ある企業はAWSアカウント内に8つのVPCを所有しており、オンプレミスデータセンターとはAWS Direct Connect で接続している。現在一部のVPC間通信にVPCピアリングを使用しているが、VPCの増加とともに

Question

ある企業はAWSアカウント内に8つのVPCを所有しており、オンプレミスデータセンターとはAWS Direct Connect で接続している。現在一部のVPC間通信にVPCピアリングを使用しているが、VPCの増加とともに設定変更の工数と設定ミスが増えている。すべてのVPC間通信とオンプレミス接続を一元管理し、VPC追加時の運用負荷を最小化する構成はどれか。

Accepted Answer

正解: AWS Transit Gateway を作成してすべてのVPCをアタッチし、Direct Connect ゲートウェイと関連付けてルートテーブルで経路を一元管理する。AWS Transit Gateway はハブアンドスポーク型でVPC間通信とDirect Connect接続を一元化し、VPC追加時はTGWへのアタッチのみで済むため管理の複雑さが増大しない。

Answer

AWS PrivateLink を使用して各VPCにサービスエンドポイントを作成し、Direct Connect ゲートウェイをハブVPCに集約して各VPCへルートを伝播する — AWS PrivateLink は特定サービスのエンドポイントを他VPCへ公開する設計であり、VPC間の汎用ルーティングには各サービスにエンドポイント設定が必要で管理が複雑化する。

Answer

すべてのVPC間にVPCピアリングをフルメッシュで設定し、Direct Connect ゲートウェイのルートテーブルに各VPCのCIDRを手動で追加して管理する — VPCピアリングのフルメッシュは8VPC時に最大28接続が必要で、Direct Connectルートの手動管理も加わり運用負荷の低減にならない。

Answer

AWS Site-to-Site VPN と VPN CloudHub を組み合わせてオンプレミス接続とVPCハブを構成し、VPC間通信をVPN経由でルーティングする — AWS VPN CloudHub は複数のオンプレミスサイトをVPN経由でハブ接続する構成であり、複数VPC間の直接ルーティング一元管理には適していない。

解説