Amazon Virtual Private Cloud
AWS 内の専用網
あなたが定義する仮想プライベートネットワーク（IP 範囲、public/private subnet、route table、gateway）で、EC2、RDS などはその中に配置されます。
- コスト$$ ふつう
- 難易度●●●●●
- 未使用でも課金？はい
- AWS マネージド
- 出題試験CLF · SAA · DVA · SOA
たとえるなら塀で囲まれた土地のようなものです。区画（subnet）を自分で分け、門（gateway）を設置します。
VPC はシステムのどこにある？
VPC を呼び出す
VPC具体例でステップごとに
- Web アプリのインフラを作るにあたり、データベースを絶対にインターネットへ公開したくありません。
- 10.0.0.0/16 の VPC を作成し、2 つの AZ にパブリックサブネットとプライベートサブネットを作ります。
- ロードバランサーはパブリックサブネットに、アプリサーバーとデータベースはパブリック IP を持たないプライベートサブネットに置きます。
- プライベートのインスタンスは NAT ゲートウェイ経由でパッチを取得し、S3 にはゲートウェイ型 VPC エンドポイント経由で書き込みます。インターネットは通りません。
- セキュリティグループで、データベースはアプリサーバーからのポート 5432 の接続だけを受け付け、それ以外はすべて拒否します。
いつ使う？
✓ 使うべき場面
常に必要: ネットワーク内で動くすべてのリソースに VPC が必要です。
よくある使い方
- EC2、RDS、ECS のあらゆるワークロード向けの専用ネットワーク
- public subnet（ALB）と private subnet（アプリ、database）の分離
- VPN または Direct Connect でオンプレミスに接続
VPC・ELB・WAF の違い
ELB
WAF料金はいくら？
- 課金方式: VPC、subnet、route table、security group: 無料。課金対象: NAT Gateway（約 $0.045/時間 + 処理 $0.045/GB）、パブリック IPv4（IP ごとに約 $0.005/時間）、interface endpoint（AZ ごとに約 $0.01/時間）、AZ 間データ転送（片方向あたり約 $0.01/GB）。
- 無料枠: VPC 自体は無料です。
NAT Gateway は典型的な落とし穴です: コンテナ/Lambda が S3 からデータをダウンロードする際に NAT を経由する → S3 と DynamoDB には Gateway Endpoint（無料）を使用。パブリック IP も課金されます。
セキュリティグループはステートフルで許可ルールのみ、ネットワーク ACL はステートレスで許可と拒否の両方を持ちます。プライベートのインスタンスがインターネットに出るならパブリックサブネットの NAT ゲートウェイ、インターネットを経由せず S3/DynamoDB を呼ぶならゲートウェイ型 VPC エンドポイントです。
本番の試験問題に挑戦
1A company runs a web application on multiple Amazon EC2 instances in a VPC. The application needs to write sensitive data to an Amazon S3 bucket. The data cannot be sent over the public internet. Which solution will meet these requirements?
- ACreate a gateway VPC endpoint for Amazon S3. Create a route in the VPC route table to the endpoint.
- BCreate an internal Network Load Balancer that has the S3 bucket as the target.
- CDeploy the S3 bucket inside the VPC. Create a route in the VPC route table to the bucket.
- DCreate an AWS Direct Connect connection between the VPC and an S3 regional endpoint.
答えを見る
正解: A
S3 用のゲートウェイ型 VPC エンドポイントを作り、ルートテーブルにルートを追加すると、EC2 はインターネットを経由せずに S3 へ書き込めます。S3 バケットを VPC 内に置くことはできず、NLB は S3 をターゲットにできません。
2You need to set up security for your VPC and you know that Amazon VPC provides two features that you can use to increase security for your VPC: Security groups and network access control lists (ACLs). You start to look into security groups first. Which statement below is incorrect in relation to security groups?
- AAre stateful: Return traffic is automatically allowed, regardless of any rules.
- BEvaluate all rules before deciding whether to allow traffic.
- CSupport allow rules and deny rules.
- DOperate at the instance level (first layer of defense).
答えを見る
正解: C
誤っているのは「許可ルールと拒否ルールの両方をサポートする」です。セキュリティグループには許可ルールしかなく、拒否ルールはネットワーク ACL のものです。
よくある質問
パブリックサブネットとプライベートサブネットの違いは何ですか？
パブリックサブネットにはインターネットゲートウェイへのルートがあり、パブリック IP を持つリソースは直接インターネットにアクセスできます。プライベートサブネットにはそのルートがなく、内部のインスタンスは NAT ゲートウェイ経由でインターネットに出ます。インターネットから直接アクセスすることはできません。
セキュリティグループとネットワーク ACL の違いは何ですか？
セキュリティグループは個々のリソースに適用され、許可ルールのみで、ステートフル（戻りの通信は自動で許可）です。ネットワーク ACL はサブネット全体に適用され、許可と拒否の両方のルールを持ち、ステートレスなので両方向を開ける必要があります。
VPC に料金はかかりますか？
VPC 自体、サブネット、セキュリティグループは無料です。料金がかかるのは NAT ゲートウェイ（時間と GB 単位）、パブリック IPv4 アドレス、インターフェイス型の VPC エンドポイント、VPN、Transit Gateway、AZ 間やインターネットへのデータ転送です。
AWS 認定試験では VPC について何が問われますか？
複数 AZ にまたがるパブリック・プライベートサブネットの設計、NAT ゲートウェイ、セキュリティグループと NACL の比較、インターネットを経由せず S3 や DynamoDB にアクセスする VPC エンドポイント、VPC 同士をつなぐ VPC ピアリングと Transit Gateway、通信を確認する Flow Logs などです。