変更要約: 軸B網羅: ガバナンス/セキュリティ/EUC 関連サービスのカタログ節(s4)を追加
1.3マルチアカウント・ハイブリッドネットワーク
大規模ネットワーク接続——Transit Gateway、VPC ピアリング、PrivateLink、Direct Connect、Site-to-Site VPN、Route 53 Resolver——を理解します。多数の VPC とオンプレミスを効率よく相互接続します。
VPC が増えるとピアリングのフルメッシュは破綻します。Transit Gateway をハブにして多数の VPC とオンプレミスをスター型に接続します。
1.3.1接続方式の選択
- Transit Gateway：多数の VPC とオンプレミスをハブ&スポークで接続。ピアリングのフルメッシュを解消する。
- VPC ピアリング：2 つの VPC を1 対 1で接続（推移的ルーティング不可）。少数なら簡潔。
- PrivateLink：サービスをプライベート IP（インターフェイスエンドポイント）で公開し、VPC をまたいで安全に利用させる。
- Direct Connect / VPN：オンプレ接続。Direct Connect=専用線（低遅延/安定）、Site-to-Site VPN=暗号化（短期/バックアップ）。両者の併用が定石。
「多数 VPC/オンプレのハブ接続＝Transit Gateway」「2 VPC を 1 対 1＝ピアリング（推移不可）」「サービスをプライベート公開＝PrivateLink」「専用線＝Direct Connect、暗号化/バックアップ＝VPN」 は SAP-C02 で頻出です。Direct Connect 障害時のバックアップに Site-to-Site VPN を併用する設計が定番です。
VPC ピアリングは推移的ルーティングをサポートしません（A-B、B-C があっても A-C は通れません）。多数 VPC の相互接続では Transit Gateway を使います。
接続は規模と要件で選びます。少数の 1:1 は VPC ピアリング（非推移・低コスト・同一/異リージョン可）、多数 VPC＋オンプレは Transit Gateway（ハブ＆スポーク・ルートテーブルで分離・ピアリングアタッチメントでリージョン間・帯域はアタッチメント単位）。サービスを「提供」する向きの片方向公開は PrivateLink（NLB の背後を エンドポイントサービスとして公開し、消費側は インターフェイスエンドポイント＝重複 CIDR でも可・一方向）。オンプレは Direct Connect（専用線・低遅延/安定・Public/Private/Transit VIF・複数で冗長や LAG）を主、Site-to-Site VPN をバックアップに（IPsec・即時・安価）。VPN を Direct Connect 上に張る Direct Connect 上の VPN で暗号化＋専用線の両立も可能。DNS は Route 53 Resolver（インバウンド/アウトバウンドエンドポイント＋転送ルール）でオンプレ⇔VPC の名前解決を相互化。大規模は「TGW をネットワークアカウントに置き RAM で各アカウントに共有」「DX＋VPN フェイルオーバー」「重複 CIDR は PrivateLink/プライベート NAT で回避」が定番です。
| 要件 | 選ぶもの | 特徴 |
|---|---|---|
| 多数 VPC＋オンプレ | Transit Gateway | ハブ&スポーク・ルートテーブルで分離 |
| 2 VPC を 1:1 | VPC ピアリング | 非推移・低コスト |
| サービスをプライベート提供 | PrivateLink | 一方向・重複 CIDR 可 |
| オンプレ専用線 | Direct Connect（＋VPN） | 低遅延/安定・VPN でバックアップ |
シナリオ： ネットワークアカウントに Transit Gateway を集約し、20 個の VPC と 2 拠点のオンプレを接続。オンプレは専用線を主、障害時は暗号化経路に切替えたい。→ TGW をネットワークアカウントに作成し AWS RAM で各アカウントへ共有、各 VPC をアタッチ。オンプレは Direct Connect（Transit VIF）を主回線、Site-to-Site VPN をバックアップにし、BGP で自動フェイルオーバーします。
FAQ： Q. 重複した CIDR を持つ VPC 同士をつなぐには？ → A. ピアリング/TGW は重複 CIDR 不可。サービス提供だけなら PrivateLink（重複可・一方向）か、プライベート NAT で回避します。Q. Direct Connect だけで十分？ → A. 単一だと障害時に断。Site-to-Site VPN を併用してフェイルオーバーするのが定番です。
ひっかけ： 「重複 CIDR の VPC でも Transit Gateway なら相互ルーティングできる」は誤りです。TGW/ピアリングは重複 CIDR を扱えません（PrivateLink やプライベート NAT で回避）。また「Direct Connect は暗号化された専用線」も誤り（DX 自体は暗号化されない＝必要なら MACsec や VPN over DX を併用）。
1.3.2この節のまとめ
- 多数接続＝Transit Gateway（ハブ&スポーク）／少数＝ピアリング
- オンプレ＝Direct Connect（専用線）＋VPN（バックアップ）／私的公開＝PrivateLink
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 50 個の VPC と複数のオンプレミス拠点を相互接続したい。ピアリングのフルメッシュを避ける最適なサービスはどれですか？
Q2. 自社の SaaS を、顧客の VPC からインターネットを経由せずプライベートに利用させたい。何を使いますか？
Q3. オンプレミスと AWS の間で、低遅延で安定した専用線接続を主回線、暗号化 VPN をバックアップにしたい。主回線に使うのはどれですか？