awsのvpc徹底解説｜特徴から構築手順まで完全ガイド

2025 9/27

2025/09/27

はじめに

クラウドを使い始めると、「ネットワークをどう設計すればよいか分からない」「安全に通信する方法を知りたい」といった疑問を持つことが多いのではないでしょうか。本ドキュメントは、AWSのVPC（Virtual Private Cloud）について、基礎から実践までをやさしく解説します。

目的

VPCの役割や基本概念を理解できるようにします。
日常的な設計判断や設定の全体像をつかめるようにします。

対象読者

これからAWSでインフラを触る方、クラウド初心者、運用担当者などを想定しています。専門用語はなるべく減らし、具体例を交えて説明します。

読み方のヒント

まず第2章〜第4章で基礎を固め、その後に実践的な設定手順やエンドポイントの例に進むと理解が深まります。実際の利用ケースを想定しながら読み進めてください。

AWS VPCとは何か

概要

Amazon Virtual Private Cloud（VPC）は、AWS上に自分専用の仮想ネットワークを作るサービスです。会社のオフィスや自社データセンターのように、クラウド内で閉じたネットワーク空間を設計できます。VPCの中には仮想サーバ（Amazon EC2）やデータベース（Amazon RDS）を置き、外部との接続方法やアクセス制御を細かく決められます。

なぜ使うのか（例で説明）

例えば、社内システムと同じように外部から直接触れさせたくないデータベースがあるとします。VPCを使えば、そのデータベースを外部から届かないサブネット（ネットワークの区画）に置き、必要なサーバだけが接続できるように制限できます。これにより、セキュリティを保ちながらクラウドの利便性を活かせます。

仕組みのイメージ

VPCは自分だけの“ネットワークの箱”です。箱の中でルール（アクセスの許可や経路）を決め、箱のどの部分を公開するかも選べます。公開する場合はインターネットゲートウェイを付け、非公開にする場合はプライベートサブネットに置きます。セキュリティグループやネットワークACLで細かく通信を制御できます。

歴史的背景

VPCは2011年に登場し、それ以前の共有ネットワークと比べて企業ごとに分離された環境をクラウド上で実現しました。これにより、従来の自社データセンターに近い構成を柔軟に作れるようになりました。

VPCの主な特徴・できること

ネットワークの完全制御

VPCではIPアドレス範囲、サブネット、ルートテーブル、インターネット/ナットゲートウェイ、セキュリティグループなどを自分で設定できます。たとえばWebサーバーをパブリックサブネット、データベースをプライベートサブネットに置いて外部と内部を分離できます。

リソースの分離とセキュリティ

VPCは他のユーザー環境と論理的に分離されます。セキュリティグループやネットワークACLで通信を細かく制御できるため、不要なアクセスを防げます。例：管理用IPだけを許可して運用管理を安全に行う。

サービス間・クラウド間接続

VPCピアリング、VPN接続、AWS Direct Connectなどで別VPCやオンプレミスと接続できます。これにより、社内システムとクラウドをシームレスに連携できます。

デフォルトVPC

多くの新しいAWSアカウントにはデフォルトVPCが用意され、すぐにインスタンスを起動して試せます。初心者はまずデフォルトVPCで学び、慣れたら専用VPCを設計するとよいです。

VPCの構成要素

サブネット

VPC内のIPアドレス空間を小分けにしたものです。アベイラビリティゾーン（AZ）ごとに作り、公開用（Webサーバー）と非公開用（データベース）のように用途で分けます。例：公開サブネットにはインターネットからのアクセスを許可し、非公開サブネットは内部通信だけにします。

ルートテーブル

どこへ通信を送るかを決める表です。サブネットごとに関連付けます。例えば「全ての宛先はインターネットゲートウェイへ送る」と設定すれば、そのサブネットはインターネットに出られます。内部向けはVPC内のルートを指定します。

インターネットゲートウェイ

VPCとインターネットの出入口です。これをVPCに接続すると、ルート設定によりサブネットからインターネットへ出られます。公開サービスを提供したいときに利用します。

セキュリティグループ／ネットワークACL

セキュリティグループはインスタンス単位のファイアウォールで、状態を保持します（例：SSHを自分のIPだけ許可）。ネットワークACLはサブネット単位で動く簡易なルールで、送受信それぞれ別に評価します（例：特定のIPレンジを拒否）。

VPCエンドポイント

AWSのサービスへインターネットを経由せず接続する仕組みです。Session Managerで管理する場合、SSMなどへのプライベート接続が必要になることがあります。セキュリティと通信経路の簡素化に役立ちます。

VPCとVPNの違い

概要

VPC（Virtual Private Cloud）は、AWS上に作るお客様専用の仮想ネットワーク空間です。サーバーやデータベースをその中に配置して、ネットワークの範囲やルーティングを管理します。一方、VPNは社内ネットワークなど外部の環境とVPCを安全に接続するための暗号化された“トンネル”です。

主な違い（役割・使い方）

役割：VPCは“住まい”を提供します。VPNはその住まいと外の世界をつなぐ“安全な道”です。
接続先：VPCはAWS内部のリソース同士をつなぎます。VPNはオンプレミス（社内）や個人端末とVPCをつなぎます。
セキュリティ：VPC内ではサブネットやセキュリティグループでアクセス制御します。VPNは通信を暗号化し、外部からの盗聴を防ぎます。

利用例

社内からAWS上のデータベースに安全に接続したい時は、VPCにVPNを張ります。
公開サーバーだけをインターネットに出す一方、管理用サーバーはVPC内に閉じるといった設計が可能です。

設計時のポイント

通信経路とセキュリティを分けて考えます。まずVPCで内部の設計を決め、外部接続が必要ならVPNを追加します。
帯域や遅延、運用負荷も確認してください。VPNは暗号化処理で若干の遅延が生じます。

社内ネットワークとVPCを安全につなぎたい場合は、VPCにVPN接続を構築して利用するのが一般的です。

VPCのメリットと注意点

メリット

ネットワーク設計の自由度が高い：CIDRやサブネットを自分で決められます。例えば、公開用と非公開（管理用）でサブネットを分けることで公開範囲を限定できます。
セキュリティ強化が可能：セキュリティグループやネットワークACLで細かな通信制御ができます。管理用はインターネット非公開にしてアクセスを限定するなどの運用がしやすいです。
他サービスや外部との連携が柔軟：VPCピアリング、VPN、Direct Connectを使えばオンプレ環境や別のVPCと安全に接続できます。

注意点

設計・設定ミスのリスク：セキュリティグループを緩めすぎると外部から侵入される可能性があります。ルート設定の誤りで通信が止まる事例もあります。
ネットワークの基礎知識が必要：CIDR設計やサブネット分割、ルーティングの理解がないと運用で困ります。CIDRの重複はVPNやピア接続で問題になります。
運用負荷：ログ収集や監視、変更管理を怠るとトラブルの発見が遅れます。

対策の例

事前にネットワーク図を作成し、CIDRやサブネットを決める。テスト環境で検証する。
最小権限の原則でセキュリティグループを設定し、ログ（VPC Flow Logs）で通信を監視する。
インフラはIaCで管理し、変更は段階的に行う。

VPCの設定・構築手順の概要

前提

AWSアカウントにログインし、VPCサービスを開きます。目的（ウェブ公開、社内向けなど）を決めます。

手順（概要）

VPC作成：CIDRを指定（例：10.0.0.0/16）。
サブネット作成：パブリック／プライベートに分け、可用性ゾーンを指定します（例：10.0.1.0/24）。
ルートテーブル設定：パブリックはインターネットゲートウェイへルートを追加します。プライベートは必要に応じてNATへ向けます。
インターネットゲートウェイ（IGW）追加：外部接続が必要な場合にアタッチします。
VPCエンドポイント／VPN：S3やDynamoDB用のエンドポイントやオンプレ接続が必要なら設定します。
セキュリティ設定：セキュリティグループとネットワークACLでトラフィックを制御します。

設定時のポイント

IP重複を避ける。オンプレと接続する場合は事前確認します。
サブネットは役割ごとに分け、必要最小限の権限で通信を許可します。

テストと運用

作成後はEC2を配置して疎通確認（pingやHTTP）。ログや監査を有効にし、定期的に設定を見直します。

VPCエンドポイントの設定例（Session Manager利用時）

概要

VPCエンドポイントを作成し、Systems ManagerがVPC内からアクセスできるようにします。指定するサービスは主に
– ssm..amazonaws.com
– ssmmessages..amazonaws.com
– （必要に応じて）ec2messages..amazonaws.com
です。regionは利用中のリージョン名に置き換えてください。

手順（簡潔）

VPCを選択：マネージドノード（EC2やオンプレ接続）の属するVPCを選びます。
エンドポイント作成：タイプは「Interface」を選び、上記サービスをそれぞれ追加します。
サブネットとSG：各エンドポイントにプライベートサブネットを割り当て、エンドポイント用のセキュリティグループでHTTPS(443)の通信を許可します。インスタンスからのアウトバウンドを許可しておきます。
プライベートDNS：エンドポイントの「Enable Private DNS」を有効にすると、標準のサービス名で解決されます。
ネットワーク設定確認：ネットワークACLやルートテーブルがエンドポイントENIへの通信を遮断していないか確認します。
IAMロール：インスタンスに必要なSSMの権限を持つインスタンスプロファイルをアタッチします。