ネットワーク・運用・料金

1. VPCとRoute 53とCloudFront

自分専用の仮想ネットワークを引き、名前で引けるようにし、世界中へ速く配る。AWSのネットワークの土台を4つのサービスで押さえます。

Amazon VPC（Virtual Private Cloud）は、論理的に分離された、自分で定義した仮想ネットワークの中にAWSリソースを起動できるサービスです。自社データセンターの従来型ネットワークによく似た構成を、AWSのスケーラブルなインフラの上に作れる、というのが公式の言い方です。ここを取り違えると後がすべてずれるので、まず「VPCは自分のネットワークの箱である」と押さえてください。コンテンツを速く配るCDNでも、名前を引くDNSでもありません。

VPCの中身は4つの部品でだいたい説明できます。サブネットはVPC内のIPアドレスの範囲で、必ず単一のアベイラビリティゾーンに属します。したがってサブネットはAZをまたげず、複数のAZに分散させたければAZごとにサブネットを作ります。ルートテーブルは、サブネットやゲートウェイからのトラフィックの向き先を決める表です。インターネットゲートウェイはVPCをインターネットに接続する出入口、NATゲートウェイはプライベートIPアドレスを持つリソースが、プライベートのままインターネットへアクセスできるようにする仕組みです。

よく使われる「パブリックサブネット」「プライベートサブネット」という言い方は、サブネットそのものに種類があるという意味ではありません。ルートテーブルがインターネットゲートウェイに向いているかどうかで、そう呼び分けているだけです。外から入られたくないが、中から更新を取りには行きたい。この要求に応えるのがNATゲートウェイで、内から外への通信を代理するだけなので、外からの接続は成立しません。ここが、インターネットゲートウェイとの一番大きな違いです。

Amazon Route 53 は、可用性とスケーラビリティに優れたDNSウェブサービスです。持っている機能はドメイン登録、DNSルーティング、ヘルスチェックの3つで、これらを任意に組み合わせて使えます。3つがそろっていないと動かない、という関係ではありません。ドメインは別の登録事業者で取得したまま、DNSルーティングとヘルスチェックだけを Route 53 に任せる、という使い方ができます。名前の由来にもなっているとおり、中心にあるのはDNSの役割です。

Amazon CloudFront は、静的および動的なWebコンテンツの配信を高速化するCDNです。エッジロケーションと呼ばれる世界規模のデータセンターネットワークを持ち、利用者のリクエストは最も低レイテンシのエッジロケーションへルーティングされます。そこにコンテンツがあれば即座に配信し、無ければオリジン（S3バケットやHTTPサーバーなど）から取得します。エッジロケーションとオリジンの間にはリージョナルエッジキャッシュという層もあります。エッジロケーションはリージョンとは独立して世界中に分散していて、AZよりはるかに数が多いのが特徴です。

AWS Direct Connect は、社内ネットワークと Direct Connect ロケーションを、標準的なイーサネット光ファイバーケーブルで接続するサービスです。公式の説明で効くのは「ネットワーク経路上のISPをバイパスする」という一句で、インターネットを通らずにAWSサービスへの仮想インターフェイスを直接作成できます。インターネットの上に暗号化トンネルを張る方式とは、ここが根本的に違います。専用の物理的な接続を引く、という理解でよいでしょう。

4つを並べると役割の重なりがありません。VPCが自分のネットワークを定義し、Route 53 が名前を引き当て、CloudFront が中身を速く配り、Direct Connect が社内との専用の道をつなぎます。試験でも実務でも、まず「これはどの層の話か」を見分けるところから始まります。設問に出てくる動詞を見て、区切る・引く・配る・つなぐ、のどれかに当てはめてみてください。

用語

Amazon VPC

論理的に分離された、自分で定義した仮想ネットワーク内にAWSリソースを起動できるサービス。自社データセンターの従来型ネットワークに似た構成をAWS上で実現する。

サブネット

VPC内のIPアドレスの範囲。必ず単一のアベイラビリティゾーンに属するので、AZをまたぐことはできない。複数AZに分けたければAZごとに作る。

ルートテーブル

サブネットやゲートウェイからのトラフィックの向き先を決める表。どのゲートウェイへ経路を向けているかが、サブネットの性格を決める。

インターネットゲートウェイ

VPCをインターネットに接続するための出入口。ここへの経路を持つサブネットが、慣用的にパブリックサブネットと呼ばれる。

NATゲートウェイ

プライベートIPアドレスを持つリソースが、プライベートのままインターネットへアクセスできるようにする仕組み。内から外への通信を代理する。

Amazon Route 53

可用性とスケーラビリティに優れたDNSウェブサービス。ドメイン登録、DNSルーティング、ヘルスチェックの3つの機能を任意に組み合わせて使える。

ドメイン登録

Route 53 の機能の1つ。ドメイン名そのものを取得・管理する。他社で取得したドメインのまま、残りの機能だけを使うこともできる。

ヘルスチェック

Route 53 の機能の1つ。対象が正常に応答しているかを確認する。DNSルーティングやドメイン登録とは独立して利用できる。

Amazon CloudFront

静的・動的Webコンテンツの配信を高速化するCDN。世界規模のエッジロケーションから、最も低レイテンシの場所を選んで配信する。

エッジロケーション

CloudFront がコンテンツを配信する世界規模のデータセンターの網。リージョンとは独立して分散し、AZよりはるかに数が多い。

オリジン

CloudFront が配信するコンテンツの元となる場所。S3バケットやHTTPサーバーなど。キャッシュに無いときはここへ取りに行く。

リージョナルエッジキャッシュ

エッジロケーションとオリジンの間に位置するキャッシュ層。エッジで外れたリクエストを、オリジンへ行く前に受け止める。

AWS Direct Connect

社内ネットワークと Direct Connect ロケーションを光ファイバーで接続するサービス。経路上のISPをバイパスして直接つなぐ。

Local Zones

エンドユーザーやワークロードのより近くのAWSインフラでアプリケーションを実行するための拠点。通信キャリア網内に置くものは Wavelength Zones という。

例題

出典・根拠：Amazon Web Services, Inc.「Amazon Virtual Private Cloud ユーザーガイド」（2026年8月確認）

2. ELBの3種類を選び分ける

ALB・NLB・GWLB。見ている層と扱えるプロトコルが違うだけで、選ぶ理由ははっきり決まります。

Elastic Load Balancing（ELB）は、1つ以上のアベイラビリティゾーンにある複数のターゲットへ、受信するアプリケーショントラフィックを自動的に分散するサービスです。単一のAZに閉じるものではありません。複数のAZに分けて置いたターゲットへ振り分けられることが、可用性を設計するうえでの土台になります。現行のELBには Application Load Balancer、Network Load Balancer、Gateway Load Balancer の3種類があり、加えて古い世代の Classic Load Balancer があります。

Application Load Balancer（ALB）はレイヤー7、つまりアプリケーション層で動作します。扱えるプロトコルはHTTP、HTTPS、gRPCです。レイヤー7まで見るということは、HTTPの中身、たとえばURLのパスやホスト名を判断材料にできるということで、これをコンテンツベースルーティングと呼びます。用途を一言でいえば、柔軟なアプリケーション管理です。パスごとに別のサーバー群へ送りたい、といった要求はALBの領分になります。

Network Load Balancer（NLB）はレイヤー4、トランスポート層で動作します。扱えるプロトコルはTCP、UDP、TLSです。HTTPの中身は見ませんが、そのぶん極めて高いパフォーマンスが出せます。もう1つの大きな持ち味が静的IPアドレスで、取引先のファイアウォールに送信元や宛先のIPを登録してもらう必要がある、といった場面ではNLBを選びます。UDPを使う通信を分散したい場合も、3種類のうちNLBだけが対応します。

Gateway Load Balancer（GWLB）はレイヤー3と4で動作し、扱うのはIPです。目的が他の2つと違っていて、アプライアンス型のセキュリティ機能やネットワーク機能を経路上に置くために使います。特徴的なのは、フローを終端せずに透過的に通すという点です。ALBやNLBは自分がいったん通信を受けて分散しますが、GWLBは検査装置へ通信を素通しさせる役目を負います。サードパーティ製のファイアウォールや侵入検知の機器を挟みたい、という要求が出たらGWLBを思い出してください。

選び分けは、次の順に自問すると迷いません。まず、何を見て振り分けたいか。URLのパスやホスト名ならALBです。次に、扱うプロトコルは何か。UDPを通したいならNLBしかありません。次に、相手に伝える固定のIPアドレスが要るか。要るならNLBです。最後に、通信の途中にアプライアンスを挟みたいか。挟みたいならGWLBです。番号でいえば、ALBが7、NLBが4、GWLBが3と4。数字が大きいほど上位の情報まで見て判断できる、と考えると並びが頭に残ります。

参考として、Classic Load Balancer が対応するのはTCP、SSL/TLS、HTTP、HTTPSです。レイヤー4とレイヤー7の両方にまたがる古い世代の作りで、現在は用途に応じて3種類のどれかを選ぶのが基本です。なお、どのELBを選んでも「1つ以上のAZにある複数のターゲットへ分散する」という基本の役割は変わりません。違うのは、何を見て、どのプロトコルで、どう通すかだけです。

用語

Elastic Load Balancing

1つ以上のアベイラビリティゾーンにある複数のターゲットへ、受信するアプリケーショントラフィックを自動的に分散するサービス。ELBと略す。

Application Load Balancer

レイヤー7で動作するロードバランサ。HTTP、HTTPS、gRPCを扱い、内容に基づく柔軟な振り分けができる。ALBと略す。

Network Load Balancer

レイヤー4で動作するロードバランサ。TCP、UDP、TLSを扱う。極めて高いパフォーマンスと静的IPが必要な場合に選ぶ。NLBと略す。

Gateway Load Balancer

レイヤー3と4で動作しIPを扱うロードバランサ。アプライアンス型のセキュリティ機能やネットワーク機能を、フローを終端せず透過的に通す。

コンテンツベースルーティング

URLのパスやホスト名といったHTTPの中身を判断材料にして、リクエストの送り先を変える振り分け方。レイヤー7で動くALBの持ち味。

静的IPアドレス

変わらないIPアドレス。相手側のファイアウォールに登録してもらう必要があるときに要る。3種類のうちNLBの持ち味として挙げられる。

gRPC

ALBが扱えるプロトコルの1つ。HTTP、HTTPSと並んでALBの対応表に載っており、NLBやGWLBでは扱わない。

ターゲット

ロードバランサが振り分ける先のリソース。1つ以上のアベイラビリティゾーンにまたがって配置でき、そこがELBの可用性設計の要になる。

アプライアンス透過

GWLBの性質。通信のフローを終端せず、検査装置などへそのまま通す。ALBやNLBのように自分が通信を受けて分散するのとは考え方が違う。

Classic Load Balancer

古い世代のロードバランサ。TCP、SSL/TLS、HTTP、HTTPSに対応する。現在は用途に応じてALB・NLB・GWLBから選ぶのが基本。

レイヤー7

OSI参照モデルのアプリケーション層。ここまで見ると、HTTPのパスやホスト名といった中身を判断材料にできる。ALBが動作する層。

レイヤー4

OSI参照モデルのトランスポート層。TCPやUDPのポート番号までを見る。NLBが動作する層で、HTTPの中身までは見ない。

例題

出典・根拠：Amazon Web Services, Inc.「Elastic Load Balancing ユーザーガイド」（2026年8月確認）

3. IAMとセキュリティのサービス

誰が入れて何ができるかを決めるIAMを軸に、鍵・防御・秘密・アプリ利用者のIDまでを一列に並べます。

AWS Identity and Access Management（IAM）は、AWSリソースへのアクセスを安全に制御するサービスです。公式の説明では「誰が認証（サインイン）され、誰が認可（権限を持つ）されるかを管理する」とされています。認証と認可は別の段階です。認証は本人であることを確かめること、認可はそのうえで何をしてよいかを決めること。サインインできたのに操作ができない、という状況は障害ではなく、認可がまだ与えられていないだけ、ということがよくあります。

IAMで扱う主な部品は、ユーザー・グループ・ロール・ポリシーです。ユーザーは個々の主体、グループはユーザーをまとめたもの、ロールは一時的に引き受けて使う権限のまとまり、ポリシーは何を許可し何を拒否するかを書いた文書です。認可はポリシーによって表現され、それをユーザー・グループ・ロールのどれに結び付けるかで適用範囲が決まります。まずポリシーに書いてあることがすべて、と考えると整理しやすくなります。

AWS Key Management Service（KMS）は、データの暗号化や署名に使うキーの作成と制御を容易にするマネージドサービスです。KMSキーは FIPS 140-3 セキュリティレベル3 の認証を受けたHSMで保護され、暗号化されない状態でKMSの外に出ることはありません。ここが要点で、鍵そのものをファイルに書き出して配る、という使い方は成立しません。鍵を渡すのではなく、暗号化や復号の操作をKMSに依頼できるよう、相手にIAMで権限を与えるのが筋です。

AWS WAF は、保護対象のWebアプリケーションリソースへ転送されるHTTPおよびHTTPSリクエストを監視し、コンテンツへのアクセスを制御するWebアプリケーションファイアウォールです。リクエストに対して取れる動作は、許可、ブロック、カウント、そしてCAPTCHAやチャレンジです。カウントという選択肢があるのが実務では効きます。いきなりブロックせず、まず数えて影響を見てから本番のルールにする、という進め方ができるからです。

AWS Shield はDDoS攻撃からの保護を担います。Standard は AWS WAF などに追加費用なしで自動的に含まれる基本保護です。Advanced は追加料金の拡張保護で、レイヤー7のDDoSの自動緩和、詳細な可視化、そして Shield Response Team（SRT）による専任のサポートが受けられます。まず Standard が働いている前提で考え、それ以上が要るときに Advanced を検討する、という順序になります。

AWS Secrets Manager は、データベース認証情報、アプリケーション認証情報、OAuthトークン、APIキーといったシークレットを、ライフサイクル全体にわたって管理・取得・ローテーションするサービスです。値そのものを安全に持ち回りたいときの置き場所、と考えてください。鍵そのものを扱うKMSとは役割が隣り合っていますが、KMSが暗号化の道具を管理するのに対し、Secrets Manager は秘密の値を管理します。

Amazon Cognito は、Webアプリやモバイルアプリ向けのIDプラットフォームです。混同しやすいのが2つのプールです。ユーザープールは、アプリやAPIに対してユーザーを認証・認可するユーザーディレクトリで、独立したOIDCのIdPとして機能し、OAuth 2.0のトークンやJWTを発行します。IDプールは、認証済みまたは未認証のユーザーにAWSリソースへのアクセス権を与えるもので、AWS STS 経由で一時的なAWS認証情報を発行します。そして両者の統合は互いに必須ではありません。片方だけでも使えます。

最後に AWS Firewall Manager です。これは個々の防御を行うサービスではなく、AWS WAF、Shield Advanced、VPCのセキュリティグループとネットワークACL、Network Firewall、Route 53 Resolver DNS Firewall といった保護を、複数アカウント・複数リソースにまたがって一元管理するためのものです。アカウントが増えてきて、同じ保護をどこにも漏れなく効かせたい、という段階で出てきます。

用語

AWS IAM

AWSリソースへのアクセスを安全に制御するサービス。誰が認証（サインイン）され、誰が認可（権限を持つ）されるかを管理する。

認証

本人であることを確かめる段階。サインインできるかどうかの話であり、何をしてよいかまでは決めない。

認可

認証を済ませた主体が、何をしてよいかを決める段階。ポリシーで表現され、ユーザー・グループ・ロールに結び付けて適用する。

IAMロール

一時的に引き受けて使う権限のまとまり。特定の人に固定するのではなく、必要なときに引き受ける形で権限を渡せる。

IAMポリシー

何を許可し何を拒否するかを書いた文書。認可の実体はここにあり、ユーザー・グループ・ロールのどれに結び付けるかで適用範囲が決まる。

AWS KMS

暗号化や署名に使うキーの作成と制御を容易にするマネージドサービス。KMSキーは認証を受けたHSMで保護される。

HSM

鍵を保護する専用のハードウェア。KMSキーは FIPS 140-3 セキュリティレベル3 の認証を受けたHSMで守られ、平文のまま外に出ない。

AWS WAF

保護対象へ転送されるHTTPおよびHTTPSリクエストを監視し、アクセスを制御するWebアプリケーションファイアウォール。

Shield Standard

AWS Shield の基本保護。AWS WAF などに追加費用なしで自動的に含まれる。DDoS攻撃に対する土台となる防御。

Shield Advanced

追加料金の拡張保護。レイヤー7のDDoSの自動緩和、詳細な可視化、Shield Response Team による専任サポートを提供する。

Shield Response Team

SRT。Shield Advanced で受けられる専任のサポート体制。攻撃を受けている最中の対応を支援する。

AWS Secrets Manager

データベース認証情報、アプリケーション認証情報、OAuthトークン、APIキーなどを、ライフサイクル全体にわたって管理・取得・ローテーションするサービス。

ローテーション

シークレットの値を定期的に入れ替えること。Secrets Manager が管理する対象のライフサイクルに含まれる操作の1つ。

ユーザープール

Cognito の機能。アプリやAPIに対してユーザーを認証・認可するユーザーディレクトリで、OIDCのIdPとしてトークンやJWTを発行する。

IDプール

Cognito の機能。認証済みまたは未認証のユーザーにAWSリソースへのアクセス権を与え、AWS STS 経由で一時的なAWS認証情報を発行する。

AWS STS

一時的な認証情報を発行する仕組み。Cognito のIDプールは、これを経由してAWSリソースへアクセスするための認証情報を渡す。

AWS Firewall Manager

WAF、Shield Advanced、セキュリティグループとネットワークACL、Network Firewall、Route 53 Resolver DNS Firewall の保護を、複数アカウントにまたがって一元管理する。

例題

出典・根拠：Amazon Web Services, Inc.「AWS Identity and Access Management ユーザーガイド」（2026年8月確認）

4. 監視と記録とIaCと料金

CloudWatch・CloudTrail・Config の3つを混ぜないこと。そのうえで、コミットの仕方で料金がどう変わるかを整理します。

Amazon CloudWatch は、AWSリソースとその上で動くアプリケーションをリアルタイムで監視するサービスです。メトリクス、ログ、アラーム、ダッシュボードによって、アプリケーションのパフォーマンス、運用状態、リソース使用率をシステム全体にわたって見えるようにします。答えられる問いは「今、何がどれだけ動いているか」です。CPUが上がった、エラーが増えた、といった性能と状態の話は、まずここを見ます。

AWS CloudTrail は、AWSアカウントの運用・リスク監査、ガバナンス、コンプライアンスのためのサービスで、ユーザー・ロール・AWSサービスが取ったアクションをイベントとして記録します。対象はマネジメントコンソール、CLI、SDKやAPI経由の操作です。答えられる問いは「誰が、いつ、どのAPI操作をしたか」です。設定を変えたのは誰か、という問いに答えられるのはこのサービスだけです。

AWS Config は、AWSリソースの構成の詳細なビューを提供します。リソース同士の関係、および過去にどう構成されていたかを記録し、構成と関係が時間とともにどう変化したかを追跡できます。さらに Config ルールで構成を評価し、違反しているリソースを非準拠としてフラグします。答えられる問いは「今どう構成されていて、いつどう変わったか」です。3つを一列に並べると、CloudWatch が性能と状態、CloudTrail が操作の記録、Config が構成の記録と準拠性評価、となります。

3つは競合するサービスではありません。CloudTrail のトレイルは S3 バケットに保存され、オプションで CloudWatch Logs にも配信できます。つまり CloudTrail が送る側、CloudWatch Logs が受け先という関係も成り立ちます。試験では「誰が」なら CloudTrail、「どう構成されているか」なら Config、「どれだけ動いているか」なら CloudWatch、と機械的に振り分けて構いません。

AWS CloudFormation は、AWSリソースをモデル化してセットアップするサービスです。必要なリソースを記述したテキストファイルであるテンプレートを作成すると、CloudFormation がそのとおりにリソースをプロビジョニングし設定します。作成されたリソース群はスタックという1つの単位で管理でき、まとめて削除もできます。これがインフラをコードとして扱う、いわゆるIaCの形です。テンプレートが設計図、スタックが出来上がったものの一まとまり、という対応で覚えてください。

AWS Systems Manager は、AWS・オンプレミス・マルチクラウドの各環境にあるノードを、大規模に一元的に表示・管理・運用するための統合インターフェイスです。Run Command、Session Manager、Automation、Parameter Store、Patch Manager、Fleet Manager といった機能を含みます。台数が増えたときに、1台ずつ入って作業するのをやめるための道具、と考えるとよいでしょう。

料金の考え方は4つの原則で整理されています。従量課金は使った分だけ支払うこと。コミットして節約は、Savings Plans により1年または3年の期間で特定の使用量にコミットする代わりに割引を受けること。使うほど安くなるは、S3やデータ転送などで段階的な料金体系が適用され、使用量が増えるほど単価が下がること。定額は、複数のサービスを月額固定料金にまとめること。まずこの4つを頭に置きます。

EC2の購入オプションは、性質の違いで覚えます。オンデマンドは前払いも長期のコミットもなく、時間単位または秒単位の従量課金です。Savings Plans は使用量へのコミット。リザーブドインスタンスはインスタンスタイプ・プラットフォーム・テナンシーといった属性へのコミット。スポットインスタンスは、AWSクラウドの未使用のEC2キャパシティを使うもので、大幅な割引がある代わりに中断されることがあります。期間はいずれも1年または3年、支払いは全額前払い・一部前払い・前払いなしから選びます。割引率の数字は変わるので、覚えるのは性質のほうです。

Savings Plans の中では、Compute Savings Plans と EC2 Instance Savings Plans の違いが問われます。Compute は最も柔軟で、インスタンスファミリーの変更、リージョンの変更、EC2 と Fargate と Lambda の間の移行、OSの変更に対応します。EC2 Instance は特定リージョンの特定インスタンスファミリーにコミットするため、ファミリー内のサイズ変更やOSの変更はできても、ファミリーとリージョンの変更はできません。リザーブドインスタンスにも Standard と Convertible があり、Convertible は同等以上の価値の別のものと交換できます。

用語

Amazon CloudWatch

AWSリソースとアプリケーションをリアルタイムで監視するサービス。メトリクス、ログ、アラーム、ダッシュボードで性能と状態を見える化する。

AWS CloudTrail

ユーザー・ロール・AWSサービスが取ったアクションをイベントとして記録するサービス。誰がどのAPI操作をしたかを後から追える。

AWS Config

AWSリソースの構成と関係、およびその変化を記録するサービス。Config ルールで評価し、違反リソースを非準拠としてフラグする。

Config ルール

AWS Config が構成を評価するための決まりごと。評価に通らないリソースを非準拠として示し、準拠性の管理に使う。

AWS CloudFormation

テンプレートに書いたとおりにAWSリソースをプロビジョニング・設定するサービス。インフラをコードとして扱うIaCの代表。

テンプレート

CloudFormation で、必要なリソースを記述したテキストファイル。これを読み込ませると、記述どおりのリソースが作られる。

スタック

CloudFormation が作成したリソース群を、1つの単位としてまとめたもの。まとめて管理でき、まとめて削除もできる。

AWS Systems Manager

AWS・オンプレミス・マルチクラウドのノードを大規模に一元管理する統合インターフェイス。Run Command や Session Manager などを含む。

オンデマンド

EC2の購入オプション。前払いも長期のコミットもなく、時間単位または秒単位で従量課金される。使用量が読めないときに向く。

Savings Plans

一定の使用量へのコミットと引き換えに割引を受ける料金モデル。期間は1年または3年、支払いは全額前払い・一部前払い・前払いなしから選ぶ。

Compute Savings Plans

最も柔軟な Savings Plans。インスタンスファミリーの変更、リージョンの変更、EC2 と Fargate と Lambda の間の移行、OSの変更に対応する。

EC2 Instance Savings Plans

特定リージョンの特定インスタンスファミリーにコミットする Savings Plans。ファミリーとリージョンの変更はできない。

リザーブドインスタンス

インスタンスタイプ・プラットフォーム・テナンシーといった属性にコミットして割引を受ける料金モデル。Standard と Convertible がある。

Convertible RI

同等以上の価値の別のものと交換でき、インスタンスファミリー、OS、テナンシー、支払いオプションを変更できるリザーブドインスタンス。

スポットインスタンス

AWSクラウドの未使用のEC2キャパシティを使う購入オプション。大幅な割引がある代わりに中断されることがある。

従量課金

使った分だけ支払うというAWSの料金の原則。長期のコミットメントなしに、予測ではなく実需に応じてスケールできる。

例題

出典・根拠：Amazon Web Services, Inc.「Amazon CloudWatch ユーザーガイド」（2026年8月確認）

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。