Amazon VPC
Amazon Virtual Private Cloud
概要
Amazon VPC は、AWS クラウド上に論理的に分離された自分専用の仮想ネットワークを構築するサービスです。利用者は IP アドレス範囲（CIDR ブロック）を定義し、その中をサブネットに分割して、ルーティング・ゲートウェイ・ファイアウォールを自分で設計できます。オンプレミスのネットワークをクラウドへ拡張するような感覚で、どのリソースをインターネットに公開し、どれを内部に閉じるかを細かく制御できます。EC2 や RDS をはじめ多くのサービスは VPC 内に配置され、ネットワーク設計はセキュリティ設計の土台になります。
主要な概念
サブネットとアベイラビリティーゾーン
VPC の CIDR をさらに分割したものがサブネットで、各サブネットは1つのアベイラビリティーゾーンに属します。インターネットへ直接出入りできる経路を持つものをパブリックサブネット、持たないものをプライベートサブネットと呼びます。可用性のため、同じ役割のサブネットを複数AZに用意するのが定石です。
ルートテーブルとゲートウェイ
各サブネットにはルートテーブルが関連付けられ、宛先ごとの転送先を決めます。インターネットゲートウェイ（IGW）への 0.0.0.0/0 ルートを持つサブネットがパブリックになります。プライベートサブネット内のリソースがインターネットへ外向き通信するには、NAT Gateway を経由させます（受信は受け付けず送信のみ）。
VPCエンドポイント
VPC エンドポイントを使うと、インターネットを経由せずに AWS サービスへ接続できます。S3 と DynamoDB 向けの Gateway 型エンドポイントはルートテーブルにルートを追加する方式で追加料金がなく、その他サービス向けの Interface 型（PrivateLink）は ENI を介して接続します。セキュリティ向上とNAT経由のデータ処理料金削減に有効です。
セキュリティグループ vs ネットワークACL
セキュリティグループはインスタンス（ENI）単位で動作するステートフルなファイアウォールで、許可ルールのみを持ち、戻りの通信は自動的に許可されます。一方ネットワークACL（NACL）はサブネット単位で動作するステートレスなフィルターで、許可と拒否の両方をルール番号順に評価し、戻り通信も明示的に許可する必要があります。多層防御として両者を併用します。
オンプレミス接続とピアリング
拠点との接続には、暗号化された Site-to-Site VPN（インターネット経由）と、専用線で安定した帯域・低レイテンシを得る Direct Connect があります。VPC 同士は VPC ピアリングで1対1接続でき、多数の VPC やオンプレを束ねる場合は Transit Gateway がハブとして機能します。
典型的なユースケース
- パブリックサブネットにWeb層、プライベートサブネットにDB層を置く多層構成を組む
- NAT Gateway 経由でプライベートサブネットのサーバーに安全にパッチ適用させる
- VPCエンドポイントでS3へ閉域アクセスし、データ処理料金とリスクを削減する
- Direct Connect や Site-to-Site VPN でオンプレミスとハイブリッド構成を実現する
- Transit Gateway を中心に複数VPC・複数アカウントのネットワークを集約する
試験での出題観点
VPC は SAA・SAP・SOA・セキュリティ系試験の核です。SAA では「プライベートサブネットから外向き通信したい → NAT Gateway」「インターネットを通さず S3 へ → Gateway 型 VPC エンドポイント」が鉄板の出題です。セキュリティグループと NACL の違い（ステートフル/ステートレス、許可のみ/拒否も可、ENI単位/サブネット単位）は頻出の比較ポイントで、トラブルシュートでも問われます。SAP では Transit Gateway による大規模接続、Direct Connect と VPN の冗長化、CIDR 設計やハイブリッドDNSが論点です。要件の「閉域か」「インバウンドが必要か」「複数AZか」を読み解く力が問われます。
関連サービス
最終更新日: 2026-06-24
本ページの内容は、AWS公式ドキュメントを基に作成し、運営者が編集・監修しています。詳しくは編集・品質管理方針をご覧ください。