【AWS SAPro試験対策】サービス理解を深める　～ AWS Transit Gateway 編～

Last updated at 2025-10-13Posted at 2025-10-13

この情報は Copilot Deep Researchによって制作されました。

AWS Transit Gateway詳細技術レポート

はじめに

2025年時点でAmazon Web Services（AWS）は、クラウドネットワークのスケーラビリティとセキュアな接続性を両立する堅牢なネットワークサービス群を展開しています。その中でも**AWS Transit Gateway（TGW）**は、複数のAmazon Virtual Private Cloud（VPC）やオンプレミス環境、さらにはSD-WANや他リージョンとの接続までカバーする“ネットワークのハブ”として位置付けられ、エンタープライズを中心に導入が加速しています。本レポートではAWS公式情報（開発者ガイド、公式ブログ、リリースノート等）の一次情報のみを多数参照し、Transit Gatewayの基本設計から、運用の勘所、最新の機能アップデートまで徹底的に解説します。

1. AWS Transit Gatewayの概要と基本機能

AWS Transit Gatewayは、複数VPC・オンプレミスネットワーク・VPN・Direct Connect・SD-WAN等を統合的に接続するハブアンドスポーク型アーキテクチャを実現するマネージドネットワークサービスです。従来のメッシュ型VPCピアリングや個別VPN接続の煩雑さを解決し、スケーラビリティや運用効率・可視性・セキュリティといった課題にダイレクトに貢献します。

Transit Gatewayは、リージョンリソースとしてリージョン内の全AWSサービスおよびオンプレミスと接続し、数千台規模のVPC・複数アカウントにも対応します。さらに、リージョン間ピアリングやマルチキャスト、SD-WAN連携（Connect）などにより、AWSグローバル環境全体を単一ネットワーク・ファブリックとして統括管理できるのが最大の特長です。

1.1. Transit Gatewayの中核機能

中央ハブとなるクラウドルーター（ネットワークトラフィックの集中管理）
拡張性（数千単位のVPCやVPNなど多様なアタッチメントをサポート）
複数ルートテーブルを持ち、きめ細やかなルーティング制御が可能
ルートプロパゲーションによる動的経路学習と静的ルーティング併用
高可用性、マルチAZ冗長化、自動復旧設計
セキュリティグループ参照やIAM統合によるアクセス制御
Flow Logs/CloudWatch/Network Managerによる運用監視および可視化
マルチリージョン・マルチアカウント接続、リージョン間ピアリング対応

AWS公式によれば、Transit Gatewayの導入によりZendesk、Trend Micro、Gracenote、Terminixなど大規模SIer・SaaSベンダーがコスト削減と運用性向上を達成した事例が紹介されています。

2. 主なユースケース

AWS Transit Gatewayは、多様なネットワーク要件に適応可能です。以下に主要なユースケースを整理します。

2.1. 大規模VPC・アカウント横断の集約ルーティング

従来、VPCピアリングではN台のVPCをフルメッシュでつなぐ必要があり、接続数・ルートテーブルが爆発的に増加します（VPC間通信＝N×(N-1)/2件）。Transit Gatewayは中央ハブでN本の接続のみで済むため、ネットワーク拡張や管理が圧倒的に容易になります。

2.2. オンプレミスとの統合～ハイブリッドアーキテクチャ

Direct Connect、VPNアタッチメントの集約ポイントとすることで、複数VPCに再配線・設計変更せずにオンプレミスとAWS環境の統合可能。オンプレ統制下でのF/W・Proxy集中化も可能となります。

2.3. クロスアカウント・クロスリージョン連携

AWS Resource Access Manager(RAM) やPeering Attachmentを使うことで、別AWSアカウントや複数リージョンにまたがるネットワーク設計を統一的に実現。合併・分割・M&A後の環境統合にも好適。

2.4. セキュリティインスペクション/アウトバウンド統制

セキュリティVPC・検査VPCを設け、ネットワークファイアウォールやIDS/IPSでVPC間/オンプレミストラフィックをインライン検査。アプライアンスモードで対称ルート制御によりセキュアな通信経路保証が可能です。

2.5. マルチキャスト配信（金融・メディア等）

AWSのManagedなマルチキャスト機能。複数VPC・AZ間でのストリーミングや金融システム等のマルチキャスト通信をクラウドで安全に実装。

3. アタッチメントの種類と詳細

AWS Transit Gatewayは多様なアタッチメントタイプをサポートしており、それぞれ特徴とライフサイクルが異なります。

3.1. 主なアタッチメントの種類

アタッチメント種別	主な接続先	機能概要	備考
VPCアタッチメント	Amazon VPC	VPC内サブネットとTGWをENI経由で接続	AZ冗長化推奨、小CIDRサブネット専用推奨
VPNアタッチメント	オンプレミスネットワーク（Site-to-Site VPN）	ダイナミック/スタティックルート＋BGP (ECMP可)	IPsec暗号化、BGPマルチパス推奨
Direct Connect Gatewayアタッチメント	物理拠点経由のDirect Connect	高帯域・低レイテンシーでVPC複数接続（DR冗長推奨）	プレフィックス制御、ASPATH/BGP経路制御
Connectアタッチメント（SD-WAN）	サードパーティ仮想ルータ	GREトンネル＋BGPによるSD-WAN連携、動的ルート伝搬	GRE未暗号化、冗長化可能、最大4ピア
Peeringアタッチメント	他リージョン/他アカウントTGW	リージョン間TGW結合（相互ルーティング）	経路伝播サポートなし、静的ルート必須
ネットワーク関数アタッチメント	AWS Network Firewall等	セキュリティインフラのインライン挿入	インスペクションVPC、アプライアンスモード併用

各アタッチメントには、Available、Pending、Failed等の詳細なステータスライフサイクルがあり、オペレーション上でのトラブルシュート時の確認ポイントにもなります。

3.2. VPCアタッチメント設計上の注意

アベイラビリティーゾーンごとに専用サブネット作成、ENI配置
小さいCIDR（/28等）推奨。同一サブネットにEC2等ワークロード配置しない
同一VPCへの複数アタッチメント不可
クロスアカウント利用可能：RAMでTGW共有、ステータス管理に注意
IPv6 onlyサブネットのみでの接続は不可（IPv4必須）
サブネットルートテーブルのターゲットにTGWそのものを指定

この設計原則は、意図しないルーティングや通信経路を避けるため運用ベストプラクティスとして必須です。

3.3. Connectアタッチメント（SD-WAN/GRE）

トランスポートアタッチメント（既存のVPCまたはDirect Connectアタッチメント上に構築）
BGP over GREトンネルによるサードパーティSD-WANとのダイナミック経路交換
最大4ピア/アタッチメント、20Gbps
MP-BGP/ECMP（Equal Cost Multi Path）サポート可

GREトンネルのIP・ASN指定、トンネルMTU調整など低レイヤ設計知識が必要となる点も特徴です。

4. ルートテーブル設計（TGW Route Table）とルート伝搬

AWS Transit Gatewayでは、ルートテーブルを活用した高度なセグメンテーション、経路制御が可能です。

4.1. ルートテーブル用語・設計パターン

Association（関連付け）：アタッチメントを特定のTGWルートテーブルに紐づけ
Propagation（プロパゲーション/伝播）：アタッチメント経由で学習したルートの自動インポート
静的ルート：アタッチメントに依存せず任意の宛先への固定経路設定（ブラックホール含む）

アタッチメントは最大1つのルートテーブルへ「Association」できます。伝播は複数テーブルに可能で、環境分割（本番/検証/STG…）やサービス分割（AD/DNS/監査用等）といったネットワーク隔離ポリシーの実装が容易です。

ルート選択順序と優先度

最も具体的なマッチ（CIDRのプリフィックス長最大）優先
同一CIDR一致時は、優先度：静的>プレフィックスリスト参照>伝播ルート>VPN等
ブラックホール設定可（意図的遮断経路指定）

4.2. 高度なセグメンテーション設計事例

プロダクション/DR/開発/共有サービス用ルートテーブルを分割し、特定環境間のみ疎通させ他の通信はブラックホール化、あるいはAD/DNSのみ全環境から許可するなど柔軟な論理分割が可能です。

Route Table	用途	接続アタッチメント例
Production-RT	本番用	本番VPC/本番Direct Connect Gateway等
Development-RT	開発・STG用	開発VPC、開発用VPN/SD-WAN等
SharedServices-RT	共有サービス	AD/DNS/監視用VPC等

5. セキュリティとアクセス制御（IAM/SG）

5.1. Transit GatewayにおけるIAM制御

Transit Gatewayおよびルートテーブル、アタッチメントの作成/編集/削除などの各操作は、**AWS Identity and Access Management（IAM）**による細粒度制御が可能です。標準管理ポリシー（AmazonEC2FullAccess等）のほか、カスタムポリシーでタグ/リソース条件設定も可能です。

IAM例：

特定タグ（stack=prod）付きTGWのみ作成可能
指定TGW（tgw-id指し）でのみルートテーブル作成・編集可
指定アタッチメントの伝播経路だけ作成可等

IAMにより、マルチテナント・組織型AWSアカウントにおける運用統制や責任分離が容易に実現されます。

5.2. セキュリティグループ相互参照機能

2024年より、**同一TGWにアタッチされたVPC間でのセキュリティグループ相互参照（inboundのみ）**が可能になり、マイクロセグメンテーション設計の柔軟性が大幅に向上。通信先のSG ID指定による許可ができるため、クロスVPC運用管理が簡素化されました（ピアリング越しは非サポート）。

セキュリティグループ相互参照の制限事項

同一TGW所属VPCが対象、リージョン間ピアリング/PrivateLink/EFS等ではサポート外
Outboundルール非対応
ネットワークACL/インタフェース等の追加設定にも留意要

6. 冗長化と高可用性

Transit GatewayはAWSインフラとしてデフォルトでマルチAZ＆冗長化が施されており、ユーザー側設計はアタッチメント/サブネット/ルートテーブル設計による多重化がポイントです。

6.1. マルチAZ化設計

VPCアタッチメントはマルチAZサブネット指定（各AZ専用サブネット設計がベストプラクティス）
サブネットは小さいCIDR空間専用（/28等）、ワークロードサブネットとは分離
サービス継続性確保のため、本番/DR環境でリージョンまたぎの配置も有効です

6.2. アプライアンスモードによる対称ルーティング

検査VPC（Firewall/NAT/IDS等）のサービスインスタンスを、AZ単位にアタッチメント配置しアプライアンスモードを有効化すると、「通信往路-復路とも同一AZ内を通過」することでステートフルなトラフィック監査が担保できます。2024年以降はAZアフィニティ/対称動作が更に強化されています。

7. リージョン間ピアリング

Transit GatewayのInter-Region Peering（リージョン間ピアリング）は、地理的に異なるAWSリージョン/アカウント間のネットワーク統合を強力にサポートします。

Peering AttachmentでピアTGWを指定し、両側で承認した上で静的ルート構成
経路伝播がサポートされないため、静的ルートテーブル設計が必須（ブラックホール経路や漏れに注意）
通信ルートは、行き先TGW-ピアAttachment-ローカルVPC（サブネットルート）という多段階経路で、左右対称設計を強く推奨。

8. Transit Gateway Connect（GRE/SD-WAN連携）

TGW ConnectはSD-WANや仮想アプライアンスをGREトンネル（+BGP dynamic routing）でクラウド内直接結線可能とする進化系アタッチメント。大規模企業のネットワーク統合・ハイブリッドマルチクラウド連携を劇的に簡素化します。

主な特徴

VPC/DirectConnectアタッチメントをトランスポートに利用
最大4Connectピア（GREトンネル）/Attachment、各ピアで最大5Gbps
BGP over GREによるECMP経路分散、オンプレ連携およびSD-WANの柔軟な拡張
GRE MTU設定とルートアドバタイズ、iBGP/eBGP混在制御など独特の運用設計ポイント
GRE暗号化無し（必要に応じてIPsec併用検討）

9. マルチキャスト機能

AWS公式で提供される「Transit Gateway Multicast」は、複数VPC/サブネットをまたいでマルチキャスト通信（IGMPv2/静的）をクラウドで実装したい要件に対応。

ドメイン/グループ/ソース/メンバー設計が可能
静的追加またはIGMPv2による動的グループ管理
EC2インスタンス等ENIレベルで送信・受信ファンクションが紐付け可
金融/ストリーミング/診断用途等複数実装例有り

10. 運用・監視（CloudWatch/FlowLogs/Network Manager）

Transit Gateway運用監視はAWSマネージドサービスの中でも高度な可視化・自動運用サポートが充実。

10.1. CloudWatchメトリクス

アタッチメント単位および2024年末よりAZ単位の詳細パフォーマンス可視化
受信/送信バイト、Packets、Blackhole・NoRouteドロップ数、アタッチメント毎メトリクス等
[CloudWatch > Metrics > TransitGateway]で詳細分析、アラート設定可能

10.2. Flow Logs

Transit Gateway Flow LogsはTGW間トラフィックの詳細な記録可能
デフォルト形式/カスタム形式（JSON等）両対応、CloudWatch Logs/S3/Firehoseに出力
各VPC-Attachment単位/全体での流量・トラフィックフロー監査、ルーティング障害分析等
マルチキャスト・Connectフローについては制約あり

10.3. Network Manager

グローバルネットワーク統合運用、Network Topologyの一括可視化
ルート変更やトポロジー変化イベント検知、モニタリング自動化

11. 設計ベストプラクティス（公式整理）

AWS公式ベストプラクティスの要点をまとめると以下の通りです。

Transit Gateway設計ベストプラクティス要約

VPCアタッチメントには必ず専用サブネット（/28小CIDR）割り当て。EC2等他リソースと混在させない
TGWサブネット関連VPCルートテーブルにはローカルのみ、ワークロード向けNACL設定で細分化可
ネットワークACLを全オープン（インバウンド/アウトバウンド）で設計
複数ルートテーブルで環境セグメント分離（本番/検証用・共有サービス用等）
VPN接続ではBGP・ECMP活用、DirectConnectでもASパス制御等推奨
ピアリング構成時はMTUの差異・非対称ルーティング注意。MTU 8500/9001バイト設定ミスマッチはPMTUDサポートを活用
リージョン間冗長構成時はAS番号重複防止、DRやセグメント化のためユニークASN設計
ファイアウォール/中間NAT配置時はアプライアンスモード有効化（AZアフィニティ）
高可用性を求める場合もTGW追加不要（標準で冗長化設計、複数リージョンでカバー）

12. 制限事項とクォータ（Limits & Quotas）

公式ドキュメントより、主な制限・クォータは次表の通りです。

項目	デフォルト制限	調整可否（AWSサポート経由）
アカウントあたりTGW数	5	可
1TGWあたりルートテーブル数	20	可
アタッチメント数	5,000	不可
ルート（動的・静的）合計	10,000	可
ピアリングアタッチメント数	50	可
VPCあたりTGW数	5	不可
Connect ピア(GREトンネル)/Attachment	4	不可（20Gbps=5Gbps×4）
AZごとのVPCアタッチメント帯域	最大100Gbps	サポート経由相談必須
VPNトンネル帯域	1.25Gbps	不可
マルチキャストドメイン数/TGW	20	可
MTUサイズ	VPC/Connect 8500B	-

代表的な設計制約

CIDR重複VPC間ルーティング不可・IPv6サブネットのみでのアタッチメント不可
静的ルートは1CIDR1ターゲットのみ
Connect Attachmentは静的ルート未サポート（BGP必須）
PMTUD (Path MTU Discovery)はVPC/Connectアタッチメント間のみサポート（VPN等は非対応）

13. 料金体系

AWS Transit Gatewayの課金体系は大別して**「時間従量課金」と「データ処理課金」**の2軸で構成されます。

13.1. Hourly（アタッチメント単位時間課金）

TGW自体の使用料（時間単位、全アタッチメントで共通）と
各VPCアタッチメントごとの追加使用料（例：東京リージョンで0.05USD/h/Attachment等）

13.2. データ処理課金

TGW経由で転送されたデータ量（1GBあたり0.02USD等、リージョンやアタッチメント種別により異なる）
Peering経由通信は、発信元側TGWのみ課金・受信側は課金無し（インバウンド無料）

13.3. 追加料金

VPNとTGW併用の場合、それぞれのサービス利用料の合算
Flow Logs出力利用時はCloudWatch/S3のストレージ課金

14. 最新アップデート情報（2024～2025）

14.1. Path MTU Discovery (PMTUD) サポート

2024年11月より、VPCピアリング/Transit Gateway間のMTUサイズ差分問題を解決するためのPMTUD（ICMPなどで適正MTU案内）に公式対応。EC2等ジャンボフレーム標準値(9001B)でもTGW側で自動検出・再送対応されるため、移行や運用負担が大幅緩和。

14.2. アプライアンスモードのAZアフィニティ強化

ファイアウォールインライン設計等のAZ認識強化。同一AZ内トラフィック経路優先の対称ルーティングが新フローに全面適用（従前はフローハッシュベースで一部例外あり）になり、パフォーマンス向上と予測可能性確保。

14.3. CloudWatchのAZ単位メトリクス拡張

2024年末リリースでアタッチメント単位だけでなくAZごとの詳細メトリクス（入出力量/Drop数/クォータ消費等）もCloudWatchで可視化可能に。大規模運用・クォータ設計最適化に有効。

15. まとめ

AWS Transit Gatewayは、現代のクラウドネットワーク要件を一元的・柔軟に満たすAWSネットワーク設計の「中核」サービスであり、その重要性・適用範囲は今後さらに拡大すると考えられます。各種アタッチメントの性質や、ルートテーブル設計・アプライアンス接続・セキュリティ制御から監視運用・コスト設計まで、“1つのTGWで多様な要求を安全に、高効率に満たす”ことができます。
特に2024-25年は、PMTUD・アプライアンスモードAZ認識・CloudWatch拡張といった実用的進化が投入されており、エンタープライズ・金融・公共領域を問わず今後も不可欠な基盤となるでしょう。

AWS公式ドキュメントでは、常に最新の利用ガイド/リファレンス/FAQ/リリース情報が公開されています。新規設計・移行・運用変更の際は必ず一次情報を確認し、自社要件に合わせて最適活用・運用設計を進めることが推奨されます。

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up

【AWS SAPro試験対策】サービス理解を深める ～ AWS Transit Gateway 編 ～