transitgateway

AWS Transit Gateway

概要

AWS Transit Gateway の設定に関するドメイン知識です。AWS Transit Gateway は、ポイントツーポイント接続のメッシュではなく、単一のルーターを介して多数の VPC とオンプレミスネットワークを接続するリージョナルネットワークハブです。ハブの構築と VPC のアタッチ、ルートテーブルによるトラフィックのセグメント化、送信トラフィックと検査の一元化、AWS Network Firewall による東西トラフィックの検査、Site-to-Site VPN および Direct Connect を利用したハイブリッド接続、リージョン間ピアリング、VPC ピアリングメッシュからの移行、IP マルチキャストについて説明します。

このスキルはルーターです。各顧客タスクは、references/ 内の手順ファイルに対応しています。作業を開始する前に、該当するリファレンスを最後まで読み、その制約と手順に従ってください。リファレンスファイルはそれぞれ単独で完結しており、独自の判断表、制約、手順、トラブルシューティングを含みます。

接続されている場合は、AWS MCP サーバーを使用してコマンドを実行してください（サンドボックス化された実行、監査ログ、可観測性）。それ以外の場合は、AWS CLI を使用してください。すべての CLI 操作では、最小権限の一時的な認証情報（AWS STS または AWS IAM Identity Center / SSO を通じて引き受けた IAM ロール）を使用してください。長期間有効な IAM ユーザーのアクセスキーは使用しないでください。Transit Gateway はリージョナルリソースです。各 aws ec2 Transit Gateway コマンドは、ハブが存在するリージョンで実行してください。

どの Transit Gateway タスクが必要ですか？

目的	リファレンス
リージョナルハブを作成して VPC を接続する	Transit Gateway の作成と VPC のアタッチ
一部の VPC を分離しながら、ほかの VPC にはサービスの共有を許可する	ルートテーブルによるトラフィックのセグメント化
すべてのスポークトラフィックを、検査を行う単一の送信 VPC 経由で送信する	送信トラフィックと検査の一元化
AWS Network Firewall で VPC 間のトラフィックを検査する	Network Firewall による東西トラフィックの検査
Site-to-Site VPN または Direct Connect を介してオンプレミスネットワークに接続する	オンプレミスネットワークの接続
AWS ネットワークを介して、2 つのリージョンにある Transit Gateway を接続する	リージョン間の Transit Gateway のピアリング
トラフィックを途切れさせずに VPC ピアリングメッシュから移行する	VPC ピアリングからの移行
アタッチされた VPC 間で IP マルチキャストを配信する	マルチキャストトラフィックのルーティング

ルーティングに関する注意事項

• 構築前にセグメンテーションを決めてください。 「デフォルトのルートテーブル関連付け」と「デフォルトのルートテーブル伝播」はデフォルトで有効になっており、すべてのアタッチメントを1つのオープンなメッシュに接続します。顧客が環境の分離を計画している場合、作成手順では最初にデフォルト設定を無効にし、セグメンテーションの手順に引き継ぎます。オープンなハブに後から分離を導入するには、再設計が必要です。
• 南北方向のエグレスと東西方向の検査。 エグレスを一元化すると、スポークのトラフィックは中央の VPC を経由してインターネットに送信されます。東西方向の検査では、スポーク間のトラフィックを内部にとどめ、経路上でファイアウォールを通過させます。似ているように見えますが、使用するルートテーブルの構成は異なります。顧客の実際のトラフィック方向に合った手順を選んでください。
• 検査におけるアプライアンスと Gateway Load Balancer の違い。 サードパーティ製のアプライアンスを直接使用する方法と、Gateway Load Balancer（GWLB）エンドポイントを使用する方法は、同じ目的を達成する2つの方法です。新しい設計では GWLB の使用を推奨します。どちらもエグレスを一元化する手順に記載されており、アプライアンスモードと GWLB エンドポイントではルートテーブルのエントリが異なるため、手順でそれぞれを説明しています。
• アベイラビリティーゾーンをまたぐステートフル検査にはアプライアンスモードが必要ですが、トレードオフがあります。 アプライアンスモードでは、各フローを1つのアベイラビリティーゾーン内のアプライアンスに通すため、リクエストとレスポンスが分割されません。また、このアタッチメントではアベイラビリティーゾーンをまたぐフェイルオーバーが無効になるため、検査設計にはヘルスチェックに基づくフェイルオーバーを組み合わせる必要があります。エグレスと東西方向の両方の手順で、この点を説明しています。
• Transit Gateway 側と Direct Connect 側。 オンプレミスネットワークの接続手順では、Transit Gateway 側を扱います。具体的には、Site-to-Site VPN アタッチメントのオプション、ルート伝播、等コストマルチパス（ECMP）です。Direct Connect ゲートウェイと仮想インターフェイスの設定は、別の directconnect スキルで扱います。ここでは Direct Connect 側について重ねて説明しないでください。

セキュリティに関する考慮事項

Transit Gateway は、多数の VPC とオンプレミスネットワークにとって中心的なルーティングポイントであるため、ここで設定を誤ると、アタッチされているすべてのネットワークに影響が及びます。具体的なタスクに関係なく、以下の制御を適用してください。詳細は各タスクの手順に記載されています。

• ハブ全体のトラフィック可視化、監査、インシデント対応のために、Transit Gateway Flow Logs を必ず有効にしてください。また、保存先で保存時の暗号化を必ず有効にしてください（CloudWatch ロググループの KMS キー、または S3 バケットの SSE-KMS）。
• KMS キーでフローログの保存先（CloudWatch ロググループまたは S3 バケット）や CloudTrail の保存先を暗号化する場合は、条件キー（aws:SourceArn、aws:SourceAccount、kms:ViaService）を使用して KMS キーポリシーの範囲を絞り込み、想定されるアカウントとサービス内の特定のロググループ、バケット、または証跡のみがキーを使用できるようにしてください。これにより、アカウント間またはサービス間での不正使用を防止できます。
• Transit Gateway の管理には最小権限の IAM を適用することを推奨します。サービスのワイルドカードや FullAccess ポリシーを避け、アタッチメントの作成、ルートテーブルの変更、関連付けや伝播の変更を許可するユーザーを制限してください。
• Site-to-Site VPN トンネルで強力な暗号化（たとえば AES-256-GCM と IKEv2）を使用し、トンネルログを CloudWatch Logs に出力して、暗号化（KMS キー）を有効にすることを推奨します。これにより、機密性の高い接続状態や IKE ネゴシエーションの詳細を不正アクセスから保護できます（オンプレミスネットワークの接続に関する手順を参照）。
• Transit Gateway のルートテーブルの設定ミスはセキュリティリスクとして扱ってください。関連付けや伝播を誤ると、分離を維持する必要がある環境間でワークロードが公開される可能性があります（トラフィックのセグメンテーションに関する手順を参照）。
• Transit Gateway のルートテーブル、関連付け、伝播に対する不正な変更を検出するため、AWS CloudTrail を必ず有効にしてください。CloudTrail の保存先では保存時の暗号化（KMS キー）を必ず有効にし、AWS Config ルールを使用して意図した設計からのドリフトを検出してください。

その他のリソース

• AWS Transit Gateway ガイド
• AWS Transit Gateway の製品ページ
• AWS Transit Gateway の料金