ（Web ACL） | ルールグループ・レート・Count |
| Firewall Manager | 組織横断のポリシー強制 | Organizations＋Config＋管理者 |
| ACM | TLS 証明書の発行/自動更新 | CloudFront 用は us-east-1 |
シナリオ：50 アカウントの組織で、すべての ALB に共通の AWS マネージドルール（SQLi/XSS）と独自のレート制限を強制し、新規アカウントにも自動適用したい。→ Firewall Manager の WAF ポリシーを作成し対象を「全アカウントの ALB」に設定。前提として Organizations と AWS Config を有効化し、Firewall Manager の管理者アカウントを指定する。新規 ALB にも自動でルールが付与され、非準拠は自動修復される。
FAQ：Q. CloudFront に付ける ACM 証明書が選べない? A. CloudFront 用は us-east-1 で発行する必要がある（ALB/API GW は同一リージョン）。Q. 新ルールで正規ユーザーを誤ってブロックしないか不安? A. WAF の Count モードで一定期間ログだけ取り、誤検知を確認してから Block に切り替える。Q. Shield Advanced の利点は? A. コスト保護・SRT 支援・自動 L7 緩和。
ひっかけ：「Firewall Manager は単体で使える」は誤り。AWS Organizations と AWS Config の有効化、管理者アカウントの指定が前提。また「ACM 証明書をダウンロードしてオンプレ機器に入れる」も誤りで、ACM 発行証明書はエクスポート不可（その用途は ACM Private CA）。CloudFront 用証明書のリージョン（us-east-1）も定番のひっかけ。
6.3.2この節のまとめ
- DDoS＝Shield、Web 攻撃＝WAF、一括統制＝Firewall Manager
- 証明書＝ACM（無料・自動更新）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Web アプリへの SQL インジェクションや不正なリクエストを L7 でフィルタし、レート制限もかけたい。何を使いますか？
Q2. 組織内の多数アカウント・多数リソースに、同じ WAF と Shield のポリシーを一括で強制適用したい。何を使いますか？
Q3. 大規模な DDoS 攻撃への高度な防御と、攻撃時のスケールに伴うコスト保護や専門チーム支援が必要です。何を使いますか？