Amazon VPC Transit Gateway の Amazon VPC アタッチメント - Amazon VPC
VPC アタッチメントのライフサイクルセキュリティグループの参照

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon VPC Transit Gateway の Amazon VPC アタッチメント

トランジットゲートウェイへの Amazon Virtual Private Cloud （VPC) アタッチメントを使用すると、1 つ以上の VPC サブネットとの間でトラフィックをルーティングできます。VPC をトランジットゲートウェイにアタッチするときは、トラフィックをルーティングするためにトランジットゲートウェイが使用する各アベイラビリティーゾーンから 1 つのサブネットを指定する必要があります。1 つのアベイラビリティーゾーンから 1 つのサブネットを指定すると、そのアベイラビリティーゾーン内のすべてのサブネットのリソースにトラフィックが到達できるようになります。

制限

  • VPC をトランジットゲートウェイにアタッチすると、トランジットゲートウェイアタッチメントがないアベイラビリティーゾーンのリソースはトランジットゲートウェイに到達できません。Transit Gateway へのルートがサブネットルートテーブルにある場合、トラフィックが Transit Gateway に転送されるのは、Transit Gateway のアタッチメントが同じアベイラビリティーゾーンのサブネットにある場合のみです。

  • トランジットゲートウェイは、Amazon Route 53 のプライベートホストゾーンを使用してセットアップされたアタッチされた DNS のカスタム Word 名の VPCs DNS解決をサポートしていません。トランジットゲートウェイにアタッチされたすべての VPCs のプライベートホストゾーンの名前解決を設定するには、「Amazon Route 53 と AWS Transit Gateway によるハイブリッドクラウドの集中型 DNS 管理」を参照してください。

  • トランジットゲートウェイは、同じVPCsを持つCIDRs間のルーティングをサポートしていません。VPC をトランジットゲートウェイにアタッチし、その CIDR がトランジットゲートウェイに既にアタッチされている別の VPC CIDRの Word と同じである場合、新しくアタッチされた VPC のルートはトランジットゲートウェイのルートテーブルに伝達されません。

  • ローカルゾーンに存在する VPC サブネットのアタッチメントを作成することはできません。ただし、ローカルゾーンのサブネットを、親アベイラビリティーゾーンを介して Transit Gateway に接続できるようにネットワークを設定することが可能です。詳細については、「ローカルゾーンのサブネットを Transit Gateway に接続する」を参照してください。

  • IPv6 専用サブネットを使用してトランジットゲートウェイアタッチメントを作成することはできません。トランジットゲートウェイアタッチメントサブネットは IPv4 アドレスもサポートする必要があります。

  • トランジットゲートウェイをルートテーブルに追加するには、トランジットゲートウェイに少なくとも 1 つの VPC アタッチメントが必要です。

VPC アタッチメントのライフサイクル

VPC アタッチメントは、リクエストが開始されたときからさまざまな段階を経ます。各段階で実行できるアクションがあり、そのライフサイクルの最後に、VPC アタッチメントは と API またはコマンドライン出力に Amazon Virtual Private Cloud Console 一定期間表示されます。

次の図は、単一のアカウント設定、または [共有アタッチメントを自動承諾] がオンになっているクロスアカウント設定で、アタッチメントが経る可能性のある状態を示しています。

VPC アタッチメントのライフサイクル

  • 保留中: VPC アタッチメントのリクエストが開始され、プロビジョニングプロセス中です。この段階では、アタッチメントは失敗するか、または available になる場合があります。

  • 失敗: VPC アタッチメントのリクエストが失敗しています。この段階では、VPC アタッチメントは になりますfailed。

  • 失敗: VPC アタッチメントのリクエストが失敗しました。この状態では、削除できません。失敗した VPC アタッチメントは 2 時間表示され、その後表示されなくなります。

  • 使用可能: VPC アタッチメントが使用可能で、トラフィックが VPC とトランジットゲートウェイの間で流れる可能性があります。この段階では、アタッチメントは modifying または deleting になる場合があります。

  • 削除中: 削除中の VPC アタッチメント。この段階では、アタッチメントは deleted になる場合があります。

  • 削除済み: VPC available アタッチメントが削除されました。この状態の間は、VPC アタッチメントを変更することはできません。VPC アタッチメントは 2 時間表示され、その後表示されなくなります。

  • 変更: VPC アタッチメントのプロパティを変更するリクエストが行われました。この段階では、アタッチメントは available または rolling back になる場合があります。

  • ロールバック: VPC アタッチメント変更リクエストを完了できず、システムは行われた変更を元に戻しています。この段階では、アタッチメントは available になる場合があります。

次の図は、[Auto accept shared attachments] (共有アタッチメントを自動承諾) がオフになっているクロスアカウント設定で、アタッチメントが経る可能性のある状態を示しています。

自動承認共有アタッチメントがオフになっているクロスアカウント VPC アタッチメントのライフサイクル

  • 承認待ち: VPC アタッチメントリクエストは承認を待っています。この段階では、アタッチメントは pending、rejecting、または deleting になる場合があります。

  • 拒否中: 拒否中の VPC アタッチメント。この段階では、アタッチメントは rejected になる場合があります。

  • 拒否： VPC pending acceptance アタッチメントが拒否されました。この状態の間は、VPC アタッチメントを変更することはできません。VPC アタッチメントは 2 時間表示され、その後表示されなくなります。

  • 保留中: VPC アタッチメントが受け入れられ、プロビジョニングプロセス中です。この段階では、アタッチメントは失敗するか、または available になる場合があります。

  • 失敗: VPC アタッチメントのリクエストが失敗しています。この段階では、VPC アタッチメントは になりますfailed。

  • 失敗: VPC アタッチメントのリクエストが失敗しました。この状態では、削除できません。失敗した VPC アタッチメントは 2 時間表示され、その後表示されなくなります。

  • 使用可能: VPC アタッチメントが使用可能で、トラフィックが VPC とトランジットゲートウェイの間で流れる可能性があります。この段階では、アタッチメントは modifying または deleting になる場合があります。

  • 削除: 削除中の VPC アタッチメント。この段階では、アタッチメントは deleted になる場合があります。

  • 削除済み: availableまたは VPC pending acceptance アタッチメントが削除されました。この状態の間は、VPC アタッチメントを変更することはできません。VPC アタッチメントは 2 時間表示され、その後表示されなくなります。

  • 変更: VPC アタッチメントのプロパティを変更するリクエストが行われました。この段階では、アタッチメントは available または rolling back になる場合があります。

  • ロールバック: VPC アタッチメント変更リクエストを完了できず、システムは行われた変更を元に戻しています。この段階では、アタッチメントは available になる場合があります。

セキュリティグループの参照

この機能を使用すると、同じトランジットゲートウェイにアタッチされている instance-to-instance 間の VPCs トラフィックのセキュリティグループの管理と制御を簡素化できます。セキュリティグループは、インバウンドルールでのみ相互参照できます。アウトバウンドセキュリティルールは、セキュリティグループの参照をサポートしていません。セキュリティグループ参照の有効化、または使用に関連する追加コストはありません。

セキュリティグループ参照のサポートは、トランジットゲートウェイとトランジットゲートウェイの VPC アタッチメントの両方で設定でき、トランジットゲートウェイとその VPC アタッチメントの両方で有効になっている場合にのみ機能します。

制限

VPC アタッチメントでセキュリティグループ参照を使用する場合、次の制限が適用されます。

  • セキュリティグループの参照は、アベイラビリティーゾーン use1-az3 の VPC アタッチメントではサポートされていません。

  • セキュリティグループの参照は、 PrivateLink エンドポイントではサポートされていません。代替として、IP CIDR ベースのセキュリティルールを使用することをお勧めします。

  • セキュリティグループ参照は、すべての出力セキュリティグループルールが EFS の EFS インターフェイスに対して設定されている限り、Elastic File System (VPC) で機能します。

  • トランジットゲートウェイ経由のローカルゾーン接続では、us-east-1-atl-2a、us-east-1-dfw-2a、us-east-1-iah-2a、us-west-2-lax-1a、us-west-2-lax-1b、us-east-1-mia-2a、us-east-1-chi-2a、us-west-2-phx-2a のみサポートされています。

  • この機能は、サービスが中断される可能性があるため、サポートされていないローカルゾーン、 AWS Outposts、Wavelength Zones のサブネットを持つ VPCs AWS の VPC アタッチメントレベルで無効にすることをお勧めします。

  • インスペクションVPCがある場合、トランジットゲートウェイを介して参照するセキュリティグループは、 AWS Gateway Load Balancer または AWS Network Firewall 全体で機能しません。

タスク