第5章 · ネットワークの管理と運用·v2.1.0·更新 2026/6/14·読了目安 約11分
変更要約: in-scope サービス網羅: 運用/通知/ガバナンス(EventBridge/SNS/SQS/Health Dashboard/Trusted Advisor/Well-Architected/Management Console/Control Tower)を追加
5.1VPC フローログによる可視化
この節の要点
通信を見える化する——VPC フローログ、取得対象（VPC/サブネット/ENI）、ACCEPT/REJECT、出力先（CloudWatch/S3）、トラフィックミラーリングとの違い——を理解します。
VPC フローログは、ネットワークインターフェース（ENI）を通過する通信のメタデータ（送信元/宛先 IP・ポート・許可/拒否など）を記録します。中身（パケット本体）は記録しません。
5.1.1取得対象と出力先
- 取得対象：VPC・サブネット・ENI の単位で有効化できる。ACCEPT と REJECT の両方を記録可能。
- 記録内容：送信元/宛先 IP・ポート・プロトコル・バイト数・許可/拒否などのメタデータ。
- 出力先：CloudWatch Logs（アラーム/Logs Insights）または S3（Athena でクエリ）。
- パケット本体が必要なら：フローログでは不可。トラフィックミラーリングで実パケットを取得する。
試験ポイント
「許可/拒否されたトラフィックの可視化＝VPC フローログ（メタデータ）」「パケットの中身＝トラフィックミラーリング」「出力は CloudWatch Logs か S3（Athena）」 は ANS-C01 で頻出です。フローログはパケット内容を含まない点が頻出の引っかけです。