AWS Transit Gateway
VPCをつなぐ中央ハブ
1つのRegion内で数千のVPC、VPN、Direct Connectをつなぐハブアンドスポーク型の中央ルーターです。ネットワークを分離するための独自のroute tableを持ち、入り組んだpeeringの網を置き換えます。
- コスト$$ ふつう
- 難易度●●●●●
- 未使用でも課金？はい
- AWS マネージド
- 出題試験SAA · SOA
たとえるなら中央駅のようなものです。すべての路線がここに集まり、別の路線に乗り換えます。
いつ使う？
✓ 使うべき場面
多数のVPC/アカウントを相互に、またオンプレミスと接続する必要があるとき。
✗ 避けるべき場面
VPCが2〜3個だけ → VPC peering。1つのサービスを公開するだけ → PrivateLink。
よくある使い方
- 複数アカウントにまたがる数十のVPCの接続
- VPN/Direct Connectの1か所への集約
- route tableによるprod/devネットワークの分離
料金はいくら？
- 課金方式: attachmentごとの時間料金に、処理データGBが加わります。
データ処理料金は通常のデータ転送料金に上乗せされます。
「多数の VPC とオンプレミスを、シンプルなハブ&スポークと推移的ルーティングで接続」なら Transit Gateway、「2〜3 個の VPC で最安」なら VPC ピアリング、「1 つのサービスだけ公開」なら PrivateLink を選びます。
よくある質問
Transit Gateway は VPC ピアリングと何が違いますか?
VPC ピアリングは 1 対 1 で推移的ではありません。A と B、B と C をピアリングしても、A は B を経由して C には届かないため、VPC が増えると接続が網目状に複雑になります。Transit Gateway は中央のハブで、各 VPC は 1 つのアタッチメントだけで済み、ルートテーブルで通信可能な相手を制御できます。その代わりアタッチメントとデータ処理量に料金がかかり、ピアリングの方が安価です。
Transit Gateway を複数アカウントで共有するには?
AWS Resource Access Manager (RAM) で他のアカウントや AWS Organizations 全体に Transit Gateway を共有し、各アカウントが自分の VPC のアタッチメントを作成します。環境を分離したい場合 (例: prod と dev を互いに見えなくする) は、複数のルートテーブルを使い、アタッチメントを適切なものに関連付けます。
Transit Gateway は何を接続でき、Region をまたげますか?
VPC、Site-to-Site VPN、Direct Connect (Direct Connect gateway 経由)、他の Transit Gateway を接続できます。各 Transit Gateway は 1 つの Region に存在し、Region をまたぐには Transit Gateway 間のリージョン間ピアリングを使います。ピアリングにはないマルチキャストにも対応しています。
関連サービス
SAA-C03 対策
Transit Gateway は次の対策モジュールで扱っています：