変更要約: in-scope サービス網羅: §4.3 に他カテゴリ概観(API Gateway/Global Accelerator/PrivateLink/Transit Gateway/Client VPN/EventBridge/SNS/SQS/Step Functions/SES/Amplify/AppSync/IoT Core/WorkSpaces/AppStream/DocumentDB/SageMaker AI/CLI/CodeBuild/CodePipeline/X-Ray)＋移行と転送(Migration Hub/Discovery/Evaluator/MGN/DMS/SCT/Snow Family)の節を追加
4.1ネットワークサービス
AWS のネットワーク——仮想ネットワークの VPC とサブネット、セキュリティグループ、DNS の Route 53、コンテンツ配信の CloudFront——の基本を理解します。
AWS 上のリソースも、互いに、そして外部と安全につながる必要があります。その土台が VPC（Virtual Private Cloud）——AWS 内に作る自分専用のプライベートネットワークです。VPC をサブネットで区切り、セキュリティグループで通信を制御し、必要に応じてオンプレと接続します。あわせて、名前解決の Route 53 とコンテンツ配信の CloudFront を押さえます。
4.1.1VPC・サブネット・ファイアウォール
- VPC：AWS 内に作るプライベートなネットワーク。アドレス範囲を持ち、リソースを安全に配置する。
- サブネット：VPC を区切る。パブリックサブネット（インターネットゲートウェイ経由で外部接続・Web等）とプライベートサブネット（直接は接続しない・DB等）に分ける。
- セキュリティグループ：インスタンス単位の仮想ファイアウォール。ステートフル（戻り通信は自動許可）、許可ルールのみ。
- ネットワークACL（NACL）：サブネット単位のファイアウォール。ステートレスで、許可と拒否の両方を書ける。
| 観点 | セキュリティグループ | ネットワークACL |
|---|---|---|
| 適用範囲 | インスタンス（ENI）単位 | サブネット単位 |
| 状態 | ステートフル | ステートレス |
| ルール | 許可のみ | 許可と拒否 |
4.1.2オンプレミスとの接続
VPC を社内ネットワークとつなぐ方法も押さえましょう。AWS Site-to-Site VPN はインターネット経由の暗号化接続、AWS Direct Connect は専用線でインターネットを通さず一貫した低遅延・広帯域を提供します（前資格の VPN Gateway / ExpressRoute に対応）。
4.1.3DNS とコンテンツ配信
- Amazon Route 53：DNS（ドメイン名の解決）とドメイン登録のサービス。ヘルスチェックやルーティングポリシーも持つ。
- Amazon CloudFront：CDN。エッジロケーションでコンテンツをキャッシュし、ユーザーへ低遅延で配信。負荷軽減とセキュリティ（前段）にも寄与。
シナリオ：3層Webアプリ。 Web サーバーはパブリックサブネット、DB はプライベートサブネットに置き、DBには Web 層からのみ届くようセキュリティグループを設定。ドメインは Route 53 で解決し、静的コンテンツは CloudFront で世界に低遅延配信。社内システムへは Direct Connect。層ごとに公開範囲を分けます。
混同に注意：
①セキュリティグループ（インスタンス単位・ステートフル・許可のみ）とNACL（サブネット単位・ステートレス・許可/拒否）。
②Route 53＝DNSとCloudFront＝CDNは役割が別。
③Site-to-Site VPN（インターネット経由）とDirect Connect（専用線）。
VPC＝AWS内のプライベートネットワーク／サブネット＝公・私で分割／セキュリティグループ＝インスタンス単位の仮想FW／NACL＝サブネット単位／Route 53＝DNS／CloudFront＝CDN／Direct Connect＝専用線 は頻出です。
4.1.4この節のまとめ
- VPC（プライベートNW）をサブネット（公/私）で分け、セキュリティグループ/NACLで通信を制御
- オンプレ接続：Site-to-Site VPN（インターネット）／Direct Connect（専用線）
- Route 53＝DNS、CloudFront＝CDN（エッジでキャッシュ配信）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. AWS 内に作る、リソースを配置するためのプライベートネットワークはどれですか？
Q2. ドメイン名を IP に解決する（DNS）AWS のサービスはどれですか？
Q3. エッジロケーションでコンテンツをキャッシュし、低遅延で配信する CDN はどれですか？
Q4. インスタンス単位で動作し、ステートフルで「許可ルールのみ」を持つ仮想ファイアウォールはどれですか？
Q5. インターネットを経由しない専用線でオンプレミスと AWS をつなぐサービスはどれですか？