[AWSマイスターシリーズ] Amazon Virtual Private Cloud (VPC)

© 2012 Amazon.com, Inc. and its affiliates. All rights reserved. May not be copied, modified or distributed in whole or in part without the express consent of Amazon.com, Inc.
AWSマイスターシリーズ
Amazon VPC(Virtual Private Cloud)
2013.08.28
アマゾンデータサービスジャパン株式会社
エコシステムソリューションアーキテクト
松本大樹

2
今日のAgenda
VPCとは？
Default VPCについて
VPCの構成要素
VPC価格および注意事項
Amazon Direct Connect(DX)とは？
VPC/VPN/Direct Connectの活用例
Q&A

3
今日のAgenda
VPCとは？
VPCの構成要素
Q&A

4
AWSの様々なサービス
4
お客様のアプリケーション
認証
AWS IAM
モニタリング
Amazon
CloudWatch
Web管理画面
Management
Console
デプロイと自動化
AWS Elastic
Beanstalk
AWS CloudFromation
IDEプラグイン
Eclipse
Visual Studio
ライブラリ & SDKs
Java, PHP, .NET,
Python, Ruby
Development &
Administration
コンテンツ配信
Amazon CloudFront
メッセージ
Amazon SNS
Amazon SQS
分散処理
Elastic MapReduce
メール配信
Amazon SES
キャッシング
Amazon Elasticache
ワークフロー管理
Amazon SWF
Application
Service
コンピュータ処理
Amazon EC2
Auto Scale
ストレージ
Amazon S3
Amazon EBS
AWS StorageGateway
データベース
Amazon RDS
Amazon DynamoDB
Amazon SimpleDB
AWS グローバルインフラ
Geographical Regions, Availability Zones, Points of PresenceAZRegion
ネットワーク & ルーティング
Amazon VPC / Amazon Elastic Load Balancer / Amazon Route 53 /AWS Direct Connect
Infrastructure
Service

5
なぜVPCが必要か？
ネットワークのセキュリティを高める為に、
色々と設定したい！
クラウド環境においても既存の環境のネット
ワークルールを適用したい！
きめ細かいアクセス制御をしたい！
Local IP Addressを固定にしたい！
1つのEC2で複数IPアドレスや複数ネットワーク
インターフェースを使いたい！
別のセキュリティグループに変更したい！
・・・・・などなど！

6
VPCを使えば実現可能です！
VPC CIDR / Subnet
Route Table
Internet Gateway(IGW)
VPC Security Group(and DB Security Group)
Network Access Control List (NACL)
NAT
EC2 Dedicated Instance
Elastic Network Interface
Virtual Private Network (VPN)

7
Amazon VPC
AWS上にプライベートネットワーク空間を構築
• 社内からVPN接続して閉域網でAWS利用
• 仮想ネットワーキング
オンプレミスとのハイブリッドが簡単に実現
• AWSが社内インフラの一部に見える
 社内システム、ソフトウェアの移行がより容易に
 例：業務システム、バッチ処理、ファイルサーバ
より細やかにネットワーク関連の設定が可能
全リージョンで利用可能

8
AWS上にプライベートのアドレス空間を作成し、
お客様のインフラをAWS上に延長する
リージョン
EC2
VPCイントラ
プライベート
サブネット
パブリック
サブネット
Internet
VPC内に分離し
たサブネットを
自由に作成
VPN接続
専用線
ゲート
ウェイ
VPN
DX

9
VPCを利用した3層Webシステム構成例
VPC 10.0.0.0/16
Availability Zone - B
Availability Zone - A
Internet
Anyone
Internet
Gateway
Public Subnet 10.0.0.0/24
Public Subnet 10.0.2.0/24
Private Subnet 10.0.1.0/24
Private Subnet 10.0.3.0/24
Amazon RDS
Amazon RDS
Web
10.0.0.7
EC2 Instance
EC2 Instance
Web
10.0.2.7
Corporate
data center
DB
DB
インターネットから
もアクセス可能
DC/社内からのみ
アクセス可能
VPN接続
DX専用線

10
今日のAgenda
VPCとは？
VPCの構成要素
Q&A

11
Default VPCとは？
2013年5月上旬に東京リージョン含め、ローンチされた
アップデート。
全ての環境でVPCの機能を利用可能に。
既存ユーザ
• ローンチ前に作成されたAWSユーザに関しては、利用していな
いRegionのみにDefault VPCが適用されている
新規ユーザ
• ローンチ後に作成されたAWSユーザに関してはDefault VPCが
適用されている。

12
自分はdefault VPC ユーザなのか？
EC2ダッシュボードの右上”Account Attributes”で確認可能
Non-Default VPC
Default VPC

13
Classic EC2/Default VPC/VPC の違い
− Elastic IP
− Public DNS
− Private DNS
Classic EC2
EC2
− Elastic IP
− Public IP
− Private IP
Default VPC
EC2
Default Subnet
− Elastic IP
− Private IP
通常のVPC
EC2
Subnet

14
Default VPCの新しい機能/概念
Default VPC
• VPCを指定せずにインスタンスを起動した際に利用される
VPC
• AWSアカウント作成時に自動的に生成されるVPC
Default Subnet
• Default VPC内の各AZ毎に自動作成されるSubnet
• 動的割当されるPublic IPアドレスが利用できる唯一の
Subnet
Public IP
• VPC内でランダムに割り当てられるグローバルIPアドレス。
• 割り当てないことも可能。

15
Default VPCでのIPの挙動
Elastic IP
• 明示的にIPを割り当てる
• Stop/Startしてもアサインされたまま
Public IP
• ランダムに割り当てられるPublic IP
• Stop/Startすると別のIPが割当てられる
• 割当ての有無を変更することも可能。
Private IP
• 必ず割り当てられるIPアドレス。
• EC2作成時にIPを指定可能
• Stop/StartしてもIPは変わらず固定
− Elastic IP
− Public IP
− Private IP
Default VPC
EC2
Default Subnet

16
Default VPC / Subnetでの起動
リソースの起動時にDefault VPC/Subnetを指定可能
Default VPCのSubnet
には ” * ” が付いている

17
違いが全くないわけではないので注意
AWSアカウントを越えたPrivate IPアドレスでの通信は
出来ない
• Global IPアドレス(Elastic IP or Public IP)を利用する必要有り
• 同一アカウント内の異なるVPC間も同様
アカウントを越えたセキュリティグループの参照はサ
ポートされない

18
VPC作成時にテンプレートを利用可能
一般的な構成テンプレートを準備
VPC作成後も構成は変更可能
パブリック
サブネット
パブリック+プライベート
サブネット
パブリック+プライベート
＋ＶＰＮ
プライベート
＋ＶＰＮ

19
今日のAgenda
VPCとは？
VPCの構成要素
Q&A

20
VPCで操作できる構成要素
VPC CIDR / Subnet
Route Table
VPC Security Group(and DB Security Group)
NAT

21
VPC CIDRとSubnetについて
Subnet: 10.0.1.0/24
VPC 10.0.0.0/16
Web
Server
Web
Server
Subnet: 10.0.2.0/24
CIDR IP Address数
xxx.xxx.xxx.xxx/16 65,534
xxx.xxx.xxx.xxx/20 4,094
xxx.xxx.xxx.xxx/24 254
xxx.xxx.xxx.xxx/28 14
作成後は、VPCのサイズやアドレスブロックは変更できないので注意！！

22
Route Tableについて
各SubnetはRoute Tableを持っている。設定を
変更することでデータの流れを制御可能。
Public SubnetのRoute Table
Private SubnetのRoute Table
IGW(Internet Gateway)への
ルーティングがあるので、イン
ターネットへのアクセスが可能

23
Route TableとInternet Gateway
Public Subnet
VPC 10.0.0.0/16
Web
Server
Private Subnet
Web
Server
Destination Target
10.0.0.0/16 Local
0.0.0.0/0 igw-xxxxx
Destination Target
10.0.0.0/16 Local
IGWにRoutingされて
いないのでインター
ネットと通信できない。
Internet
Gateway
Internet
OK
OK
NG

24
NATについて
Private Subnetから外部のインターネットにア
クセスがしたい！
パッチやソフトウェアなどのダウンロード
S3, Route53, DynamoDB, SES, SQSなどの
VPC外のAWSサービスにアクセス
NAT Instanceを使うことで、Global IP(Elastic
IP)を設定せずに外部へのアクセスが可能
AWSからNAT用のEC2 AMIを提供

25
NATについて
Public Subnet
VPC 10.0.0.0/16
Web
Server
Private Subnet
Web
Server
Destination Target
10.0.0.0/16 Local
0.0.0.0/0 igw-xxxxx
Destination Target
10.0.0.0/16 Local
0.0.0.0/0 NAT
IGWにRoutingされてい
ないので直接インター
ネットと通信できない。
Internet
Gateway
Internet
NAT
OK NG

26
VPC Security Groupと
NACL(Network Access Control List)
Instanceレベル
でIn/Outのアク
セス制御
Subnetレベル
でIn/Outのアク
セス制御

27
VPC Security Group
Security Group
EC2
Instance
Port 22
(SSH)
Port 80
(HTTP)
VPC環境ではインターネットからのトラフィック(Inbound)
をブロックするだけでなく、EC2からのトラフィック
(Outbound)を制限する事も可能です。

28
NACL(Network Access Control)
個々のSubnetごとにアクセス制御が可能
Inbound, Outboundに対して下記の設定が可能
Inbound
Port range(ポート番号)
Source(アクセス元IPアドレス)
Allow/Deny
Outbound
Port range(ポート番号)
Destination(アクセス先IPアドレス)
Allow/Deny

29
顧客A
物理サーバー
通常のEC2
顧客B 顧客C
顧客A
物理サーバー
顧客B 顧客C
Dedicated Instance
VPC内で専用インスタンス
シングルテナント保証
規制に対応しなければいけ
ないお客様のご要望に応え
るサービス
クラウドのメリット確保
従量課金
柔軟にスケールアップ
瞬時に調達

30
Elastic Network Interfaces
VPC上で実現する仮想ネットワークインタ
フェースを複数持てる機能
以下をENIに紐づけて維持可能
Private IP
Elastic IP
MACアドレス
セキュリティグループ
インスタンスによって割り当て可能な数が異な
る。

Elastic Network Interfaces
インスタンスタイプによる設定数の制限
http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instance-types.html#AvailableIpPerENI

32
VPN (Virtual Private Network)
オンプレミスの環境もしくはオフィスとAWSのVPC環境
を繋げる手段
BGPに対応していないVPN Routerも静的ルーティング
することで利用可能に！
IPsec VPNを利用するために必要な機能の抜粋
• トンネルモードで、IPsec セキュリティ接続を確立
• AES 128 bit の暗号化トンネル
• BGP (Border gateway protocol) ピア
参考URL
<http://aws.amazon.com/jp/vpc/faqs/#C8>

33
VPN (Virtual Private Network)
VPN Connectionの設定
IGW
Corporate Data center
VPC Subnet VPN
Gateway
VPN Gatewayを
作成してVPCに
紐づける。
Customer
Gateway
Global IPやAS番号を
指定してCustomer
Gatewayを作成。
VPN Connection
VPN Connectionを作成後、
Configurationファイルをダ
ウンロードし、VPN Router
の設定を実施する。
VPN Router

34
Public subnet + Private subnet +
VPN GW
Virtual Private Cloud = 10.0.0.0/16
Public Subnet
Internet
Gateway
Private Subnet
NAT
Instance
Destination Target
10.0.0.0/16 local
0.0.0.0/0 Internt Gateway
VPN
Gateway
Corporate = 172.16.0.0/16
Destination Target
10.0.0.0/16 local
172.16.0.0/16 VPN Gateway
0.0.0.0/0 NAT Instance

35
[復習] VPCで操作できる構成要素
VPC CIDR / Subnet
Route Table
VPC Security Group
NAT

36
今日のAgenda
VPCとは？
VPCの構成要素
VPCの価格および注意事項
Q&A

37
DNS Settings
VPC内のDNS関連の設定が増えました。
Enable DNS resolution.
• 基本はtrueとする。
• FalseにするとVPCのDNS機能が無効となる。
Enable DNS hostname support for instances launched in this VPC.
• TrueにするとDNS名が割り当てられる。
• “Enable DNS resolution”をtrueにしないと有効にならない。

38
Public IPの割当て
EC2の起動時にPublic IPを割当てられます。
Elastic IPを利用しなくても、
簡単にGlobal IPを利用できる
機能です。
IPを固定したい場合はElastic
IPを利用ください。

39
DHCP options sets
VPCのDHCP機能の設定変更が可能です。
domain-name
• ドメイン名の指定
domain-name-servers
• DNSサーバの指定
ntp-servers
• NTPサーバの指定
netbios-name-servers
• NetBIOSサーバの指定
netbios-node-type
• NetBIOSのノードタイプの指定
http://docs.aws.amazon.com/ja_jp/AmazonVPC/latest/UserGuide/VPC_DHCP_Options.html

40
VPCの価格について
VPCの利用は無料！！
VPN Connectionを利用する場合
は1時間で $0.05/VPN接続。
(1ヶ月で3500円程度)

41
VPC環境での通信コストについて
(東京リージョン)
Availability Zone Availability Zone
Direct
Connect
VPN Connection
S3,
Glacier,
Dynamo,
etc…
In: $0.00
Out: $0.00
In: $0.01
Out: $0.01
In: $0.01
Out: $0.01
In: $0.00
Out: $0.00
Private IP Public IP
In: $0.00
Out: $0.09
Internet
In: $0.00
Out: $0.045
In: $0.00
Out: $0.201
In: $0.00
Out: $0.201
詳しくは下記URLをチェック！
http://aws.amazon.com/jp/ec2/pricing/
ELB
Cloudfront
Other
Region
ELB

42
VPC Limitsの確認
デフォルトの上限値が増
加したものがいくつかあ
ります。
必要に応じて弊社Webサ
イトから制限解除申請を
実施ください。
• http://aws.amazon.co
m/jp/contact-us/vpc-
request/
不明点は担当営業までお
問い合わせください。

43
Amazon RDS
マネージドリレーショナルデータベース
• 数クリックで、DBサーバ立ち上げ可能
• サーバのスケールアップ/ダウン、クラスター化、自動バックアップな
どが容易に構成できるフルマネージドRDMSサービス
Product サポート
バージョン
MultiAZ VPC
サポート
IOPS
サポート
Read
Replica
自動
バックアップ
5.5
5.1
1,000 ～30,000
IOPS
(Master昇格)
SE1/SE/EE
11.2
1,000 ～30,000
IOPS
Web/SE/EE
2008R2
2012
1,000 ～10,000
IOPS

44
DB Subnet Group
2 SubnetでもOKになった。1 Subnetだとダメ。
おすすめはPIOPSが使える2つのAZ。

45
PIOPS(Provisioned IOPS)利用可能AZ
の確認方法
PIOPSボリュームが作成できるか否かで判断
• AZ-A or AZ-B, and AZ-C
どうしても分からない場合は弊社営業までお問い合わせを！
作れないAZの
場合はエラーが
出て作成失敗

46
RDS用 Security Groupの設定
VPC環境とNon-VPC環境で設定するページが異
なるので注意。
• VPC環境のRDS SG
• VPCページの”Security Group”で設定
• Non-VPC環境のRDS SG
• RDSページの”DB Security Group”で設定
VPC左ペイン RDS左ペイン

47
VPC ELBについて
ELB on VPCの機能
 ELBのトラフィックをサブネットをまたいで分散
 ELBセキュリティグループで、より細かくコント
ロール可能
Internal ELB
• Public IPを持たないVPC内部で使用するためのELB
ELB on VPCの制約
• IPv6サポートは現状なし
• /27 CIDRブロック以上のIPアドレスが必要

48
今日のAgenda
VPCとは？
VPCの構成要素
Q&A

49
通信会社様の
専用線
AWS Direct Connectとは
AWS Direct Connect：AWSとデータセンター、オフィス、
コロケーション環境間にプライベート接続を確立するサービス
特徴:
• ネットワークのコスト削減
• 帯域幅のスループット向上
• インターネットベースの接続よりも一貫性がある
お客様
AWS Cloud
EC2, S3などの
Public サービス
Amazon VPC
エクイニクス
相互接続ポイント

50
AWS Direct Connect 詳細内容
AWS Direct Connectは、1Gbpsおよび10Gbpsの接続を提供
リージョン毎に契約が必要
多くの容量が必要な場合、複数の接続のプロビジョニングが可能
• 専用線サービスは、お客様が下記の2つの選択肢から選択
1. お客様自身がエクイニクス相互接続ポイントに専用線を直
接つなぐ
2. 複数の通信事業者の専用線接続サービスを利用
 ソフトバンクテレコム
 NRI (野村総合研究所)
 NTTコミュニケーションズ
日本でのサービス状況
 KVH
 TOKAI

51
Direct Connect 課金体系
月額利用料は下記の計算で課金されます
AWS Direct Connectの月額利用料＝
① 回線使用料
＋
② データ転送料

52
AWS Direct Connect 料金
（回線利用料＋データ転送料）
① 回線利用料（本数分）
ロケーション 1 Gbps ポート 10 Gbps ポート
CoreSite One Wilshire, Los Angeles, CA $0.30/時間 $2.25/時間
Equinix DC1 – DC6, Ashburn, VA $0.30/時間 $2.25/時間
Equinix SV1 & SV5, San Jose, CA $0.30/時間 $2.25/時間
Equinix SG2、シンガポール $0.30/時間 $2.25/時間
Equinix TY2、東京 $0.30/時間 $2.25/時間
TelecityGroup Docklands、ロンドン $0.30/時間 $2.25/時間

53
AWS Direct Connect 料金
（回線利用料＋データ転送料）
② データ転送料 (割引されたデータ転送料金を適用)
ロケーションデータ転送受信（イン）
データ転送送信（アウ
ト）
CoreSite, One Wilshire と米国西部（北カリフォ
ルニア）リージョン間
無料 $0.030/GB
バージニア州アッシュバーンの Equinix（エクイニ
クス）と米国東部（バージニア北部）リージョン間
無料 $0.020/GB
Equinix SV1 and SV5 と米国西部（北カリフォル
ニア）リージョン間
無料 $0.020/GB
Equinix, SG2 とアジアパシフィック（シンガポー
ル）リージョン間
無料 $0.045/GB
Equinix, TY2 とアジアパシフィック（東京）リー
ジョン間
無料 $0.045/GB
TelecityGroup, ロンドン Docklands' と欧州（ア
イルランド）リージョン間
無料 $0.030/GB

54
今日のAgenda
VPCとは？
VPCの構成要素
Q&A

55
AWS構成例（仮想グループクラウド）
 グループクラウド網と専用線
サービス接続
 イントラネットの一部として
AWSの利用が可能
（仮想グループクラウド）
 ハイブリッドクラウドサービス
の一つ選択肢としてAWSを提
供
本社
各種団体等
貴社プライベートクラウド
グループ
クラウド網
生産関連会社A 生産関連会社B 生産関連会社C

56
Cloud Hubで複数の拠点を結ぶ

既存データセンター
S3：データ耐久性99.999999999%
AWS Storage Gateway：透過的にS3にバックアップを行う
利用例
テープ隔地保管の代替として
バックアップシステムを直接S3へ
VPC/VPN/DXの活用例（バックアップ）
Direct Connect（専用線）
統合バックアップ
Amazon Simple Storage
Service (S3)
Xxシステム
･･･
複数世代管理隔地保管
直接バックアップ

58
VPC/VPN/DXの活用例（DR環境）
本番環境は既存DCにて構築
DR環境はAWS内で構築
利用例
これからDR環境を整備するシステム
コスト面でDRを整備出来なかったシステム（F/S等）
通常は休止または必要最小規模で稼働
Amazon Elastic Compute
Cloud (EC2)
DR環境
本番環境

59
VPC/VPN/DXの活用例（開発管理環境）
本番環境はこれまで同様既存DCにて構築
開発、維持管理環境はAWS構築
専用線接続、またはVPN接続
• 旧来の環境とシームレスに接続可能
利用例
本番開発環境差異：ハードウェアに依存しないシステム開発
Cloud (EC2)
開発環境
本番環境

60
VPC/VPN/DXの活用例(ハイブリッド)
データベースは既存データセンター内で構築
CPUパワー不足時、またはCPU処理のみAWS EC2, HPC, EMRを利用
（使用時のみ課金）
利用例
データベースは外に出したくない業務
バッチジョブ、HPC、季節連動性の業務
Cloud (EC2)
Oracle Database Servers
･･･
CPU処理
スケールアップ/ア
ウト、休止自在

61
オンプレミスとのハイブリッド環境
DATAPIPE社のサービス例
• Oracle DBをオンプレミスのデータセンタに設置
• 変化するリソースはAWS上

62
ハイブリッド環境例
営業支援
会計
BI
文書管理
専用線
利用者
保守業者
管理者
AD
監視ソフト
DNS
Equinix
品川TY2
1 VPC
1 VPC
1 VPC
1 VPC
1 VPC
I
G
W
V
G
W
V
G
W
V
G
W
I
G
W
V
G
W
V
G
W
Router#1
Router#2
Router#1
Router#2
Router#1 Router#2
FW
SSO
NTP
既存環境
OracleWIN
人事
WIN
WIN Oracle
BI DB
WIN Proxy

63
本日のまとめ
Default VPCのリリースにより今後VPCは標準サー
ビスとなり、AWSを利用する上で必須の知識となり
ます！
Security GroupやNACL, SubnetなどVPCの各種機
能を利用し適切な設定をすることで、AWS上にセ
キュリティの高いネットワーク環境を構築すること
が可能です！
VPN接続やDirect Connect(DX)を利用することで、
オンプレミス環境とのハイブリッドなど、
自由なネットワーク設計が可能です！

64
Appendix
参考資料
• Amazon VPC Documents
http://aws.amazon.com/jp/documentation/vpc/
• Amazon VPC
http://aws.amazon.com/jp/vpc/
• Amazon VPC FAQ
http://aws.amazon.com/jp/vpc/faqs/

[AWSマイスターシリーズ] Amazon Virtual Private Cloud (VPC)

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Destaque

Destaque (20)

Semelhante a [AWSマイスターシリーズ] Amazon Virtual Private Cloud (VPC)

Semelhante a [AWSマイスターシリーズ] Amazon Virtual Private Cloud (VPC) (20)

Mais de Amazon Web Services Japan

Mais de Amazon Web Services Japan (20)

Último

Último (12)

[AWSマイスターシリーズ] Amazon Virtual Private Cloud (VPC)