Amazon DOP-C02: ネットワーキングとコンテンツ配信 — 学習ガイド

By Laurynas Brazys · 4 August 2026 · #amazon #dop-c02 #certification #exam-prep #study-guide

こちらの一部です： AWS DevOps Engineer Professional DOP-C02 — 学習ガイド. 検証済みの解答で練習： Amazon試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

AWSのネットワーキングとコンテンツ配信は、VPCの基本的な構成要素、マルチアカウントやハイブリッドトポロジーのための相互接続の選択肢、そしてアプリケーションをグローバルにフロントし、保護し、高速化するエッジサービスに及びます。これを習得するには、VPC内でのパケットの移動（サブネット、ルートテーブル、ゲートウェイ、フィルタリング）、VPCとオンプレミスネットワークの相互接続方法（ピアリング、Transit Gateway、PrivateLink、Direct Connect、VPN）、そしてエッジでのトラフィックの分散と保護の方法（CloudFront、AWS WAF、AWS Global Accelerator）を理解する必要があります。その後、Amazon API Gatewayなどのアプリケーションエントリポイントが、カスタムドメイン、証明書、エンドポイントタイプを通じてこれらの基本要素と統合されます。

VPCアーキテクチャとセキュリティコントロール

VPCは、リージョン単位の論理的に分離されたネットワークであり、各アベイラビリティーゾーンに1つ以上のサブネットを持ちます。サブネットは、耐障害ドメインと機能に沿って設計します。例えば、インターネット向けロードバランサーやNATゲートウェイ用のパブリックサブネット、EC2/ECS/EKSノード用のプライベートアプリケーションサブネット、データベース用のプライベートデータサブネットなどです。サブネットタイプごとに異なるルートテーブルを割り当てることで、意図を明確にし、ゾーンごとのエグレス設計をサポートします。

インターネット接続は、VPCレベルでアタッチされたインターネットゲートウェイ（IGW）によって提供されます。サブネットは、そのルートテーブルがIGWへのデフォルトルートを持ち、リソースがパブリックIPまたはElastic IPを持つ場合に「パブリック」になります。プライベートサブネットからのアウトバウンド専用のインターネットアクセスには、NATゲートウェイを使用します。各アベイラビリティーゾーンに1つのNATゲートウェイを配置し、各プライベートサブネットを同じAZ内のNATゲートウェイにルーティングし、クロスAZ NATを無効にすることで、単一障害点を回避し、クロスAZデータ処理料金を削減します。IPv6の場合、Egress-OnlyインターネットゲートウェイがNATなしでアウトバウンド専用の接続を提供します。

ルートテーブルは、宛先プレフィックスに対するネクストホップを決定します。一般的なターゲットには、IGW、NATゲートウェイ、VPCピアリングアタッチメント、Transit Gatewayアタッチメント、およびlocalが含まれます。ルートテーブルはシンプルに保ちます。つまり、エグレス用のデフォルトルートと、プライベートな相互接続用の明示的なルートです。アカウント間で共有される宛先を参照し、人為的ミスを減らすために、プレフィックスリストの使用を推奨します。

セキュリティグループとネットワークACLはネットワークフィルタリングを提供しますが、その仕組みは異なります。

セキュリティグループはステートフルで、ENIにアタッチされ、許可ルールのみが評価されます。戻りのトラフィックは自動的に許可されます。他のセキュリティグループを参照して、アプリケーショントポロジーを安全に表現することをサポートします。
ネットワークACLはステートレスで、サブネット境界で適用され、インバウンドとアウトバウンドに対して明示的な許可/拒否を持つルール順に評価されます。戻りのトラフィックは明示的に許可する必要があります。NACLは、サブネットレベルでの大まかな拒否やコンプライアンスパターンに限定的に使用し、オペレーティングシステムやロードバランサーが必要とするエフェメラルポート範囲を維持してください。

ステートフルかステートレスかのフィルタリングの違いは、トラブルシューティングにとって重要です。両方が使用されている場合、両方がフローを許可する必要があります。VPCフローログをCloudWatch LogsまたはS3に有効化して、許可/拒否されたトラフィックを分析し、セキュリティ体制を検証します。

VPC間およびハイブリッド接続

VPCピアリングは、2つのVPCをプライベートに接続し、単一障害点や帯域幅のボトルネックはありませんが、非推移的であり、重複しないCIDRが必要です。各VPCは、ピアリングアタッチメントを介してピアの静的ルートを追加する必要があります。ピアリングされたVPC間でのセキュリティグループ参照はサポートされていません。CIDRでフィルタリングしてください。クロスリージョンピアリングも利用可能で、デフォルトで暗号化されます。

AWS Transit Gateway (TGW)は、ネットワークのスケールとセグメンテーションを簡素化します。VPCおよびハイブリッドアタッチメントのリージョナルハブとして機能し、推移的なルーティングをサポートし、アタッチメントあたり最大数十Gbpsまでスケールします。TGWルートテーブルを使用してセグメンテーション（例：開発 vs 本番 vs 共有サービス）を実装し、伝播と関連付けを制御します。アタッチメントには、VPC、サイト間VPN、およびTransit VIFとDirect Connect Gatewayを介したDirect Connectが含まれます。一元化されたエグレスのためには、エグレスVPCをアタッチし、ルートを伝播/選択的に共有します。リージョン間ピアリングでTGWを接続することにより、マルチリージョンを計画します。

AWS PrivateLinkは、プロバイダーのサブネットを公開したり、ルーティングを必要としたりすることなく、VPC/アカウント/リージョンの境界を越えてサービスへのコンシューマー主導のプライベートなL4アクセスを提供します。サービスプロバイダーはエンドポイントの前にNLBを配置し、コンシューマーは自身のVPCにプライベートIPとDNS名が割り当てられたインターフェースVPCエンドポイントを作成します。PrivateLinkは非推移的であり、TCPのみをサポートします。内部サービスを公開したり、AWSサービスをプライベートに利用したりするためにPrivateLinkを使用します。サービスレベルでの公開、DNSベースの利用、またはより厳格なプロデューサーの分離が必要な場合は、ピアリング/TGWよりもPrivateLinkを優先します。

ハイブリッド接続では、多くの場合、Direct Connect (DX)とサイト間VPNが組み合わせて使用されます。Direct Connectは、1/10 Gbpsのポート（およびホスト型容量）で、専用のプライベートで一貫した帯域幅を提供します。動的ルーティングとフェイルオーバーにはBGPを使用します。仮想インターフェース（VIF）のタイプは以下の通りです。

プライベートVIF: 仮想プライベートゲートウェイ（VGW）経由、またはTransit VIFを持つTransit Gateway経由でVPCへのプライベートIP到達可能性を提供します。
パブリックVIF: AWSパブリックサービスへのパブリックIP到達可能性を提供します。自社のパブリックプレフィックスをアドバタイズし、AWSはグローバルなパブリックプレフィックスをアドバタイズします。
トランジットVIF: スケーラブルなマルチVPC/マルチリージョン接続のために、Direct Connectゲートウェイを1つ以上のTGWに接続します。冗長性を設計するには、別々のDXロケーションとデバイスに2つの物理的なDX接続を使用し、必要に応じて別々のLAGを使用し、オンプレミスにはデュアルルーターを設置します。バックアップとしてVPN（インターネット経由でVGWまたはTGWへ）を追加し、BGPを使用してDXのBGPセッションが切断されたときにルートが自動的にフェイルオーバーするようにします。VPNの場合、HAのために接続ごとに2つのトンネルを使用し、静的ルートよりもBGPを優先し、トンネル内部のCIDRとセキュリティを検証してください。

APIフロントドア：ドメイン、証明書、エンドポイント戦略

Amazon API Gatewayは、REST APIとHTTP APIに3種類のエンドポイントタイプを提供します。

エッジ最適化（REST APIのみ）：API GatewayがCloudFrontディストリビューションを作成・管理します。エッジロケーションでTLSを終端するため、グローバルなクライアントに最適です。カスタムドメインの証明書は、ACM経由でus-east-1（バージニア北部）に配置する必要があります。
リージョン：クライアントが同じリージョンにいる場合や、独自のCloudFrontディストリビューションまたはGlobal AcceleratorでAPI Gatewayをフロントに配置したい場合に使用します。カスタムドメインの証明書は、APIと同じリージョンに配置する必要があります。
プライベート：インターフェースVPCエンドポイントを介してVPC内からのみ到達可能で、パブリックインターネットへのパスはありません。

カスタムドメインは、ステージやAPIを横断してルーティングとTLSを統一します。ベースパスマッピングを使用して、パスをステージにマッピングします。証明書はACMに保存し、クライアントのサポート状況に応じてRSA/ECDSAを選択します。エッジ最適化の場合はus-east-1で証明書をリクエスト/インポートし、リージョンの場合はそのリージョンでリクエスト/インポートします。コンプライアンス要件に合ったTLSポリシーを適用します。WAFとの統合は、Web ACLをリージョンAPIに直接関連付けるか、APIをフロントに置くCloudFrontディストリビューションを保護することで行います。レイテンシーが最も低いグローバルAPIを実現し、高度なキャッシュやヘッダー正規化を行うには、リージョンAPIの前にCloudFrontディストリビューションを配置し、必要に応じてオリジンアクセスコントロールや署名付きリクエストを使用し、キャッシュの肥大化を避けるためにキャッシュポリシーとオリジンリクエストポリシーを調整します。LambdaオーソライザーやAmazon Cognitoと組み合わせて認証を行い、WAFのレートベースのルールに加えて、スロットリングや使用量プランを活用してバックエンドを保護します。

実践的な問題シナリオ

Shopifyは、世界中のマーチャントにサービスを提供するため、新しいグローバルなチェックアウトマイクロサービスを展開しています。要件は、20以上のアカウントにまたがるマイクロサービス間のプライベートな東西トラフィック、内部APIのパブリックへの露出ゼロ、エンドユーザーに対する決定論的な低レイテンシーのチェックアウト、適応型レート制限を備えた強力なL7保護、オンプレミスのリスクエンジンへの回復力のあるハイブリッド接続です。

ステップバイステップのアプローチ：

ハブアンドスポークのTransit Gateway設計でネットワークをセグメント化する

集中管理用のネットワークアカウントにリージョンAWS Transit Gatewayを作成します。各アカウントのすべてのワークロードVPC（スポーク）を、RAMで共有されたTGWアタッチメントを介してアタッチします。複数のTGWルートテーブルを使用してセグメンテーション（本番 vs 共有サービス vs 開発）を強制し、必要なルートのみを伝播させます。
なぜTGWか：ピアリングのフルメッシュと比較して、推移的なルーティングをスケールさせ、ルート管理を簡素化します。ハイブリッドアタッチメントもサポートします。

AWS PrivateLinkで内部マイクロサービスを公開する

各プロデューサーVPCで、内部マイクロサービスのターゲットグループの前にNLBを配置し、VPCエンドポイントサービスを作成します。コンシューマーVPCでは、それらのサービス用のインターフェースエンドポイントを作成し、エンドポイント固有のプライベートDNSを有効にします。
なぜPrivateLinkか：ルート情報を公開することなく、サービスレベルでTCPのみの非推移的な接続を提供します。プロデューサーは分離されたままで、CIDRブロック全体に対してインバウンドSGを許可する必要がありません。

Direct ConnectとVPNで冗長なハイブリッド接続を確立する

2つの10 Gbps Direct Connect接続を別々のDXロケーションにプロビジョニングし、別々のオンプレミスルーターで終端させます。TGWへのTransit VIFを持つDirect Connect Gatewayを作成します。両側でBGPを、異なるASNとMED/local-prefポリシーで設定します。バックアップとして、TGWにSite-to-Site VPNアタッチメントを追加し、2つのトンネルをBGP有効で構成します。
なぜこの組み合わせか：DXは決定論的な帯域幅と低ジッターを提供します。BGPとVPNバックアップの組み合わせにより、自動フェイルオーバーと高可用性を実現します。

AWS Global Acceleratorでパブリックなチェックアウトをフロントに配置する

2つのリスナー（80/443 → 443）を持つアクセラレーターを作成します。us-east-1とeu-west-1にエンドポイントグループを定義し、それぞれがチェックアウトサービスのALBを指すようにします。定常状態ではトラフィックダイヤルを50/50に設定し、ALBのヘルスエンドポイントでヘルスチェックを有効にします。セッションピニングが必要な場合は、クライアントアフィニティを有効にします。
なぜGlobal Acceleratorか：エニーキャストの静的IP、高速なリージョンフェイルオーバー、そして低レイテンシーでステートフルなチェックアウトフローのためのTCP最適化を提供します。

CloudFrontとAWS WAFでエッジを保護する

冪等なGETや静的アセットのためにリージョンAPI Gatewayの前にCloudFrontを配置し、ヘッダー正規化やTLSオフロードの恩恵を受けられる動的コンテンツを提供するALBの直前にも配置します。キャッシュポリシーを設定して、必要なヘッダー/クエリにのみ差異を制限し、Origin Shieldを有効にしてオリジンの負荷を軽減し、バージョン管理されていないアセットのキャッシュ無効化を自動化します。
AWS WAFのWeb ACLをCloudFrontにアタッチし、AWS Managed Rules、ビジネスロジックフィルタリング用のカスタムルールグループ、そしてチェックアウトパスにスコープを絞ったレートベースのルールを設定します。不審なスパイクに対してはCAPTCHAを有効にし、分析のためにKinesis Data Firehoseにログを記録します。
なぜCloudFront + WAFか：グローバルなTLS終端、安全な場所でのキャッシング、エッジベースのL7コントロール、そしてAWS ShieldによるDDoS吸収を提供します。

カスタムドメインと堅牢なTLSでAPIを公開する

書き込みが多いAPIメソッドには、CloudFrontの背後で保護されたAPI Gatewayのリージョンエンドポイントを使用します。リージョンごとにACMでカスタムドメインを作成し、厳格なTLSポリシーを適用し、ベースパスをステージにマッピングします。内部管理APIには、プライベートAPIをデプロイし、インターフェースVPCエンドポイント経由でアクセスします。最小権限のセキュリティグループを関連付けます。
なぜこの分割か：リージョンエンドポイントとCloudFrontの組み合わせは、エッジコントロールの柔軟性を提供します。プライベートAPIは、内部のサーフェスをインターネットから隔離します。

階層的なコントロールでVPCをロックダウンする

可能な限りプロデューサー/コンシューマーのSGを参照する、最小権限でステートフルなセキュリティグループを適用します。NACLは、コンプライアンスで必要な特定のサブネット拒否を除き、シンプル（すべて許可）に保ちます。CloudWatchメトリックフィルターを使用してVPC Flow Logsを有効にし、異常なソースを検出します。AZごとに1つのNATゲートウェイを配置し、プライベートサブネットをローカルのNATにルーティングして、AZ間の依存関係を回避します。
なぜ階層的なコントロールか：SGはコネクショントラッキングでほとんどの意図を処理します。NACLは粗い安全策を提供します。ゾーンごとのNATは、回復力とコストを改善します。

この設計は、プライベートでセグメント化された東西接続（Transit Gateway + PrivateLink）、回復力のある南北ハイブリッドパス（BGPを使用したDX + VPN）、グローバルに高速化され保護されたパブリックエントリ（Global Accelerator + CloudFront + WAF）、そしてVPCルーティング、ゲートウェイ、フィルタリングに関するAWSのベストプラクティスに沿った運用管理を提供します。

← ストレージ、データベース、データ管理 · すべてのドメイン · Systems Manager、パッチ適用、運用自動化 →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →