■ この記事はこんな人におすすめ
- AWSを勉強し始めたけど、サービスが多すぎて何から学べばいいか分からない人
- AWSの個々のサービスは知っているけど、全体の構成のイメージがつかめない人
- ECS・Lambda・RDSなどの言葉を聞いたことはあるが、なぜそれを使うのか説明できない人
- 実務でAWSを触ることになり、インフラの全体像を掴みたい人
■ この記事で得られること
- ALB・ECS・Lambda・RDS・NAT Gateway・VPCエンドポイントが「何をしているのか」説明できるようになります
- パブリックサブネットとプライベートサブネットの使い分けが理解できます
- 実務でよく使われるAWSインフラの全体構成イメージが持てるようになります
- 「なぜこのサービスを使うのか？」という理由とセットで覚えられます
■ 参考書籍
- イラスト図解式 この一冊で全部わかるWeb技術の基本 — ネットワークの基礎を図解で丁寧に解説。初心者に強くおすすめ
- AWS公式資格「AWS Certified Solutions Architect – Associate（SAA）」の学習教材全般
1. 結論
この記事で紹介するインフラ構成はあくまで一例です。
実際のシステム要件・規模・コスト・セキュリティポリシーによって、最適な構成は異なります。「こういう構成もある」という参考として読んでいただき、自分のプロジェクトに合わせて適宜カスタマイズしてください。
実務のAWSインフラは、大きく分けると「インターネットから受け付ける場所（パブリックサブネット）」と「外から直接触れさせない場所（プライベートサブネット）」に分かれています。
ALBがインターネットからのリクエストを受け取り、プライベートサブネット内のECSタスクへ転送します。ECSやLambdaがアウトバウンド通信をしたいときは、NAT Gatewayを経由してインターネットに出ます。RDSはデータを永続化するDBサービスで、VPCエンドポイントはAWSのマネージドサービスへの通信をインターネットを介さずに安全に行うための仕組みです。
まずは全体像を頭に入れて、それぞれのサービスの「役割と理由」を理解していきましょう！
2. 具体的にやること
■ ① パブリックサブネットとプライベートサブネットを理解する
■ ② ALBが何をしているか理解する
■ ③ NAT Gatewayが何をしているか理解する
■ ④ ECS（Fargate）のメリットを理解する
■ ⑤ RDS・Lambda・VPCエンドポイントを理解する
3. 各項目の説明
■ ① パブリックサブネットとプライベートサブネット
インフラを設計するうえで最初に理解すべきなのが、サブネットの分け方です。
| 種類 | 配置するもの | 目的 |
|---|---|---|
| パブリックサブネット | ALB、NAT Gateway | インターネットと直接通信する |
| プライベートサブネット | ECS、Lambda、RDS | 外部から直接アクセスさせない |
なぜ分けるの？
インターネットから直接アクセスできる場所を最小限にすることで、セキュリティリスクを下げるためです。ECSやRDSを直接インターネットに晒す必要はなく、ALBを経由させることで安全に通信できます。
■ ② ALBは何をしているのか
ALB（Application Load Balancer）は、インターネットからのリクエストを受け付け、適切な場所に振り分ける役割を担います。
インターネット
↓
ALB（パブリックサブネット）
├── HTTP(80番) → HTTPS(443番)にリダイレクト
└── HTTPS(443番) → ECSタスク(3000番)へ転送
ALBの主な役割3つ
-
HTTP → HTTPSへの強制リダイレクト
80番ポートで受けたアクセスを、301リダイレクトで443番（HTTPS）へ誘導します。 -
TLS終端（SSL処理）
443番ポートでHTTPS通信を受け、ACM（AWS Certificate Manager）の証明書で暗号化を解きます。複数ドメインの証明書はSNIで使い分けることができます。 -
ECSタスクへの振り分け
復号化後のリクエストをターゲットグループ経由で、プライベートサブネット内のECSタスク（3000番ポート）へ転送します。
よくある疑問：ALBが2つある？
ALBは2つのAZに**ENI（Elastic Network Interface）**を持っていますが、課金は1つ分です。冗長性を確保しつつコストを抑えられます。
NLBとの違いは？
| サービス | レイヤー | 対応プロトコル |
|---|---|---|
| ALB | L7（アプリケーション層） | HTTP、HTTPS |
| NLB | L4（トランスポート層） | TCP、UDP |
■ ③ NAT Gatewayは何をしているのか
プライベートサブネットのECSやLambdaは「プライベートIPアドレス」しか持っていないため、そのままではインターネットに出ていけません。そこで登場するのがNAT Gatewayです。
ECS/Lambda（プライベートIP）
↓
NAT Gateway（パブリックサブネット） ← プライベートIPをパブリックIPに変換
↓
インターネットゲートウェイ（IGW）
↓
AWS SQS / Secrets Manager / インターネット
NATとNAPTの違いを理解しよう！
- NAT: 1つのプライベートIPを1つのパブリックIPに変換（1対1）
- NAPT: ポート番号を使って複数のプライベートIPを1つ（少数）のパブリックIPにまとめる
実はご家庭のWiFiルーターもNAPTを使っています。スマホやPCなど複数の端末が1つのグローバルIPでインターネットにつながっているのはこの仕組みのおかげです。AWS NAT GatewayもNAPTの一種です。
ベストプラクティス: 各AZに1つずつNAT Gatewayを配置する冗長化が推奨されています。
■ ④ ECS（Fargate）のメリットを理解する
ECS（Elastic Container Service）のFargateモードは、コンテナを動かすためのサーバー管理が不要な実行環境です。
ECS（Fargate）のメリット
- サーバーの管理が不要 — OSのパッチ当てやサーバーの設定をAWSに任せられる
- オーケストレーション — コンテナの死活監視・再起動・スケーリングをAWSが自動で行う
FargateとEC2モードの比較
| 項目 | ECS on Fargate | ECS on EC2 |
|---|---|---|
| サーバー管理 | 不要（AWSが管理） | 必要（自分で管理） |
| 課金 | タスクの実行時間 | EC2の起動時間 |
| 向いている用途 | サーバーレスで運用を楽にしたい | コスト最適化やカスタマイズが必要 |
■ ⑤ RDS・Lambda・VPCエンドポイントを理解する
RDS（Relational Database Service）
AWSが提供するリレーショナルDBのマネージドサービスです。
- 対応エンジン: MySQL・PostgreSQL・MariaDB・Oracle・SQL Server・Aurora など
- マルチAZ: 複数のAZにDB配置し、可用性を高める（障害時に自動フェイルオーバー）
- リードレプリカ: 読み込みをプライマリDBと分散させ、負荷分散
| 他のDBサービス | 用途 |
|---|---|
| Redshift | データウェアハウス（大量データの分析・集計） |
| DocumentDB | ドキュメント型DB（MongoDB互換） |
| DynamoDB | NoSQL型（サーバーレスのキーバリュー型） |
Lambda
サーバーレスのコンピューティングサービスで、「イベントをきっかけに起動する」のが基本的な使い方です。
- 課金: 使用メモリ量 × 実行時間（ミリ秒単位）で課金
- 制限: 1回の実行につき最大**15分（900秒）**のハードリミット
Lambdaを起動するサービスの例
| サービス | 起動方式 |
|---|---|
| SQS | Lambda側からポーリング（問い合わせ） |
| SNS | SNS側からLambdaへ実行指示（プッシュ） |
| EventBridge | 定期実行・特定APIの呼び出し時など |
VPCエンドポイント
VPCからAWSサービスへアクセスする際に、インターネットを経由せずにプライベートに通信できる仕組みです。
2種類のVPCエンドポイント
| 種類 | 料金 | 対応サービス |
|---|---|---|
| ゲートウェイ型 | 無料 | S3、DynamoDB |
| インターフェイス型 | 有料 | ほとんどのAWSサービス |
まとめ
- パブリックサブネット にはALBとNAT Gatewayを配置し、外からのアクセス窓口と外へ出るための出口を担う
- プライベートサブネット にはECS・Lambda・RDSを配置し、直接インターネットに晒さない
- ALB はHTTPS対応・TLS終端・ECSへのルーティングを担う
- NAT Gateway はプライベートIPをパブリックIPに変換して外部通信を可能にする（実態はNAPT）
- ECS（Fargate） はサーバー管理不要でコンテナを動かせるオーケストレーションサービス
- RDS はマネージドDBサービス。マルチAZやリードレプリカで可用性・負荷分散を実現
- Lambda はイベント駆動型のサーバーレス処理基盤。最大15分の処理に対応
- VPCエンドポイント はAWSサービスへの通信をインターネット非経由で安全に行う
結局何をすればいいの❓
インフラに強くなるためのロードマップはこちら：
-
まずネットワークの基礎を固める — IPアドレス、サブネットマスク（
10.0.0.0/24）、DNSを説明できるか？
→ 「イラスト図解式〜」などの初学者向け書籍で学ぼう！ -
AWSの各サービスの概要を説明できるようにする — Route53・EC2・ECS・EKS・IAM・Lambda・SQS・SNSなどを人に説明できるか？
→ AWS Certified Solutions Architect – Associate（SAA） に挑戦！1〜2ヶ月で取得可能 -
実務で使っているサービスを人に説明してみる
→ AIと壁打ちしながら理解を深めるのがおすすめ
「資格なんて取らなくてもAIに聞けばいいんじゃないの？」
という声もありますが、体系的な理解がないとAIの回答の根拠が理解できず、知らないサービスの話をされても追えません。まずは基礎的な体系知識を身につけることを強くおすすめします！
株式会社シンシア
株式会社xincereでは、実務未経験のエンジニアの方や学生エンジニアインターンを採用し一緒に働いています。
※ シンシアにおける働き方の様子はこちら
シンシアでは、年間100人程度の実務未経験の方が応募し技術面接を受けます。
その経験を通し、実務未経験者の方にぜひ身につけて欲しい技術力（文法）をここでは紹介していきます。