【AWS学習記録】クラウドプラクティショナーへの道③：ネットワークとセキュリティの基礎を固める！

AWSクラウドプラクティショナー資格取得に向けた学習記録、第3弾です！

前回はEC2とストレージサービスについて深掘りしました。
今回は、クラウドの「道」や「関所」にあたるネットワークとセキュリティについて学んだことをまとめます。安全な家を建てるためには、土地の区画整理や頑丈な鍵が必要なのと同じで、AWSを安全に使う上で欠かせない知識です！

今回も、張り切っていきましょう！

VPC：AWS上に作る自分だけのプライベート空間

まずは、ネットワークの土台となるVPC (Virtual Private Cloud) からです。
これは、AWSという巨大なクラウドの中に、自分専用のプライベートなネットワーク空間を仮想的に作れるサービスです。

IPアドレスとサブネットマスク

VPCの中のEC2インスタンスなどのリソースには、IPアドレスというインターネット上の住所が割り当てられます。
そして、この住所がどのネットワーク範囲に属しているかを示すのがサブネットマスクです。

• IPアドレス: 192.168.1.10 のように、0から255までの数字を4つ組み合わせた形式です。
• サブネットマスク: 255.255.255.0 や /24 のように表記され、VPCという大きな土地を、さらに小さな「サブネット」という区画に分けるために使います。例えば、部署ごとにネットワークを分けて、アクセスできる範囲を制限する、といった管理ができます。

パブリックサブネットとプライベートサブネット

サブネットには、役割に応じて2つのタイプがあります。

• パブリックサブネット:
  • 役割: Webサーバーなど、インターネットから直接アクセスできるようにしたいリソースを置く場所です。
  • 仕組み: インターネットゲートウェイ(IGW) というVPCの玄関口と接続することで、インターネットと通信します。
• プライベートサブネット:
  • 役割: データベースなど、外部に公開したくない、セキュリティを高く保ちたいリソースを置く場所です。
  • 仕組み: こちらはインターネットと直接は繋がりません。もしデータベースから外部のAPIを呼び出すなど、インターネットへの出口だけが必要な場合は、NATゲートウェイを使います。これは、プライベートサブネットからのリクエストを代理でインターネットに送信してくれる仕組みです。

ネットワークの門番！NACLとセキュリティグループ

安全なネットワークには、不正な通信を防ぐ「ファイアウォール」という仕組みが不可欠です。AWSには、ネットワークACL (NACL) と セキュリティグループ (SG) という2つの主要なファイアウォールがあります。

• セキュリティグループ (SG)
  • 役割: EC2インスタンスにくっつけて使う、仮想のファイアウォールです。
  • 特徴: ステートフルです。これは、一度許可した通信の戻りの通信は自動的に許可してくれる賢い仕組みです。例えば、内側からのリクエスト（アウトバウンド）を許可すれば、その応答（インバウンド）は自動的に通してくれます。許可ルールのみ設定可能です。
• ネットワークACL (NACL)
  • 役割: サブネット全体に適用するファイアウォールです。サブネットの入り口と出口を見張る門番のイメージです。
  • 特徴: ステートレスです。行きと帰りの通信をそれぞれ個別に設定する必要があります。インバウンドを許可しても、アウトバウンドが許可されていないと応答は返せません。許可ルールと拒否ルールの両方を設定できます。

特徴	セキュリティグループ (SG)	ネットワークACL (NACL)
対象	EC2インスタンス	サブネット
状態管理	ステートフル	ステートレス
ルール	許可のみ	許可と拒否

ネットワークを繋ぐ技術

AWSでは、作ったVPC同士を繋いだり、会社のオフィス（オンプレミス環境）とVPCを繋いだりすることもできます。

• VPC Peering: 2つのVPCを1対1で接続します。
• Transit Gateway: 複数のVPCやオンプレミス環境を、ハブのように一箇所にまとめて接続できるサービスです。管理がとても楽になります。
• AWS Direct Connect: 会社のオフィスとAWSを、専用の光ファイバーで接続します。高速で安定した通信が可能です。
• AWS VPN: インターネット上に暗号化された安全なトンネルを作って、オフィスとAWSを接続します。

インターネットの住所案内 - Route 53

DNS (Domain Name System) は、example.com のような分かりやすいドメイン名と、192.0.2.1 のようなIPアドレスを結びつける、インターネットの電話帳のような仕組みです。

Amazon Route 53は、AWSが提供する非常に信頼性の高いDNSサービスです。

• 100%の可用性SLA: AWSが「絶対に止まらない」ことを保証している、すごいサービスです。
• エイリアスレコード: ALB(ロードバランサー)やS3など、IPアドレスが変わりやすいAWSリソースにドメイン名を結びつけるための、Route 53独自の便利な機能です。
• ルーティングポリシー: ユーザーの位置情報に応じて一番近いサーバーに繋いだり、サーバーがダウンしたら自動的に予備のサーバーに切り替えたりと、賢いルーティング（経路制御）ができます。

VPCエンドポイント - 安全な近道

プライベートサブネットにあるEC2インスタンスが、同じAWS上にあるS3やDynamoDBといったサービスと通信したい場合、通常はNATゲートウェイを経由して一度インターネットに出る必要があります。

VPCエンドポイントは、その無駄をなくし、VPCとAWSサービスとの間にAWSネットワーク内の安全な直通通路を作ってくれるサービスです。これにより、セキュリティとパフォーマンスが向上します。

まとめ

今回は、AWSのネットワークとセキュリティの基本を学びました。

• VPC: 自分だけのネットワーク空間を定義する。
• サブネット: VPCをさらに小さく分割して、リソースを整理する。
• NACLとSG: ステートレス・ステートフルの違いを理解し、多層防御を実現する。
• Route 53: 高機能なDNSサービスで、安定したアクセスを提供する。

専門用語が多くて大変ですが、それぞれの役割を家や街に例えてみると、関係性が見えてきて面白いですね！
セキュアなインフラを構築するための第一歩、しっかり踏み出せた気がします。

次回もこの調子で頑張っていきましょう！🚀