🌐

VPCリソース配置：AWSサービスとの接続、インターネット接続、オンプレミス接続の場合

2023/07/15に公開

AWS（Amazon Web Services）におけるVPC（Virtual Private Cloud）とは、ユーザーのAWSアカウント専用の仮想ネットワーク環境を意味します。VPCはAWSリソースを安全に配置し、管理するための基本的なインフラストラクチャで、個々のネットワーク環境を自由に設定できます。そのため、ユーザーは自身のセキュリティ要件やネットワーク構成を満たすためにVPCをカスタマイズできます。

VPC内にはさまざまな種類のサブネット（ネットワークの部分集合）を作成することができます。これらのサブネットは主にパブリックサブネットとプライベートサブネットの2つの種類に分けられます。

パブリックサブネットとは、そのサブネット内のリソース（例えば、EC2インスタンス）がインターネットから直接アクセス可能なサブネットを指します。パブリックサブネットに配置されたリソースは、適切なセキュリティとルーティング設定を行うことで、インターネット上の任意の位置から接続できます。

一方、プライベートサブネットとは、そのサブネット内のリソースがインターネットから直接アクセスできないサブネットを指します。プライベートサブネットに配置されたリソースは、インターネットに直接接続できないため、インターネットからの直接的な攻撃を避けられます。そのため、データベースやアプリケーションサーバーなど、セキュリティが重要なリソースは通常、プライベートサブネットに配置されます。

なお、プライベートサブネットに配置されたリソースがインターネットと通信するためには、NAT（Network Address Translation）ゲートウェイなどの追加の設定が必要になります。また、AWSの他のサービスとの通信を行う際には、VPCエンドポイントやサービスエンドポイントを利用することがあります。

仮想プライベートクラウド（VPC）とは？

VPC（Virtual Private Cloud）はAmazon Web Services (AWS)上で定義可能な仮想ネットワーク環境です。これを利用することで、ユーザはAWSのクラウド上で自分だけの分離された空間を持つことができ、この中に自分のネットワーク環境を構築することが可能です。ネットワークのルーティング、サブネット、IPアドレス範囲等を自由に設定でき、更にはセキュリティグループやネットワークACLを用いて細かなセキュリティ設定も可能です。

VPCエンドポイント

AWSのプライベートサブネットからAWSの他のサービスに接続するための一般的な方法は、VPCエンドポイントまたはサービスエンドポイントを使用することです。これらのエンドポイントは、AWSのサービスとVPCとの間の専用の通信リンクを提供し、データがインターネット上を通過することなくAWS内部で完結するため、セキュリティを強化するとともに、パフォーマンスを向上させることができます。

AWS VPCエンドポイントには、InterfaceエンドポイントとGatewayエンドポイントの2つのタイプがあります。

Interfaceエンドポイント（PrivateLinkとも呼ばれます）:

Interfaceエンドポイントは、VPC内のリソースがAWSサービスや他のVPC内のサービスにプライベートに接続できるようにします。これは、AWS PrivateLinkという機能を使用して実現されます。Interfaceエンドポイントは、Elastic Network Interfaces (ENI) としてVPC内の一部となり、プライベートIPアドレスを持ちます。

このエンドポイントタイプを使用すると、VPC内のリソースはインターネットを経由せずに直接AWSサービスや他のVPC内のサービスに接続できます。これは、トラフィックがVPCから出ることなく、AWSネットワーク内で完結するため、セキュリティ上の利点があります。
Gatewayエンドポイント（ゲートウェイVPCエンドポイントとも呼ばれます）:

Gatewayエンドポイントは、Amazon S3やDynamoDBのような特定のAWSサービスにVPCから直接、プライベートに接続するためのものです。これは、VPC内のリソースが指定されたサービスと通信するためのゲートウェイとして機能します。

Gatewayエンドポイントは、VPCのルートテーブルにエントリを追加し、そのエントリによって特定のIP範囲のトラフィックをゲートウェイエンドポイントにルーティングします。その結果、VPC内のリソースは公開されているエンドポイントを使用せずに、直接対象のAWSサービスにアクセスできます。

両タイプのエンドポイントは、VPC内のリソースがAWSサービスや他のVPC内のサービスにプライベートに接続できるようにするためのもので、インターネット経由のトラフィックを回避し、ネットワークのセキュリティと効率を向上させます。ただし、それぞれが利用するAWSのサービスや機能が異なるため、用途に応じて適切なエンドポイントタイプを選択することが重要です。

補足：Amazon VPCとネットワークインターフェース（ENI）について

Amazon Virtual Private Cloud（Amazon VPC）を使用すると、AWSクラウド上にプライベートネットワーク環境を構築できます。それは、自分専用の仮想ネットワークで、セキュリティやネットワーク環境を自分で制御することができます。

Amazon VPC内では、Elastic Network Interface (ENI)が重要な役割を果たします。ENIは仮想ネットワークカードの役割を果たし、Amazon VPC内のインスタンスに関連付けることができます。これにより、VPC内のリソースに対してネットワークインターフェースの管理を行うことが可能となります。それらに対して一つまたは複数のIPアドレスを割り当てたり、その他の設定を適用したりすることで、ネットワークの制御と管理がより容易になります。

パブリックサブネットとプライベートサブネットの違い

パブリックサブネット：このサブネットに配置されたリソース（例：EC2インスタンス）は、適切な設定がなされている場合、インターネットから直接アクセス可能です。つまり、パブリックサブネットのリソースはインターネットに公開され、外部から接続可能な状態になることが可能です。
プライベートサブネット：一方、プライベートサブネットに配置されたリソースは、デフォルトではインターネットから直接アクセスすることができません。これらのリソースは通常、内部ネットワーク（VPC内）やVPN接続を通じてアクセスされることを意図しています。プライベートサブネットのリソースがインターネットにアクセスするためには、NATゲートウェイなどの特別な設定が必要です。

これらの設定により、開発者は公開すべきリソースと内部でのみ利用すべきリソースを分離し、適切にネットワーク環境を管理することが可能となります。

AWSサービスとの接続：VPCエンドポイントとサービスエンドポイントの詳細

VPCエンドポイント：VPCエンドポイントは、AWSのサービスとVPCの間にプライベート接続を作成します。これにより、VPCからAWSのサービスに対して、インターネットやVPN接続を経由せずに直接通信することが可能になります。VPCエンドポイントはGateway型とInterface型の2種類があります。Gateway型はS3やDynamoDBに対して、Interface型はその他の多くのAWSサービスに対して使用されます。
サービスエンドポイント：サービスエンドポイントは、特定のAWSサービスがプライベートなアクセスをVPC内のリソースに提供するための手段です。サービスエンドポイントを設定することにより、VPCのリソースは公共インターネット上のサービスエンドポイントではなく、AWSの内部ネットワークを通じてサービスに接続することが可能となります。

これらのエンドポイントの適用により、VPC内のリソースはインターネットを介さずにAWSのサービスとの通信が可能となり、セキュリティとパフォーマンスが向上します。

パブリックサブネットについて

パブリックサブネットはその名の通り、「公開」されたネットワーク環境を指します。パブリックサブネット内に配置されたリソースは、適切な設定がなされていれば、インターネットから直接アクセスすることが可能です。

AWSサービスとの接続時：パブリックサブネット内のリソースがAWSサービスと通信する際には、VPCエンドポイントまたはサービスエンドポイントを利用することができます。これにより、インターネットを経由せずに、AWS内の特定のサービスと安全に通信することが可能となります。
インターネットとの接続時：インターネットとの通信を行うためには、そのリソース（例：EC2インスタンス）にパブリックIPアドレスを割り当てる必要があります。また、このパブリックサブネットをインターネットに接続するためには、VPCにインターネットゲートウェイをアタッチし、適切なルートテーブルを設定する必要があります。
オンプレミスとの接続時：オンプレミス環境と通信するためには、AWS Direct ConnectやVPN接続を使用して、オンプレミスネットワークとの接続を確立することが一般的です。

ElasticIP

パブリックサブネットは、インターネットに直接接続可能なリソースを配置するためのネットワーク空間です。ここに配置されるリソースは、インターネットゲートウェイを通じてインターネットと通信することができます。しかし、この通信を行うためには、それぞれのリソースにパブリックIPアドレスが割り当てられている必要があります。

ここで、Elastic IPアドレス（EIP）の役割が重要になります。EIPはAWSが提供する静的なIPv4アドレスで、動的なクラウド環境におけるIPアドレスの管理を容易にします。パブリックサブネット内のリソース（例えば、ウェブサーバー）にEIPを割り当てることで、そのリソースの公開IPアドレスを静的に管理することが可能になります。これにより、DNSレコードの管理や、IPアドレスに基づいた通信制限の設定など、高度なネットワーク設定を行うことが可能になります。

プライベートサブネットについて

プライベートサブネットは、基本的にはインターネットから直接アクセスすることができない、隔離されたネットワーク環境を指します。これは、内部ネットワーク（VPC内）やVPN接続を通じてアクセスされることを意図したリソースに対して用いられます。

AWSサービスとの接続時：パブリックサブネットと同様に、VPCエンドポイントまたはサービスエンドポイントを利用して、AWS内の特定のサービスと通信することが可能です。
インターネットとの接続時：プライベートサブネット内のリソースがインターネットと通信するためには、NATゲートウェイやNATインスタンスを利用することで、アウトバウンド接続を提供します。インバウンド接続が必要な場合には、パブリックサブネットに配置されたロードバランサー（例えば、Application Load BalancerやNetwork Load Balancer）を介して接続を提供します。
オンプレミスとの接続時：パブリックサブネットと同様に、AWS Direct ConnectまたはVPN接続を使用して、オンプレミスネットワークとの接続を確立することが一般的です。

まとめ

本記事では、AWSのVPC、特にパブリックサブネットとプライベートサブネットについて詳しく解説しました。また、それぞれのサブネットでリソースがAWSサービスとの接続、インターネットとの接続、オンプレミスとの接続を行う際に必要な設定や機能についても細かく説明しました。さらに、プライベートサブネットからAWSサービスへの接続に使用されるVPCエンドポイントとサービスエンドポイントについて深堀りしました。