directconnect

AWS Direct Connect

概要

AWS Direct Connect の設定に関する専門知識を提供します。AWS Direct Connect は、パブリックインターネット経由でルーティングする代わりに、お客様のデータセンターまたはコロケーション環境と AWS の間に、プライベートで安定したネットワークリンクを提供するサービスです。接続モデルの選択とクロスコネクトの完了、仮想インターフェイスの作成とボーダーゲートウェイプロトコル（BGP）の確立、Direct Connect ゲートウェイを介した複数の VPC への接続、転送中のトラフィックの暗号化、接続の耐障害性の確保、リンクアグリゲーショングループの管理、SiteLink、および仮想プライベートゲートウェイからトランジットゲートウェイへの移行について説明します。

このスキルはルーターです。お客様の各タスクに対応する手順ファイルが references/ の下にあります。作業を開始する前に、該当するリファレンスをすべて読み、その制約と手順に従ってください。リファレンスファイルはそれぞれ単独で利用でき、独自の判断表、制約、手順、トラブルシューティングを含んでいます。

接続中は、AWS MCP サーバーを使用してコマンドを実行してください（サンドボックスでの実行、監査ログ、可観測性）。それ以外の場合は AWS CLI を使用してください。Direct Connect コンソールはリージョン単位のため、aws directconnect コマンドにはお客様が作業する --region を指定してください。Direct Connect ゲートウェイはグローバルリソースですが、リージョンコンソールのビューからアクセスします。

どの Direct Connect タスクが必要ですか？

目標	リファレンス
専用接続、ホスト接続、リンクアグリゲーショングループのいずれかを選択し、クロスコネクトを完了する	Direct Connect の接続タイプを選択する
プライベート、パブリック、またはトランジットの仮想インターフェイスを作成し、BGP を確立する	仮想インターフェイスを作成して BGP を設定する
Direct Connect ゲートウェイを介して、1 つの接続で複数の VPC に接続する	Direct Connect ゲートウェイを介して複数の VPC に接続する
MACsec またはプライベート IP の Site-to-Site VPN で転送中のトラフィックを暗号化する	Direct Connect 経由のトラフィックを暗号化する
接続の障害時の継続性を確保し、フェイルオーバー速度を調整する	Direct Connect 接続の耐障害性を確保する
接続を 1 つの論理リンクにまとめ、メンバーを管理する	リンクアグリゲーショングループを管理する
AWS バックボーン経由でオンプレミスのサイト同士を接続する	SiteLink を設定する
トラフィックを中断せずに仮想プライベートゲートウェイからトランジットゲートウェイに移行する	仮想プライベートゲートウェイからトランジットゲートウェイに移行する

ルーティングに関する注意事項

• 最初に接続モデルを決めます。 接続タイプの選択に関するリファレンスは、まだ接続がないお客様にとっての入口です。専用接続、ホスト型接続、リンクアグリゲーショングループのいずれにするかを決め、選択した速度がロケーションでサポートされているかを確認し、ホスト型接続とホスト型仮想インターフェイスを区別します。この2つはお客様が頻繁に混同します。接続の作成後はポート速度を変更できないため、クロスコネクトを発注する前にこのリファレンスを確認してください。
• 仮想インターフェイスがないと、接続にトラフィックは流れません。 クロスコネクトが有効になったら、次に仮想インターフェイスの作成に関するリファレンスを確認する必要があります。仮想インターフェイスのタイプ（プライベート、パブリック、トランジット）によって接続先が決まり、このタイプは作成後に変更できません。ジャンボフレームの最大伝送単位（MTU）は作成時に設定してください。ただし、プライベートまたはトランジットの仮想インターフェイスでは、後から変更できます。その際、短時間の接続中断が発生します。
• VPCが1つか、複数か。 1つのリージョンにある単一のVPCには、仮想プライベートゲートウェイへのプライベート仮想インターフェイスを介して接続できます。複数のVPCへの接続、アカウントをまたぐ接続、リージョンをまたぐ接続には、Direct Connect ゲートウェイのリファレンスを使用します。このリファレンスでは、アカウント間のトランジットゲートウェイの提案と承認の手順も扱います。
• 暗号化は個別に、意図して行う必要があります。 Direct Connect のトラフィックは、デフォルトでは転送中に暗号化されません。トラフィックの暗号化に関するリファレンスでは、MACsec（レイヤー2、クロスコネクト上）と、トランジット仮想インターフェイスを介したプライベート IP Site-to-Site VPN（推奨される IPsec 経路）を比較します。お客様が規制対象データや暗号化について言及した場合は、ここを案内してください。
• レジリエンシーモデルとフェイルオーバー速度は別の問題です。 レジリエンスに関するリファレンスでは、両方を扱います。Resiliency Toolkit ではトポロジーとサービスレベル目標を設定し、BGP ホールドタイマーの調整と双方向フォワーディング検出（BFD）では、実際のフェイルオーバーの収束速度を設定します。
• モデルとしてのリンクアグリゲーショングループと、継続的な管理としてのリンクアグリゲーショングループ。 接続タイプのリファレンスでは、発注時に選ぶモデルの1つとしてリンクアグリゲーショングループを紹介します。メンバーの追加・削除や最小リンク数の動作など、継続的な管理については、リンクアグリゲーショングループの管理に関するリファレンスで扱います。メンバーを削除すると、グループ全体がダウンする場合があります。
• 移行には実行順序があります。 仮想プライベートゲートウェイからトランジットゲートウェイへの移行に関するリファレンスがあるのは、切り替え手順を間違った順序で実行すると、本番トラフィックが途切れるためです。「単一VPCモデルでは足りなくなった」という依頼は、通常の Direct Connect ゲートウェイのリファレンスではなく、こちらに案内してください。

セキュリティに関する考慮事項

Direct Connect は VPC リソースへのプライベートリンクを提供するため、セキュリティ体制はパブリックインターネット経由の場合とは異なります。すべてのタスクで次の点を考慮してください。

• デフォルトでは暗号化されません。 Direct Connect では転送中のトラフィックは暗号化されません。規制対象または機密データをリンク経由で送信する前に、暗号化を独立した意図的な手順（MACsec またはプライベート IP Site-to-Site VPN）として実施する必要があります。暗号化トラフィックのリファレンスを参照してください。
• 物理セキュリティとコロケーションのセキュリティ。 リンクは、Direct Connect ロケーションまたはパートナーのコロケーション施設にある顧客側の機器で終端します。その施設の物理的なアクセス制御とパートナーへの信頼も、接続のセキュリティ境界の一部であることを顧客に伝えることを推奨します。
• モニタリングとアラート。 接続状態と仮想インターフェイスの BGP ステータスに対する CloudWatch アラームを推奨してください。接続状態の変化や障害を、手動で検知するのではなく、アラートで通知できるようにします。
• 監査ログ。 CloudTrail が有効になっており、directconnect API 呼び出し（接続、仮想インターフェイス、ゲートウェイ関連付けの変更）が記録されていることを確認してください。すべての設定変更が監査とコンプライアンスのために記録されます。
• CloudWatch Logs の暗号化。 Direct Connect 関連のログまたはアラーム状態データを受け取る CloudWatch Logs のロググループは、KMS キーで暗号化することを推奨します。これにより、機密性の高い接続メタデータが保存時に保護されます。
• 最小権限の IAM。 directconnect API アクションの IAM 権限は、各プリンシパルに必要な特定のアクションとリソースに限定し、長期間有効な IAM ユーザーのアクセスキーよりも一時的な IAM 認証情報を優先する必要があります。directconnect:* をリソース * に対して許可したり、*FullAccess 管理ポリシーをアタッチしたりしてはいけません。代わりに、接続用の arn:aws:directconnect:*:*:dxcon/{connection_id} など、特定のリソース ARN にアクションを限定してください。これにより、プリンシパルが侵害されても、アカウント内のすべての Direct Connect リソースを操作できないようにします。
• VPC 間のルート漏えい。 VPC CIDR と重複するスーパーネットをアドバタイズすると、共有 Direct Connect ゲートウェイ経由で意図しない VPC 間トラフィックが発生する可能性があることを警告してください。具体的なプレフィックス、個別のゲートウェイ、または Transit Gateway のブラックホールルートを使用して緩和してください。

追加リソース

• AWS Direct Connect ユーザーガイド
• AWS Direct Connect のセキュリティ（AWS Direct Connect ユーザーガイド）
• AWS Direct Connect 製品ページ
• AWS Direct Connect の料金