VPC内3層Webアプリ構成

概要

Webアプリを以下の3層に分けて配置する構成です。

1. プレゼンテーション層
2. アプリケーション層
3. データベース層

AWSでは、VPC、Subnet、Route Table、Security Group、ALB、EC2、RDSなどを組み合わせて実現します。

本プロジェクトのMVPでは使いませんが、SAAでは非常に重要な基本構成です。

構成図

flowchart TD
    User[ユーザー]
    IGW[Internet Gateway]
    ALB[Application Load Balancer]
    PublicSubnetA[Public Subnet AZ-a]
    PublicSubnetC[Public Subnet AZ-c]
    PrivateSubnetA[Private Subnet App AZ-a]
    PrivateSubnetC[Private Subnet App AZ-c]
    DBSubnetA[Private DB Subnet AZ-a]
    DBSubnetC[Private DB Subnet AZ-c]
    EC2A[EC2 App AZ-a]
    EC2C[EC2 App AZ-c]
    DBA[(RDS Primary)]
    DBC[(RDS Standby)]
    NAT[NAT Gateway 任意]
    CW[CloudWatch]

User -->|HTTPS| IGW
IGW --> ALB
ALB --> PublicSubnetA
ALB --> PublicSubnetC
PublicSubnetA --> EC2A
PublicSubnetC --> EC2C
EC2A --> PrivateSubnetA
EC2C --> PrivateSubnetC
EC2A -->|DB接続| DBA
EC2C -->|DB接続| DBA
DBA --> DBSubnetA
DBC --> DBSubnetC
DBA -.同期レプリケーション.-> DBC
EC2A -->|外部通信が必要な場合| NAT
EC2C -->|外部通信が必要な場合| NAT
EC2A -.ログ.-> CW
EC2C -.ログ.-> CW
```

この構成で実現できること

使用AWSサービス

通信フロー

1. ユーザーがWebサイトへHTTPSアクセスする
2. Internet Gateway経由でALBがリクエストを受け取る
3. ALBがPrivate Subnet内のEC2へリクエストを転送する
4. EC2アプリケーションがRDS PrimaryへDB接続する
5. RDS Multi-AZ構成の場合、PrimaryからStandbyへ同期レプリケーションされる
6. EC2やRDSのメトリクスをCloudWatchで確認する
7. 外部パッケージ取得などが必要な場合のみ、Private SubnetからNAT Gateway経由で外部通信する

設計ポイント

可用性

Public Subnet、Private Subnet、Database Subnetを複数AZに作成します。

ALBは複数AZにまたがってリクエストを分散します。

RDSはMulti-AZ構成にすることで、DB障害時にStandbyへフェイルオーバーできます。

セキュリティ

ALBだけをインターネットからアクセス可能にします。

EC2はPrivate Subnetに配置し、Security GroupではALBからの通信だけを許可します。

RDSはDatabase Subnetに配置し、Security Groupではアプリ層EC2からのDBポートだけを許可します。

コスト

ALB、EC2、RDS、NAT Gatewayは固定費や継続課金が発生しやすいです。

このプロジェクトのMVPでは、低コストを優先するため採用しません。学習用・SAA対策用の構成として扱います。

運用

CloudWatchでEC2のCPU使用率、ALBの5xx、RDSの接続数やCPU使用率を確認します。

SSM Session Managerを使うと、SSH用の踏み台サーバーを減らせます。

SAA試験で問われるポイント

• Public SubnetとPrivate Subnetの役割を理解する
• ALBはPublic Subnet、アプリケーションはPrivate Subnetに配置する
• DBはPrivate Subnetに配置し、直接インターネット公開しない
• Security Groupはステートフル、NACLはステートレス
• RDS Multi-AZは可用性向上、Read Replicaは読み取り性能向上
• Private Subnetからインターネットへ出る場合はNAT Gatewayが必要になる
• S3やDynamoDBへ閉域接続したい場合はVPC Endpointも候補になる

この構成の注意点

• NAT Gatewayは固定費が高くなりやすいため、個人MVPでは慎重に使う
• RDSは停止忘れやストレージ、バックアップで課金が続く
• DBをPublic Subnetに置かない
• EC2へSSHを0.0.0.0/0で開けない
• ルートテーブルの関連付けミスで通信できないケースが多い
• Multi-AZとRead Replicaの目的を混同しない

関連用語

• Amazon VPC
• Amazon EC2
• Elastic Load Balancing
• Amazon RDS
• Amazon CloudWatch
• IAM

関連比較

• Security Group / NACL の違い
• Multi-AZ / Read Replica の違い
• ALB / NLB / CloudFront の違い

まとめ

VPC内3層Webアプリ構成は、AWSのネットワーク設計を理解するための基本形です。

このプロジェクト本体では低コストのため採用しませんが、SAA対策と面接説明では非常に重要な構成です。