🍒
AWSMCPServersをAmazonQとClaudeで比較してみた

2025/04/15に公開
2025年3月31日にリリースされたAWSMCPServersをAmazonQとClaudeで比較した記事となります。
!AmazonQ及びClaudeの利用開始方法については触れません。

 AWS MCP Servers現在9つのMCPサーバーが提供されています。

 Available Servershttps://github.com/awslabs/mcp/blob/main/README.md

 1. Core MCP Server
役割:

他の AWS Labs MCP サーバーの管理と連携を担当します。

機能:
自動 MCP サーバー管理
AWS Labs MCP サーバーのオーケストレーションのためのプランニングとガイダンス
UVX インストールのサポート
中央集約型の設定管理

[Learn more | Documentation]

 2. AWS Documentation MCP Server
役割:

AWS ドキュメントおよびベストプラクティスへのアクセスを提供します。

機能:
公式の AWS 検索 API を利用したドキュメントの検索
AWS ドキュメントの内容を Markdown 形式に変換して取得
ドキュメントページの関連コンテンツの推薦

[Learn more | Documentation]

 3. Amazon Bedrock Knowledge Bases Retrieval MCP Server
役割:

Amazon Bedrock の知識ベースへのアクセスを提供します。

機能:
知識ベースおよびそのデータソースの発見
自然言語による知識ベースの検索
データソースによる結果のフィルタリング
結果の再ランキング

[Learn more | Documentation]

 4. AWS CDK MCP Server
役割:

AWS CDK のベストプラクティスやプロジェクト解析を支援します。

機能:
AWS CDK プロジェクトの解析と支援
CDK 構成要素の推薦
Infrastructure as Code のベストプラクティスの提供

[Learn more | Documentation]

 5. Cost Analysis MCP Server
役割:

AWS のコスト分析に特化した情報提供を行います。

機能:
AWS コストの分析と可視化
自然言語によるコストデータのクエリ
コストレポートとインサイトの生成

[Learn more | Documentation]

 6. Amazon Nova Canvas MCP Server
役割:

Amazon Nova Canvas を用いた画像生成サービスを提供します。

機能:
テキストベースの画像生成（カスタマイズ可能なパラメーター）
特定のカラーパレットを利用したカラーガイド付き画像生成
生成された画像のワークスペース統合による保存
AWS 認証（プロファイルを利用）

[Learn more | Documentation]

 7. AWS Diagram MCP Server
役割:

Python の diagrams パッケージ DSL を利用してダイアグラムの自動生成を支援します。

機能:
AWS アーキテクチャ、シーケンス図、フローチャート、クラス図などの生成
ダイアグラムの外観、レイアウト、スタイリングのカスタマイズ
コードスキャンによるセキュアな図表生成の保証

[Learn more | Documentation]

 8. AWS Lambda MCP Server
役割:

コード変更なしで AWS Lambda 関数を MCP ツールとして選択・実行するためのサーバーです。

機能:
MCP クライアントと AWS Lambda 関数間のブリッジとして機能し、基盤モデル（FMs）が Lambda 関数をツールとして利用できるようにします。
内部アプリケーションやデータベースなど、パブリックネットワークアクセスを提供せずにアクセス可能なプライベートリソースへのアクセスが可能となります。

[Learn more | Documentation]

 9. AWS Terraform MCP Server
役割:

AWS Terraform のベストプラクティスに特化したサーバーです。

機能:
Security-First Development Workflow:

セキュリティ重視の開発プロセスを実現するためのワークフローを提供します。
Checkov Integration:

Terraform コードのセキュリティとコンプライアンスをチェックするため、Checkov との連携機能を有します。
AWS and AWSCC Provider Documentation:

AWS および AWSCC プロバイダーに関するドキュメント、サンプル、および実装ガイダンスを提供します。
AWS-IA GenAI Modules:

AI/ML ワークロード向けの専用モジュール（例えば、Amazon Bedrock、OpenSearch Serverless、SageMaker、Serverless Streamlit など）へのアクセス機能を提供します。
Terraform Workflow Execution:

Terraform の初期化、プラン、検証、適用、破棄などのコマンドを直接実行できるワークフローをサポートします。

[Learn more | Documentation]

 今回はAWSサービスの仕様把握に便利なAWS Documentation MCP Serverを使用してみようと思います。
 AmazonQコマンドライン用を使用しています。
% q --version
q 1.7.3
.amazonq/mcp.jsonファイルは、AmazonQを実行しているディレクトリに作成する必要があります。READMEの記述によると、AmazonQを利用する際は、q chatコマンドを実行しているディレクトリ直下に .amazonq/mcp.jsonファイルを作成し、そこに MCPサーバーとの連携設定を記述する必要があります。
amazonq/
└── .amazonq
    └── mcp.json
セキュリティ面を考えてコミットハッシュに置き換えようとしましたが、latestじゃないとエラーになるようです。また、autoApproveに関して特定の自動承認対象が定義されている記述はなく、デフォルトでは空の配列として扱われています。
{
  "mcpServers": {
    "awslabs.aws-documentation-mcp-server": {
        "command": "uvx",
        "args": ["awslabs.aws-documentation-mcp-server@latest"],
        "env": {
          "FASTMCP_LOG_LEVEL": "ERROR"
        },
        "disabled": false,
        "autoApprove": []
    }
  }
}
!mcp.jsonの設定に従ってAWSドキュメントを参照するように指示しないとCLIを使ったりします。
promptmcp.jsonの設定に従ってAWSドキュメントからvpcの概要を教えて。
AWS VPCの概要について調べるために、まず現在のディレクトリにあるmcp.jsonファイルを確認してみましょう。
[Tool Request - Trusted] Read from filesystem

▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔

Reading file: /Users/****/Works/amazonq/.amazonq/mcp.json, all lines
Reading from filesystem...

▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔

Reading: mcp.json
🟢 Completed in 0.1s
mcp.jsonの設定を確認しました。AWSドキュメントからVPCの概要を取得するために、AWS Documentation MCPサーバーを使用します。

 Amazon Virtual Private Cloud (VPC) の概要Amazon Virtual Private Cloud (Amazon VPC) は、AWS クラウド内の論理的に分離されたプライベートな仮想ネットワークを提供するサービスです。

VPCを使用することで、ユーザーは自分専用の仮想ネットワーク空間を定義し、その中でAWSリソースを起動することができます。

 VPCの主要コンポーネントVPC:

• AWS内の論理的に分離された仮想ネットワーク

• 特定のリージョンに紐づけられる

• IPv4 CIDRブロック（例: 10.0.0.0/16）を指定して作成
サブネット:

• VPC内の特定のアベイラビリティーゾーンに配置されるIPアドレスの範囲

• パブリックサブネット（インターネットアクセス可能）とプライベートサブネット（直接インターネットアクセス不可）に分類
ルートテーブル:

• ネットワークトラフィックの経路を決定するルールのセット

• サブネットごとに関連付け可能
インターネットゲートウェイ (IGW):

• VPCとインターネット間の通信を可能にするコンポーネント

• パブリックサブネットからインターネットへのアクセスに必要
NAT ゲートウェイ/NAT インスタンス:

• プライベートサブネット内のリソースがインターネットと通信するための仕組み

• 外部からの接続開始を防ぎながら、内部からの通信を可能にする
セキュリティグループ:

• インスタンスレベルのファイアウォール

• インバウンド/アウトバウンドトラフィックを制御するステートフルなルール
ネットワークACL (NACL):

• サブネットレベルのファイアウォール

• インバウンド/アウトバウンドトラフィックを制御するステートレスなルール
VPCエンドポイント:

• インターネットを経由せずにAWSサービスに接続するための仕組み

• ゲートウェイエンドポイント（S3、DynamoDB向け）とインターフェースエンドポイント（その他のサービス向け）がある

 VPCの主な特徴• 高度なセキュリティ: ネットワークアクセス制御リスト、セキュリティグループ、サブネット分離などの複数のセキュリティレイヤーを提供

• 接続オプション: インターネットゲートウェイ、VPNコネクション、Direct Connect、Transit Gateway、VPCピアリングなど様々な接続オプショ

ンをサポート

• カスタマイズ可能: IPアドレス範囲、サブネット、ルートテーブル、ネットワークゲートウェイなどを完全にカスタマイズ可能

• スケーラビリティ: 小規模から大規模まで、様々なネットワーク要件に対応可能

 VPCの一般的なユースケースマルチティアウェブアプリケーション: パブリックサブネットにウェブサーバー、プライベートサブネットにアプリケーションサーバーとデータベ

ースを配置
ハイブリッドクラウド: オンプレミスネットワークとAWS VPCを接続し、リソースを拡張
災害対策: 複数のリージョンにVPCを設定し、障害発生時のフェイルオーバーを確保
マイクロサービスアーキテクチャ: 異なるサービスを分離されたサブネットに配置し、セキュリティを強化

 VPC設計のベストプラクティス適切なCIDRブロックの選択: 将来の拡張を考慮した十分な大きさのCIDRブロックを選択
サブネットの適切な設計: アベイラビリティーゾーン間でリソースを分散し、高可用性を確保
セキュリティレイヤーの実装: セキュリティグループとネットワークACLを適切に設定
VPCフローログの有効化: ネットワークトラフィックを監視し、セキュリティ分析に活用
プライベートサブネットの活用: 直接インターネットアクセスが不要なリソースはプライベートサブネットに配置
VPCは、AWS上でのネットワークインフラストラクチャの基盤となるサービスであり、セキュアで柔軟なネットワーク環境を構築するための重要なコン

ポーネントです。

 Claudeデスクトップ版のFreeプランを使用しています。

claude_desktop_config.jsonに定義します。(/Users/<user-name>/Library/Application Support/Claude/claude_desktop_config.json)
claude_desktop_config.json
{
  "mcpServers": {
    "awslabs.aws-documentation-mcp-server": {
        "command": "uvx",
        "args": ["awslabs.aws-documentation-mcp-server@latest"],
        "env": {
          "FASTMCP_LOG_LEVEL": "ERROR"
        },
        "disabled": false,
        "autoApprove": []
    }
  }
}
接続に成功すると"running"と表示されます

MCPサーバを参照していることがわかります。

promptAWSドキュメントからvpcの概要を教えて
AWSのVPC (Virtual Private Cloud) についての概要を調べますね。まずAWSドキュメントから関連情報を検索します。
awslabs.aws-documentation-mcp-server（ローカル）からの search_documentation の結果を表示
{

limit: 5,

search_phrase: AWS VPC overview

}

{"rank_order": 1, "url": "https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html", "title": "What is Amazon VPC? - Amazon Virtual Private Cloud", "context": "Use Amazon VPC to launch AWS resources into a virtual network that is a logically isolated section of the AWS Cloud."}

{"rank_order": 2, "url": "https://docs.aws.amazon.com/codebuild/latest/userguide/cloudformation-vpc-template.html", "title": "AWS CloudFormation VPC template - AWS CodeBuild", "context": "An AWS CloudFormation template to create and provision a VPC to use AWS CodeBuild."}

{"rank_order": 3, "url": "https://docs.aws.amazon.com/vpc/latest/peering/what-is-vpc-peering.html", "title": "What is VPC peering? - Amazon Virtual Private Cloud", "context": "Understand the purpose of a VPC peering connection. Use VPC peering to route traffic between two VPCs."}

{"rank_order": 4, "url": "https://docs.aws.amazon.com/awsconsolehelpdocs/latest/gsg/required-endpoints-dns-configuration.html", "title": "Required VPC endpoints and DNS configuration - AWS Management Console", "context": "AWS Management Console Private Access requires the following two VPC endpoints per Region. Replace region with your own Region information."}

{"rank_order": 5, "url": "https://docs.aws.amazon.com/vpc/latest/userguide/configure-subnets.html", "title": "Subnets for your VPC - Amazon Virtual Private Cloud", "context": "A subnet is a range of IP addresses in your VPC. You can create AWS resources, such as EC2 instances, in specific subnets."}

VPCの基本概念について理解するために、最も関連性の高いドキュメントを読んでみましょう。
awslabs.aws-documentation-mcp-server（ローカル）からの read_documentation の結果を表示
{

url: https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html

}

AWS Documentation from https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html:

 What is Amazon VPC?With Amazon Virtual Private Cloud (Amazon VPC), you can launch AWS resources in a logically isolated virtual

network that you've defined. This virtual network closely resembles a traditional network

that you'd operate in your own data center, with the benefits of using the scalable

infrastructure of AWS.
The following diagram shows an example VPC. The VPC has one subnet in each of the

Availability Zones in the Region, EC2 instances in each subnet, and an internet gateway

to allow communication between the resources in your VPC and the internet.
For more information, see Amazon Virtual Private Cloud (Amazon VPC).

 FeaturesThe following features help you configure a VPC to provide the connectivity

that your applications need:
Virtual private clouds (VPC)

:   A VPC is a virtual

network that closely resembles a traditional network that you'd operate

in your own data center. After you create a VPC, you can add subnets.
Subnets

:   A subnet is a range of

IP addresses in your VPC. A subnet must reside in a single Availability Zone.

After you add subnets, you can deploy AWS resources in your VPC.
IP addressing

:   You can assign IP addresses,

both IPv4 and IPv6, to your VPCs and subnets. You can also bring your public

IPv4 addresses and IPv6 GUA addresses to AWS and allocate them to resources in your VPC,

such as EC2 instances, NAT gateways, and Network Load Balancers.
Routing

:   Use route tables to determine

where network traffic from your subnet or gateway is directed.
Gateways and endpoints

:   A gateway connects your VPC to

another network. For example, use an internet gateway

to connect your VPC to the internet. Use a VPC endpoint to connect to AWS services privately, without

the use of an internet gateway or NAT device.
Peering connections

:   Use a VPC peering connection

to route traffic between the resources in two VPCs.
Traffic Mirroring

:   Copy network traffic from

network interfaces and send it to security and monitoring appliances for

deep packet inspection.
Transit gateways

:   Use a transit gateway, which

acts as a central hub, to route traffic between your VPCs, VPN connections,

and AWS Direct Connect connections.
VPC Flow Logs

:   A flow log captures information

about the IP traffic going to and from network interfaces in your VPC.
VPN connections

:   Connect your VPCs to your on-premises networks using

AWS Virtual Private Network (AWS VPN).

 Getting started with Amazon VPCYour AWS account includes a default VPC in each AWS Region.

Your default VPCs are configured such that you can immediately start launching and connecting

to EC2 instances. For more information, see Plan your VPC.
You can choose to create additional VPCs with the subnets, IP addresses, gateways

and routing that you need. For more information, see Create a VPC.

 Working with Amazon VPCYou can create and manage your VPCs using any of the following interfaces:

AWS Management Console — Provides a web interface that you can

use to access your VPCs.

AWS Command Line Interface (AWS CLI) —

Provides commands for a broad set of AWS services, including Amazon VPC, and is

supported on Windows, Mac, and Linux. For more information, see AWS Command Line Interface.

AWS SDKs — Provides language-specific

APIs and takes care of many of the connection details, such as calculating

signatures, handling request retries, and error handling. For more information,

see AWS SDKs.

Query API — Provides low-level API actions

that you call using HTTPS requests. Us
<e>Content truncated. Call the read_documentation tool with start_index=5000 to get more content.</e>

続きの内容を取得します。
awslabs.aws-documentation-mcp-server（ローカル）からの read_documentation の結果を表示
{

url: https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html,

start_index: 5000

}

AWS Documentation from https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html:
ing the Query API is the most direct way to

access Amazon VPC, but it requires that your application handle low-level details such as

generating the hash to sign the request, and error handling. For more information,

see Amazon VPC actions in

the Amazon EC2 API Reference.

 Pricing for Amazon VPCThere's no additional charge for using a VPC. There are, however, charges for some VPC

components, such as NAT gateways, IP Address Manager, traffic mirroring, Reachability Analyzer, and

Network Access Analyzer. For more information, see Amazon VPC Pricing.
Nearly all resources that you launch in your virtual private cloud (VPC) provide you

with an IP address for connectivity. The vast majority of resources in your VPC use

private IPv4 addresses. Resources that require direct access to the internet over IPv4,

however, use public IPv4 addresses.
Amazon VPC enables you to launch managed services, such as Elastic Load Balancing, Amazon RDS, and Amazon EMR, without having a VPC set up beforehand. It does this by using the default

VPC in your account if you have

one. Any public IPv4 addresses provisioned to your account by the managed

service will be charged. These charges will be associated with Amazon VPC service in

your AWS Cost and Usage Report.
Pricing for public IPv4 addresses
A public IPv4 address is an IPv4 address that is

routable from the internet. A public IPv4 address is necessary for a resource to be

directly reachable from the internet over IPv4.
If you are an existing or new AWS Free Tier

customer, you get 750 hours of public IPv4 address usage with the EC2 service at no

charge. If you are not using the EC2 service in the AWS Free Tier, Public IPv4

addresses are charged. For specific pricing information, see the Public IPv4 address tab in Amazon VPC Pricing.
Private IPv4 addresses (RFC

1918) are not charged. For more information about how public IPv4 addresses

are charged for shared VPCs, see Billing and

metering for the owner and participants.
Public IPv4 addresses have the following types:

Elastic IP addresses (EIPs): Static, public IPv4 addresses

provided by Amazon that you can associate with an EC2 instance, elastic network

interface, or AWS resource.

EC2 public IPv4 addresses: Public IPv4 addresses assigned to

an EC2 instance by Amazon (if the EC2 instance is launched into a default subnet or

if the instance is launched into a subnet that’s been configured to automatically

assign a public IPv4 address).

BYOIPv4 addresses: Public IPv4 addresses in the IPv4 address

range that you’ve brought to AWS using Bring your own IP addresses (BYOIP).

Service-managed IPv4 addresses: Public IPv4 addresses

automatically provisioned on AWS resources and managed by an AWS service. For

example, public IPv4 addresses on Amazon ECS, Amazon RDS, or Amazon WorkSpaces.
The following list shows the most common AWS services that can use public IPv4

addresses.
Amazon AppStream 2.0
AWS Client VPN
AWS Database Migration Service
Amazon EC2
Amazon Elastic Container Service
Amazon EKS
Amazon EMR
Amazon GameLift Servers
AWS Global Accelerator
AWS Mainframe Modernization
Amazon Managed Streaming for Apache Kafka
Amazon MQ
Amazon RDS
Amazon Redshift
AWS Site-to-Site VPN
Amazon VPC NAT gateway
Amazon WorkSpaces
Elastic Load Balancing

VPCのサブネットについての詳細情報も確認しましょう。
awslabs.aws-documentation-mcp-server（ローカル）からの read_documentation の結果を表示
{

url: https://docs.aws.amazon.com/vpc/latest/userguide/configure-subnets.html

}

AWS Documentation from https://docs.aws.amazon.com/vpc/latest/userguide/configure-subnets.html:

 Subnets for your VPCA subnet is a range of IP addresses in your VPC.

You can create AWS resources, such as EC2 instances, in specific subnets.
ContentsSubnet basics
Subnet security
Create a subnet
Add or remove an IPv6 CIDR block from your subnet
Modify the IP addressing attributes of your subnet
Subnet CIDR reservations
Route tables
Middlebox routing wizard
Delete a subnet

 Subnet basicsEach subnet must reside entirely within one Availability Zone and cannot span zones. By

launching AWS resources in separate Availability Zones, you can protect your applications

from the failure of a single Availability Zone.
ContentsSubnet IP address range
Subnet types
Subnet diagram
Subnet routing
Subnet settings

 Subnet IP address rangeWhen you create a subnet, you specify its IP addresses, depending on the configuration of

the VPC:
IPv4 only – The subnet has an IPv4 CIDR block but does

not have an IPv6 CIDR block. Resources in an IPv4-only subnet must communicate over IPv4.
Dual stack – The subnet has both an IPv4 CIDR block and

an IPv6 CIDR block. The VPC must have both an IPv4 CIDR block and an IPv6 CIDR

block. Resources in a dual-stack subnet can communicate over IPv4 and IPv6.
IPv6 only – The subnet has an IPv6 CIDR block but does

not have an IPv4 CIDR block. The VPC must have an IPv6 CIDR block. Resources in an IPv6-only

subnet must communicate over IPv6.
NoteResources in IPv6-only subnets are assigned IPv4 link-local addresses from CIDR block

169.254.0.0/16. These addresses are used to communicate with services

that are available only in the VPC. For examples, see Link-local addresses in the Amazon EC2 User Guide.
For more information, see IP addressing for your VPCs and subnets.

 Subnet typesThe subnet type is determined by how you configure routing for your subnets. For

example:
Public subnet – The subnet has a direct

route to an internet gateway.

Resources in a public subnet can access the public internet.
Private subnet – The subnet does not have a

direct route to an internet gateway. Resources in a private subnet require a

NAT device to access the public

internet.
VPN-only subnet – The subnet has a route to a

Site-to-Site VPN connection through a virtual private

gateway. The subnet does not have a route to an internet gateway.
Isolated subnet – The subnet has no

routes to destinations outside its VPC. Resources in an isolated subnet can

only access or be accessed by other resources in the same VPC.

 Subnet diagramThe following diagram shows a VPC with subnets in two Availability Zones and an

internet gateway. Each Availability Zone has a public subnet and a private subnet.
For diagrams that show subnets in Local Zones and Wavelength Zones, see How AWS Local Zones work and

How AWS Wavelength works.

 Subnet routingEach subnet must be associated with a route table, which specifies the allowed routes

for outbound traffic leaving the subnet. Every subnet that you create is automatically

associated with the main route table for the VPC. You can change the association, and you can

change the contents of the main route table. For more information, see Configure route tables.

 Subnet settingsAll subnets have a modifiable attribute that determines w
<e>Content truncated. Call the read_documentation tool with start_index=5000 to get more content.</e>

サブネットの続きの情報を確認します。
awslabs.aws-documentation-mcp-server（ローカル）からの read_documentation の結果を表示
{

url: https://docs.aws.amazon.com/vpc/latest/userguide/configure-subnets.html,

start_index: 5000

}

AWS Documentation from https://docs.aws.amazon.com/vpc/latest/userguide/configure-subnets.html:
hether a network interface

created in that subnet is assigned a public IPv4 address and, if applicable, an IPv6 address.

This includes the primary network interface (for example, eth0) that's created for an instance when you

launch an instance in that subnet. Regardless of the subnet attribute, you can still override

this setting for a specific instance during launch.
After you create a subnet, you can modify the following settings for the subnet:
Auto-assign IP settings: Enables you to configure the

auto-assign IP settings to automatically request a public IPv4 or IPv6

address for a new network interface in this subnet.
Resource-based Name (RBN) settings: Enables you to specify

the hostname type for EC2 instances in this subnet and configure how DNS A

and AAAA record queries are handled. For more information, see

Amazon EC2 instance hostname types

in the Amazon EC2 User Guide.

 Subnet securityTo protect your AWS resources, we recommend that you use private subnets.

Use a bastion host or NAT device to provide internet access to resources,

such as EC2 instances, in a private subnet.
AWS provides features that you can use to increase security for the resources in your VPC.

Security groups allow inbound and outbound traffic for associated resources, such as EC2 instances.

Network ACLs allow or deny inbound and outbound traffic at the subnet level.

In most cases, security groups can meet your needs. However, you can use network ACLs if you want an additional layer of security.

For more information, see Compare security groups and network ACLs.
By design, each subnet must be associated with a network ACL. Every subnet that you

create is automatically associated with the default network ACL for the VPC. The default

network ACL allows all inbound and outbound traffic. You can update the default network

ACL, or create custom network ACLs and associate them with your subnets. For more

information, see Control subnet traffic with network access control lists.
You can create a flow log on your VPC or subnet to capture the traffic that flows to and

from the network interfaces in your VPC or subnet. You can also create a flow log on an

individual network interface. For more information, see Logging IP traffic using VPC Flow Logs.

AWS VPC（Virtual Private Cloud）の概要

AWS VPC（Virtual Private Cloud）は、AWSクラウド内で論理的に分離された仮想ネットワークを作成・定義できるサービスです。このサービスでは、従来の自社データセンターのネットワークに似た環境を、AWSの拡張可能なインフラストラクチャの利点を活かしながら構築できます。
VPCの主な特徴

仮想プライベートクラウド (VPC)

従来のデータセンターのネットワークに似た仮想ネットワーク

VPC作成後にサブネットを追加可能

サブネット

VPC内のIPアドレスの範囲

単一のアベイラビリティゾーン内に存在する必要がある

サブネット追加後にAWSリソースをVPC内にデプロイ可能

IPアドレッシング

IPv4とIPv6の両方をVPCとサブネットに割り当て可能

自前のパブリックIPv4アドレスやIPv6 GUAアドレスをAWSに持ち込み可能

ルーティング

ルートテーブルを使用してサブネットやゲートウェイからのネットワークトラフィックの方向を決定

ゲートウェイとエンドポイント

インターネットゲートウェイ：VPCをインターネットに接続

VPCエンドポイント：AWSサービスにプライベートに接続（インターネットゲートウェイやNATデバイス不要）

ピアリング接続

2つのVPC間でトラフィックをルーティングするためのVPCピアリング接続

トラフィックミラーリング

ネットワークインターフェイスからのトラフィックをコピーし、セキュリティ監視アプライアンスへ送信

トランジットゲートウェイ

中央ハブとして機能し、VPC、VPN接続、AWS Direct Connect接続間のトラフィックをルーティング

VPCフローログ

VPC内のネットワークインターフェイスとの間のIPトラフィック情報を記録

VPN接続

AWS VPNを使用してVPCとオンプレミスネットワークを接続

サブネットタイプ

サブネットはVPC内のIPアドレスの範囲であり、特定のアベイラビリティゾーン内に存在する必要があります。サブネットにはいくつかのタイプがあります：
パブリックサブネット

インターネットゲートウェイへの直接ルートを持つ

パブリックインターネットにアクセス可能

プライベートサブネット

インターネットゲートウェイへの直接ルートを持たない

パブリックインターネットにアクセスするにはNATデバイスが必要

VPN専用サブネット

仮想プライベートゲートウェイを介したSite-to-Site VPN接続へのルートを持つ

インターネットゲートウェイへのルートはない

分離サブネット

VPC外への宛先へのルートがない

同じVPC内の他のリソースとのみ通信可能

セキュリティ

VPCには複数のセキュリティ機能が用意されています：
セキュリティグループ - EC2インスタンスなど関連リソースの受信/送信トラフィックを許可

ネットワークACL - サブネットレベルでの受信/送信トラフィックの許可/拒否

フローログ - VPCやサブネット内のネットワークインターフェイスとの間のトラフィックを記録

料金

VPCの使用自体に追加料金はありませんが、NATゲートウェイ、IPアドレスマネージャー、トラフィックミラーリングなどの一部のVPCコンポーネントには料金がかかります。
また、パブリックIPv4アドレスには料金がかかりますが、プライベートIPv4アドレス（RFC 1918）には料金はかかりません。
使用開始方法

AWSアカウントには各AWSリージョンにデフォルトVPCが含まれており、すぐにEC2インスタンスの起動と接続を開始できるように構成されています。追加のVPCを必要なサブネット、IPアドレス、ゲートウェイ、ルーティングで作成することも可能です。
VPCは、AWS Management Console、AWS CLI、AWS SDK、クエリAPIなど、様々なインターフェースを通じて作成・管理できます。

 所感claudeはデスクトップ用、AmazonQはコマンドライン用を使用しています。

LLMフロントエンドに何を使用するにもAWSMCPサーバーを導入することで、LLMからのハルシネーションを大幅に軽減できるので積極的に使用していきたいですね。
AWS MCP Servers

Available Servers

1. Core MCP Server

2. AWS Documentation MCP Server

3. Amazon Bedrock Knowledge Bases Retrieval MCP Server

4. AWS CDK MCP Server

5. Cost Analysis MCP Server

6. Amazon Nova Canvas MCP Server

7. AWS Diagram MCP Server

8. AWS Lambda MCP Server

9. AWS Terraform MCP Server

今回はAWSサービスの仕様把握に便利なAWS Documentation MCP Serverを使用してみようと思います。

AmazonQ

Amazon Virtual Private Cloud (VPC) の概要

VPCの主要コンポーネント

VPCの主な特徴

VPCの一般的なユースケース

VPC設計のベストプラクティス

Claude

What is Amazon VPC?

Features

Getting started with Amazon VPC

Working with Amazon VPC

Pricing for Amazon VPC

Subnets for your VPC

Contents

Subnet basics

Contents

Subnet IP address range

Note

Subnet types

Subnet diagram

Subnet routing

Subnet settings

Subnet security

所感

Discussion
