Amazon VPC

解決する課題

• リソースをネットワーク的に隔離し、外部から触れる範囲を最小化
• 「公開する層」と「隠す層」をサブネットで分離（Web ⇄ DB など）
• オンプレや他VPCと安全に接続

主要概念と用語

• CIDR: VPCのIP範囲（例 10.0.0.0/16）
• サブネット: VPCをAZ単位で区切った区画。パブリック/プライベートに分ける
• ルートテーブル: サブネットの通信経路を決める
• インターネットゲートウェイ (IGW): VPCをインターネットに繋ぐ（双方向）
• NATゲートウェイ: プライベートサブネットから外向きのみ通信させる
• セキュリティグループ / ネットワークACL: 2層のファイアウォール

仕様・制限・クォータ

• 各サブネットは1つのAZに属する → 冗長化は複数AZにサブネットを用意
• リージョンごとにVPC数・サブネット数などの上限（引き上げ可）
• AWSが各サブネットで先頭4つ+末尾1つのIPを予約

内部の仕組み

「パブリックサブネット」という設定項目は実は存在しません。ルートテーブルに IGW への経路があるサブネットが結果的にパブリックになる、という仕組みです。

• パブリック: 0.0.0.0/0 → IGW の経路を持つ
• プライベート: IGWへの経路を持たず、外向きが必要なら 0.0.0.0/0 → NAT Gateway

通信可否は セキュリティグループ（ステートフル・インスタンス単位） と NACL（ステートレス・サブネット単位） の2層で評価されます。

設計パターン / ベストプラクティス

• 3層構成: パブリック(ALB) / プライベート(App) / プライベート(DB) を複数AZに
• マルチAZ: 各層のサブネットを2つ以上のAZに分散して可用性確保
• VPCエンドポイント: S3/DynamoDBはゲートウェイ型、その他は**インターフェース型(PrivateLink)**でインターネットを経由せず接続

運用・監視・トラブルシュート

• VPC Flow Logs で通信の許可/拒否を記録し、到達性の問題を切り分け
• 「繋がらない」時の確認順: ルートテーブル → SG → NACL → (NAT/IGW)
• Reachability Analyzer で経路を静的解析

コスト

• VPC自体・サブネット・SG・ルートテーブルは無料
• 課金されるのは NATゲートウェイ（時間＋処理データ量）、インターフェース型エンドポイント、AZ跨ぎ/外向き転送量など

セキュリティ

• 最小公開: DBなどはプライベートサブネットに置きIGW経路を与えない
• SGは許可のみ・最小限のポート。NACLはサブネット境界の追加防御
• 管理アクセスはSSM Session Managerで踏み台レスに

Well-Architected の観点

• セキュリティ: サブネット分離・最小公開・多層FW
• 信頼性: 複数AZにサブネットを分散、NATもAZごとに冗長化
• パフォーマンス効率: エンドポイントで内部経路を短縮、不要なAZ跨ぎを抑制

試験で問われるポイント

関連サービス・比較

ハンズオン / CLI例

# VPC作成
aws ec2 create-vpc --cidr-block 10.0.0.0/16 \
  --tag-specifications 'ResourceType=vpc,Tags=[{Key=Name,Value=demo-vpc}]'

# パブリックサブネット作成（AZ-a）
aws ec2 create-subnet --vpc-id vpc-xxxx \
  --cidr-block 10.0.1.0/24 --availability-zone ap-northeast-1a

# S3用ゲートウェイエンドポイント（NAT不要・無料でS3に到達）
aws ec2 create-vpc-endpoint --vpc-id vpc-xxxx \
  --service-name com.amazonaws.ap-northeast-1.s3 \
  --route-table-ids rtb-xxxx