はじめに
AWSの勉強を兼ねて、WebアプリケーションをAWS上に構築する備忘録です。
今回はインフラ構築の最初のステップとして、AWS Cloud Development Kit（AWS CDK）を使って以下の構成を作成しました。
- VPC
- Private Isolated Subnet × 2
- 2つのAvailability Zoneを使用
- NAT Gatewayなし
VPCとは
まず、VPCの概要についてです。
Virtual Private Cloud（VPC）は、AWS上に作成できる仮想ネットワークです。
AWS上でEC2やRelational Database Service（RDS）などのリソースを利用する際に、どのネットワークに配置し、どのような通信を許可するかを設計するための土台となります。
VPCを作成する際には、VPC内で使用するIPアドレスの範囲をClassless Inter-Domain Routing（CIDR）形式で指定します。
今回作成するVPCでは、以下のCIDRを設定しました。
10.0.0.0/16
VPCの中には、さらにネットワークを分割したSubnet（サブネット）を作成できます。
VPCが「AWS上に作る大きなネットワークの枠」だとすると、Subnetは「VPCの中を用途ごとに分割したネットワーク」と考えるのが分かりやすいです。
Default VPCとの違い
AWSでは、各リージョンにDefault VPCが用意されています。ただし、Default VPCは削除することもできるため、必ず存在するとは限りません。
今回はこのDefault VPCを変更せず、アプリケーション専用のVPCを新しく作成します。
AWSアカウント
└─ 東京リージョン（ap-northeast-1）
│
├─ Default VPC
│ 172.31.0.0/16
│
│ ├─ Public Subnet
│ ├─ Public Subnet
│ └─ Public Subnet
│
│ ※ AWSによって用意された既存VPC
│
└─ 今回作成したVPC
sesame-admin-vpc
10.0.0.0/16
│
├─ Availability Zone 1
│ └─ Private Isolated Subnet
│
└─ Availability Zone 2
└─ Private Isolated Subnet
↓
RDSなどを配置することを想定
Default VPCは、AWSをすぐに利用開始できるよう、あらかじめ用意されたVPCです。
一方、今回作成するsesame-admin-vpcは、このアプリケーション用にネットワーク構成を自分で定義したVPCです。
今回の構成では、Default VPCはそのまま残し、別のCIDRで新しいVPCを作成しています。
Default VPC : 172.31.0.0/16
sesame-admin-vpc : 10.0.0.0/16
Default VPCを直接変更することなく、アプリケーション専用のネットワーク環境を構築できます。
また、それぞれのVPCは独立した仮想ネットワークとして分離されているため、基本的にVPC同士が直接通信することはありません。
そのため、今回新しくVPCを作成しても、既存のDefault VPCとは分離されたネットワークとして利用できます。
Availability Zone（AZ）とは
次に、今回2つ使用するAvailability Zone（AZ）についてです。
AZは、AWSの各リージョン内に存在する、1つ以上の独立したデータセンターで構成された区画です。
今回使用している東京リージョン（ap-northeast-1）にも、複数のAZが存在します。
東京リージョン（ap-northeast-1）
│
├─ AZ
│ └─ Subnet
│
├─ AZ
│ └─ Subnet
│
└─ AZ
└─ Subnet
AZはそれぞれ物理的に分離されています。
そのため、複数のAZを利用することで、1つのAZで障害が発生した場合でも別のAZを利用できるような、可用性を考慮した構成を取ることができます。
今回の構成では、2つのAZを利用し、それぞれにPrivate Isolated Subnetを1つずつ作成しています。
VPC 10.0.0.0/16
│
├─ AZ 1
│ └─ Private Isolated Subnet
│
└─ AZ 2
└─ Private Isolated Subnet
Private Isolated Subnetとは
Subnetは、VPCのIPアドレス範囲をさらに分割したネットワークです。
AWS CDKでは、用途に応じてPublic Subnet、Private Subnet、Private Isolated Subnetなどを指定できます。
今回使用するPrivate Isolated Subnetは、Internet GatewayやNAT Gatewayを経由してインターネットへアクセスするためのルートを持たないSubnetです。
大まかな違いは以下のようになります。
| 種類 | インターネットへの通信 | 主な用途 |
|---|---|---|
| Public Subnet | Internet Gateway経由で可能 | ALBなど、外部との通信が必要なリソース |
| Private Subnet | NAT Gatewayなどを経由して可能 | アプリケーションサーバーなど |
| Private Isolated Subnet | インターネットへのルートなし | RDSなど、インターネットへの接続を必要としないリソース |
今回のWebアプリケーションでは、後ほどRDSを構築し、データベースエンジンとしてPostgreSQLを利用する予定です。
データベースをインターネットへ直接公開する必要はないため、RDSを配置するSubnetとしてPrivate Isolated Subnetを利用する構成としました。
NAT Gatewayとは
ここまでの説明でNAT Gatewayという言葉が出てきましたが、NAT GatewayはPrivate Subnet内のリソースからインターネットへ通信するために利用できるAWSのサービスです。
例えば、Private Subnetに配置したEC2からOSのアップデートやパッケージのダウンロードなどを行う場合、インターネットへの通信が必要になることがあります。
そのような場合に、NAT Gatewayを経由してインターネットへアクセスする構成を取ることができます。
VPC
│
├─ Public Subnet
│ └─ NAT Gateway
│ │
│ ↓
│ Internet Gateway
│ │
│ ↓
│ Internet
│
└─ Private Subnet
└─ EC2
│
└────→ NAT Gateway
イメージとしては、NAT GatewayがPrivate Subnetからインターネットへ通信するための「出口」のような役割を持っています。
ただし、インターネット側からNAT Gatewayを経由してPrivate Subnet内のリソースへ直接接続するための仕組みではありません。
今回使用しているPrivate Isolated Subnetは、NAT Gatewayなどを経由したインターネットへのルートを持たないSubnetです。
今回はRDSを配置することを想定しており、インターネットへ直接通信するための経路を必要としないため、NAT Gatewayを作成していません。
今回の構成
VPC
│
├─ AZ 1
│ └─ Private Isolated Subnet
│ └─ RDS用
│
└─ AZ 2
└─ Private Isolated Subnet
└─ RDS用
NAT Gateway：なし
インターネットへのルート：なし
また、NAT Gatewayは作成して稼働させると料金が発生します。
今回はインターネットへの通信経路を必要としない構成のため、不要なNAT Gatewayを作成しないことで構成をシンプルにし、コストも抑えています。
なぜPrivate Isolated Subnetを2つ作るのか
今回Private Isolated Subnetを2つ作成しているのは、PostgreSQLを2台構築するためではありません。
RDSで使用するDB Subnet Groupでは、複数のAZにまたがるSubnetを指定する必要があります。
そのため、今回は2つのAZにそれぞれPrivate Isolated Subnetを作成しています。
VPC
│
├─ AZ 1
│ └─ Private Isolated Subnet A ─┐
│ │
└─ AZ 2 ├─ DB Subnet Group
└─ Private Isolated Subnet B ─┘
│
└─ RDS
つまり、今回の構成は以下のような関係になります。
Private Isolated Subnet × 2
↓
異なる2つのAZに配置
↓
DB Subnet Groupとして利用
↓
RDSを配置
最初、自分もなぜSubnetが2つあるのか分からなかったのですが、Subnetが2つあるからといって、RDSが必ず2台作成されるわけではありません。
今回は、後ほどRDSを構築することを想定して、あらかじめ2つのAZにPrivate Isolated Subnetを用意しています。
以上が、今回構築するVPCやSubnetなどの概要になります。
今回は、VPC、Availability Zone、Private Isolated Subnet、NAT Gatewayについて、それぞれの役割と今回この構成にした理由を整理しました。
パート2では、AWS CDKを使って実際にVPCとPrivate Isolated Subnetを構築していきます。
関連記事