CLF / ドメイン3 クラウドテクノロジーとサービス

重要な内容

Amazon VPC (Virtual Private Cloud)

は、AWSクラウドの中に自分専用の仮想ネットワークを作るサービスです。 作成したネットワークは他の利用者から論理的に分離されており、その中に インスタンスやデータベースなどのリソースを配置します。

CLF では、VPC を構成する要素（、ゲートウェイ、）の役割と、「どの通信要件にどの機能を選ぶか」を判断できることが重要です。

Point
  • VPC = Virtual Private Cloud（仮想プライベートクラウド） の略です。
  • Virtual（仮想の）+ Private（私的な・専用の）+ Cloud（クラウド） で、「クラウド内に作る自分専用の仮想ネットワーク」と覚えます。
  • 和訳

概要

は、自社のデータセンターで運用する従来のネットワークによく似た仮想ネットワークです。 サーバーやケーブルを購入せずに、ネットワークの範囲、区画、外部との接続方法を自分で定義できます。 AWSアカウントには各にデフォルトVPCが用意されており、すぐに インスタンスを起動して接続できます。

VPC の中はという区画に分割し、そこへリソースを配置します。 インターネットとの出入口にはゲートウェイを置き、通信をどこへ送るかはで決めます。

概要の図 VPC インターネット IGW パブリックサブネットWebサーバーなど プライベートサブネットデータベースなど

VPC 自体の利用に追加料金はかかりませんが、など一部のコンポーネントには料金が発生します。

試験では、との違い、通信の出入口となるゲートウェイの選択、との接続方法を判断します。

主要技術

①VPCとCIDR

はを選んで作成し、そのリージョン内の複数の（AZ）にまたがります。 作成するときは、その VPC で使う アドレスの範囲を ブロック（例: 10.0.0.0/16）で指定します。 この範囲をさらに小さく区切ったものがです。

CLF では CIDR の細かい計算は問われません。 「VPC は IP アドレスの範囲を持つ」「その範囲をサブネットに分割して使う」という関係を押さえれば十分です。

Point
  • CIDR = Classless Inter-Domain Routing の略で、「サイダー」と読みます。
  • 10.0.0.0/16 のように「先頭アドレス/ビット数」で IP アドレスの範囲を表す記法です。
  • / の後ろの数字が大きいほど範囲は狭くなります（/24 は /16 より狭い範囲です）。
  • 和訳

②サブネット（パブリックとプライベート） ⚠️ 頻出

は、 内の アドレス範囲を区切った区画で、リソースを配置する場所です。 1つのサブネットは必ず1つの の中に収まり、複数の AZ をまたぐことはできません。 複数の AZ にサブネットを分けてリソースを配置すると、1つの AZ の障害に備えられます。

パブリックかプライベートかは、サブネットの設定項目ではなく、後述するの内容で決まります。

サブネットの種類特徴判断ポイント
へのルートを持ちます。Webサーバーなど、インターネットから直接アクセスされるリソースを置きます。
インターネットゲートウェイへの直接のルートを持ちません。データベースなど、インターネットに公開しないリソースを置きます。

⚠️ 頻出: 「データベースをインターネットから直接アクセスできない場所に配置したい」という要件は、プライベートサブネットが答えになります。

③インターネットゲートウェイとNATゲートウェイ ⚠️ 頻出

どちらもインターネット向けの通信に関わりますが、通信の方向が異なります。

機能役割判断ポイント
とインターネットの間の双方向通信の出入口です。VPC にアタッチして使います。「VPC をインターネットに接続する」「外部からアクセスされるサーバーを公開する」で選びます。
のリソースが、外向きにインターネットへ通信するための仕組みです。「プライベートサブネットからインターネットへ」で選びます。インターネット側から接続を開始することはできません。

NATゲートウェイはに配置し、プライベートサブネットからの通信をインターネットゲートウェイ経由で外へ送ります。 なお、2025年に加わった単位の NATゲートウェイ（リージョナルモード）は、パブリックサブネットを用意せずに VPC へ作成でき、ワークロードのある へ自動で広がります。どちらのモードでも、外部から接続を開始できない点は同じです。

③インターネットゲートウェイとNATゲートウェイ ⚠️ 頻出の図 VPC インターネット パブリックサブネットWebサーバー プライベートサブネットアプリ・DBサーバー NATゲートウェイパブリックサブネットに配置 インターネットゲートウェイ

NATゲートウェイは AWS が管理するで、利用時間や処理したデータ量に応じて料金が発生します。

Point
  • NAT = Network Address Translation（ネットワークアドレス変換） の略です。
  • プライベートIPアドレスを NATゲートウェイのアドレスに変換して外へ出す仕組みです。
  • 「外へは出られるが、外からは入れない一方通行の出口」のイメージで覚えます。
  • 和訳

⚠️ 頻出: 「プライベートサブネットのインスタンスが の更新プログラムをダウンロードしたい」は NATゲートウェイ、「VPC 内のサーバーをインターネットに公開したい」はインターネットゲートウェイとパブリックサブネットの組み合わせです。

④ルートテーブル

は、から出る通信を宛先に応じてどこへ送るかを決める経路表です。 各サブネットは必ず1つのルートテーブルに関連付けられ、何も指定しなければ のメインルートテーブルが使われます。

典型的なルートの例は次のとおりです。

宛先ターゲット意味
VPC の （例: 10.0.0.0/16）localVPC 内の通信です。すべてのルートテーブルに含まれます。
0.0.0.0/0（すべての宛先）このルートを持つサブネットがです。
0.0.0.0/0（すべての宛先）から外向きにインターネットへ通信します。

ルートテーブルは通信の経路を決めるだけで、通信を許可するかどうかは判断しません。 許可・拒否の制御は、次のとの役割です。

⑤セキュリティグループとネットワークACL

内の通信を制御する2種類の仮想ファイアウォールです。 詳細は別Page「と」で説明しているため、ここでは判断に必要な要点だけを整理します。

比較項目セキュリティグループネットワークACL
適用単位 などのリソース単位単位
状態（戻り通信を自動許可）（往路と復路を別々に許可）
ルール許可のみ許可と拒否
主な用途個々のリソースへの細かなアクセス制御サブネット全体の追加防御、特定通信の拒否

⚠️ 頻出: 「特定の アドレス範囲を明示的に拒否したい」はネットワークACL、「リソース単位で必要な通信だけを許可したい」はセキュリティグループです。

⑥VPCピアリングとVPCエンドポイント

の外にある相手と、インターネットを経由せずにプライベートに通信するための機能です。 接続する相手が「別の VPC」なのか「AWS のサービス」なのかで使い分けます。

機能用途判断ポイント
2つの VPC 間をプライベートで接続します。「VPC 同士を接続したい」で選びます。多数の VPC をまとめて接続する場合は を検討します。
VPC（ゲートウェイ型） と へ、や を経由せずにアクセスします。「S3 や DynamoDB へインターネットを経由せずアクセス」で選びます。
VPCエンドポイント（インターフェイス型） を利用して、多くの AWS サービスや他社のサービスへプライベートに接続します。「S3・DynamoDB 以外のサービスへのプライベート接続」で選びます。

VPCエンドポイントを使う通信は AWS のネットワーク内で完結し、パブリックなインターネットを通りません。 料金の考え方も異なります。ゲートウェイ型の VPCエンドポイントには追加料金がかかりません。インターフェイス型は、エンドポイントの時間と処理したデータ量に応じて課金されます。 から同じの S3 へ大量のデータを 経由で送ると、NATゲートウェイのデータ処理料金がかさみます。ゲートウェイ型のエンドポイントへ経路を切り替えると、この料金をなくせます。

Point
  • Peering（ピアリング） は「対等接続」という意味です。Peer は「対等な相手・仲間」を指します。
  • Endpoint（エンドポイント） は「接続の終点」という意味で、VPC の中に作る AWS サービスへの専用入口のイメージです。
  • ゲートウェイ型の対象は S3 と DynamoDB の2つ、それ以外はインターフェイス型（PrivateLink）と覚えます。
  • 和訳

⑦ハイブリッド接続（Site-to-Site VPNとDirect Connect）

のネットワークと を接続し、ハイブリッド環境を構成する代表的な方法は2つあります。

接続方法仕組み判断ポイント
インターネット経由で、 により暗号化された 接続を確立します。短期間・低コストで接続したい場合に選びます。通信品質はインターネットの状況に左右されます。
専用線でオンプレミスと AWS を物理的に接続します。インターネットを経由しません。安定した帯域幅と一貫したネットワーク性能が必要な場合に選びます。開通までに時間がかかります。

Site-to-Site VPN では、AWS 側の接続点として仮想プライベートゲートウェイ（または ）を使い、オンプレミス側の機器をカスタマーゲートウェイとして登録します。

Point
  • Site-to-Site（サイト間） は「拠点と拠点をつなぐ」という意味です。オンプレミス拠点と AWS を VPN でつなぎます。
  • Direct Connect は「直接接続」という意味で、専用線で AWS へ直結するサービスです。
  • 「VPN = インターネット経由・暗号化・すぐ使える」「Direct Connect = 専用線・経由しない・安定」とセットで覚えます。
  • 和訳

⚠️ 頻出: 「専用線」「一貫したネットワークパフォーマンス」というキーワードは Direct Connect、「暗号化された接続をすばやく低コストで確立」は Site-to-Site VPN です。

試験対策

CLF の問題では、まず「どこからどこへの通信か」を確認します。 インターネットとの出入りか、 同士か、AWS サービスへの接続か、との接続かを整理すると、選ぶ機能が絞れます。

問題文のキーワード優先して考える機能理由
VPC をインターネットに接続VPC とインターネットの双方向の出入口です。
からインターネットへ（外向きのみ）外向き通信だけを通し、外部から接続を開始できません。
インターネットに公開するサーバーの配置場所インターネットゲートウェイへのルートを持ちます。
データベースを外部非公開の場所に配置プライベートサブネットインターネットゲートウェイへの直接ルートがありません。
通信をどこへ送るかを制御宛先に応じた経路を決定します。
リソース単位で通信を許可で許可ルールのみ設定します。
単位で特定通信を拒否拒否ルールを設定できます。
2つの VPC 間をプライベートに接続プライベートで相互通信できます。
へインターネットを経由せずアクセスVPC（ゲートウェイ型）通信が AWS ネットワーク内で完結します。
専用線でオンプレミスと接続インターネットを経由しない物理接続です。
暗号化された接続をすばやく低コストで構築インターネット経由の です。
VPC 内の通信記録を取得VPC フローログネットワークインターフェイスを出入りする IP 通信の送信元・宛先・ポート・許可か拒否かを記録し、 Logs や S3 へ配信します。

よくある誤答のパターンは次の3つです。

  • インターネットゲートウェイと NATゲートウェイの混同です。NATゲートウェイは「プライベートサブネットからの外向き通信」専用で、外部にサーバーを公開する機能ではありません。
  • VPCピアリング（VPC 同士の接続）と VPCエンドポイント（VPC から AWS サービスへの接続）の混同です。接続する相手が何かを確認します。
  • Site-to-Site VPN と Direct Connect の混同です。「インターネット経由か専用線か」「すぐ使えるか安定性重視か」で判断します。

参考文献

  1. ※1出題比率: AWS 公式の試験ガイドに記載された、採点対象の設問のうちその分野が占める割合です。

検索

キーワードを入力してください