WKLD.10 – プライベートリソースをプライベートサブネットにデプロイする

EC2 インスタンス、データベース、キュー、キャッシュ、その他のインフラストラクチャなど、直接インターネットアクセスを必要としないリソースをVPCプライベートサブネットにデプロイします。プライベートサブネットでは、アタッチされたインターネットゲートウェイへのルートがルートテーブルに宣言されていないため、インターネットトラフィックを受信できません。インターネット宛てのプライベートサブネットから発信されるトラフィックは、マネージド AWS NATゲートウェイまたはパブリックサブネットでNATプロセスを実行するEC2インスタンスを介してネットワークアドレス変換 (NAT) を受ける必要があります。ネットワーク分離の詳細については、「Amazon のインフラストラクチャセキュリティVPC」(Amazon VPCドキュメント) を参照してください。

プライベートリソースとサブネットを作成するときは、以下のプラクティスを使用してください。

• プライベートサブネットを作成するときは、パブリックIPv4アドレス の自動割り当てを無効にします。

• プライベートEC2インスタンスを作成するときは、パブリック IP の自動割り当てを無効にします。これにより、設定ミスによりインスタンスがパブリックサブネットに想定外にデプロイされても、パブリック IP が割り当てられるのを防ぐことができます。

必要に応じて、設定の一部としてリソースのサブネットを指定します。モジュール式およびスケーラブルVPCアーキテクチャのクイックスタート (AWS クイックスタート) を使用して、ベストプラクティスVPCに従った をデプロイできます。