はじめに
オンプレミスと複数AWSアカウントを閉域で接続するニーズは年々増えています。 特に大規模環境では、Direct Connect（DX）＋ Transit Gateway（TGW） の組み合わせが “拡張性・運用性・セキュリティ”のバランスが最も良い構成として採用されることが多いです。
本記事では、SAP試験でも頻出となる DXを利用した複数アカウント × TGW接続のプライベート回線構成について解説します。
全体構成の概要
今回扱う構成は以下の要素で成り立ちます。
-
Direct Connect（DX）：オンプレとAWSを専用線で接続
-
Direct Connect Gateway（DXGW）：複数リージョン・複数VPCへの接続を集約
-
Transit Gateway（TGW）：複数アカウント・複数VPCを一元的に接続
-
複数AWSアカウント：部門・環境ごとに分離されたVPC群
-
プライベートルーティング：オンプレ ⇔ AWS 間を閉域で接続
この構成のポイントは、 オンプレ側のルーティングをDXGWに集約し、AWS側の拡張性をTGWで担保することです。
設計のポイント
1. DXGW と TGW の役割分担
-
DXGW：オンプレからAWSへの“入口”
-
TGW：AWS内部のVPC間ルーティングを統合 この分離により、オンプレ側の設定変更を最小化しつつ、AWS側の拡張性を確保できます。
2. 複数アカウントのネットワーク統合
-
部門ごとに独立したVPCを持ちながら、 TGWで一元的に接続・制御できる
-
新規アカウント追加時も、 TGWアタッチ → ルート追加だけで拡張可能
-
オンプレからのアクセス経路を統一できるため、 運用チームの混乱を防止
3. ルーティング設計の注意点
-
DXGW → TGW は BGPによる動的ルーティング
-
TGWルートテーブルは用途別に分割（例：Prod / Dev / Shared）
-
オンプレ側はルート集約が必須
-
DXGWとTGWで 同一ASNを使わない
-
TGWルートテーブルの伝播設定を誤ると 意図しない横断通信が発生するので要注意
4. セキュリティ設計
-
アカウント分離＋TGWルートテーブル分離で ゼロトラストに近い境界設計が可能
-
DXは閉域だが、 IAM・SG・NACL・FW（必要ならGWLB）で多層防御を構築
-
TGW共有はAWS Organizations＋RAMで管理し、 権限管理を明確化
5. 運用・拡張性
-
新規VPC追加時の影響範囲が小さい
-
DX回線の冗長化も容易
-
TGWルートテーブルを役割別に整理することで、 運用チームが迷わないネットワーク構成を維持できる
構成図
VPC間で通信ができない点に注意してください。
なお、この設計だとTransit Gatewayが単一障害になります。
対策としては、Site-to-Site VPNによるコストを抑えながらの冗長化をする設計もあります。
まとめ
Direct Connect と Transit Gateway を組み合わせることで、 オンプレミスと複数AWSアカウントを閉域・高信頼・高拡張性で接続できます。
SAP試験でも頻出の構成であり、 実務でも“最も再利用されるネットワークアーキテクチャ”のひとつです。