メニュー

デジタル庁GCASガイド

ネットワーク接続方法(AWS編)

2023/03/06 公開

ネットワーク設計時に必要となる、インターネット接続やVPC接続、AWSサービスとの接続、他拠点接続におけるベストプラクティスを理解するための文書である。

VPCとインターネット間の接続方法

VPCからインターネットへ接続する際には、InternetGatewayとNATゲートウェイを使用する2種類の方法を推奨する。また地方公共団体においては、各地方公共団体における情報セキュリティポリシーに従い接続すること。

InternetGateway

パブリックサブネット内のインスタンスとVPC外のネットワークとの間で通信するためのコンポーネントであり、InternetGatewayを作成してVPCにアタッチすることでインターネットとの通信において、双方向からのアクセスが可能になる。InternetGatewayはプライベートサブネットに接続することはできない。また、インターネット接続をする際には必ずInternetGatewayが必要となる。

NATゲートウェイ

ネットワークアドレス変換（NAT）サービスかつプライベートサブネット内のインスタンスがVPC外のネットワークと通信するためのコンポーネントである。NATゲートウェイを用いるとインターネットからVPCへの接続はできないため、「インターネットへのアクセスはしたいが、インターネットからはアクセスされたくない」場合に使用する。また、インターネットとの接続性がないためNATゲートウェイはパブリックサブネットに配置し、インターネットへアクセスする際には必ずInternetGatewayが必要となる。

VPC同士の接続方法

VPC同士を接続する際には、VPC ピアリング、AWS Transit Gatewayを使用する2種類の方法を推奨する。
なおGSSやクラウド接続サービス、各団体で独自に敷設する閉域網では同一組織内のネットワークをAWS Transit Gatewayで接続するため、VPC間の接続は自組織のネットワークを含めて最適な設計を検討すること。

VPCピアリング

1つのVPCあたりの最大接続数が125接続であるため、接続させたいVPCの数が少なく、今後増加する可能性も低い場合にVPCピアリングの使用を推奨する。VPCピアリングを使用すると、独自のアカウントのVPC間または別のAWSアカウントのVPC間でネットワーク接続ができ、リージョン間ピアリングもサポートしている。異なるVPC間を1対多で接続できるため、CIDRブロックが一致または重複するVPC間での使用は不可。この場合はAWS PrivateLinkの使用を推奨する。料金は異なるアベイラビリティーゾーン間のトラフィック量に対してのみ課金され、接続に対して料金は発生しない。

AWS Transit Gateway

1つのTransit Gatewayあたりの最大アタッチメント数が5,000アタッチメントであるため、接続させたいVPCの数が多く、今後増加する可能性が高い場合にAWS Transit Gatewayの使用を推奨する。AWS Transit Gatewayを使用すると、各リージョンのAWS VPCルーティング構成を統合し、各スポークVPCは他の接続されたVPCにアクセスできる。AWS Transit Gatewayはリージョナルサービスであるため、VPCを別リージョンのTransit Gatewayに接続することはできないが、各リージョンで作成したTransit Gateway同士での通信は可能である。料金はアタッチメント料金に加え、時間単位のアタッチメント数、トラフィック量に対して課金される。VPCピアリングに比べ、費用が高くなるため、大量のVPCを集中的に管理して管理コストを下げたい場合に使用することを推奨する。

VPCとAWSサービス間の接続方法

VPCと特定のAWSサービスを接続する際には、VPCエンドポイントを使用する方法を推奨する。

VPCエンドポイント

VPCエンドポイントを作成すると、パブリックインターネットを経由することなくAWSサービスを別のVPCからセキュアに接続することが可能になる。そのため、セキュリティ要件の厳しい環境でAWSサービスを別のVPCから接続させたい場合にVPCエンドポイントの使用を推奨する。サービスとの通信の際にInternetGateway、NATデバイスが不要であるため、ユーザーがVPCから到達可能なAPIエンドポイント、サイト、及びサービスを制御することができる。
AWS PrivateLinkを使用してVPCと他サービス間でプライベートな接続を提供するVPCエンドポイントには、インターフェイスVPCエンドポイントとGatewey Load Balancerエンドポイントの2つがある。

インターフェースVPCエンドポイントの対象サービスは、PrivateLinkがサポートされているAWSサービスである。特徴としてアクセス制御はセキュリティグループで行う、およびマルチAZで配置を行うといったことがある。

Gateway Load Balancerエンドポイントの対象サービスはGateway Load Balancerのエンドポイントサービスを使用したものである。Load Balancerのため、セキュリティ製品の死活監視やAutoScalingにも対応している。

他拠点からVPCへの接続方法

オンプレミスや事業者とのネットワーク接続をする際には、セキュリティが十分担保された上でインターネット経由での接続を基本とする。
ただし、安定的な専用ネットワーク帯域が必要な場合は、専用線による接続も可能とする。
以下に、Direct Connectについて示す。
なお、GSSや共通ネットワークを利用した他拠点との接続については、GCASアカウントを取得の上、GCASガイド（メンバー専用ページ）で公開されているドキュメントを参照すること。​

Direct Connect

Direct Connectを使用すると、オンプレミスネットワークから同じリージョン内の1つ以上のVPCへの専用接続を確立し、インターネットを経由しないプライベート接続が可能になる。VPN接続に比べ、通信速度が安定した状態で接続ができるというメリットがある。

改訂履歴

改訂年月日改訂理由
2023年03月06日新規作成
2023年03月27日地方公共団体のインターネット接続について、記載内容の拡充
2023年07月24日VPCとインターネット間及び他拠点からVPCへの接続方法について、記載内容を修正
2023年09月22日「ガバメントクラウドにおけるネットワーク接続」「ネットワーク接続(地方公共団体)」のタイトル変更に伴い、参照先を修正
2023年11月27日他拠点からVPCへの接続方法について、ドキュメント参照の記載を修正。その他、参照先のAWSドキュメント名等を修正。