AWS 基礎 07

VPCは道順と門番で読む

ネットワークの混乱は、サブネット名ではなく経路と許可を見ればほどけます。まずルートテーブル、次にSecurity Groupの順に追います。

TL;DR

  1. VPCはAWS内のネットワーク空間
  2. public/privateはデフォルトルートで決まる
  3. NATはprivateから外へ出る出口

01VPCは区画、subnetは住所の範囲

同じVPC内でも、役割ごとにネットワークを分ける。

2つのAZにpublic subnetとprivate subnetを置いたVPC
VPC内を用途別・可用性別に区切る。

VPCはAWS内に作るネットワーク空間、subnetはその中のIPアドレス範囲である。教材構成ではALBやNATをpublic側、ECSなどをprivate側に置く。

順序: 「どのsubnetにあるか」だけでは判断しない。関連付けられたルートテーブルを見る。

02public/privateを決める道路標識

0.0.0.0/0 の宛先が外部通信の性格を決める。

IGW向けとNAT Gateway向けのルートテーブル比較
IGWへ向けばpublic、NATへ向けばprivateの外向き経路。
サブネットの性格0.0.0.0/0 の宛先意味
publicInternet Gatewayインターネットへ直接の経路を持つ
privateNAT Gateway（または経路なし）外部から直接到達させない
NATの誤解: NAT Gatewayはprivate subnetに外から入る入口ではない。private側から始める外向き通信を中継する。

03通信には表門と裏門がある

ネットワーク許可とIAM許可を混同しない。

ネットワーク通信のSecurity GroupとAWS APIのIAMの対比
RDS接続はSecurity Group、AWS API利用はIAMで考える。
通信例教材上の整理主に確認するもの
ECS → RDS表門: ネットワーク接続RDS SGがECSのSGを許可
ECS → S3 / Secrets Manager裏門: AWS APIアクセスタスクロールなどのIAM権限

Security Groupは「どのリソースから、どのポートで来てよいか」を置く場所。IPを広く開ける前に、送信元Security Groupで絞れるかを考える。

結論

  1. VPCは区画、ルートテーブルは道順、Security Groupは門番。
  2. public/privateはデフォルトルートの宛先で判断する。
  3. NATはprivate側の外向き通信にだけ使う。