コンテナとサーバーレスのネットワーク ECS awsvpcモード・Lambda VPC接続・EKS VPC CNIを理解する

ANS-C01を目指す方向けに、コンテナやLambdaがVPCとどう接続されるかを整理します。試験では「タスクごとにセキュリティグループを分けたい」「LambdaからRDSへ接続したい」「PodのIPアドレスが枯渇した」といった要件やトラブルから、ネットワークモードや設定を正しく選ぶ力が問われます。

覚え方：3つの問いで整理する

いずれのサービスも「IPアドレスは誰が持つか(ENIの単位)」「セキュリティグループはどこに付くか」「アドレスは足りるか(枯渇対策)」の3つの問いで整理できます。

ECSのネットワークモード：awsvpcが基本

ECSではawsvpcモードがタスクごとに専用のENIを割り当て、タスク単位でプライベートIPアドレスとセキュリティグループを持てます(Fargateではこのモードのみ)。bridgeモードはホストのENIを共有しポートマッピングで公開するため、同一ポートのタスクをホストに複数置けず、セキュリティグループもホスト単位になります。hostモードはコンテナがホストのネットワークをそのまま使い、最高性能ですがポート競合が起きます。「タスクごとに通信を分離したい」「ALBのIPターゲットで直接ルーティングしたい」ならawsvpcが正解で、EC2起動タイプではインスタンスタイプごとのENI上限が制約になるため、ENIトランキングで密度を上げます。

LambdaのVPC接続：Hyperplane ENIと制約

LambdaをVPCに接続すると、サブネットとセキュリティグループの組み合わせごとにHyperplane ENIが作られ、関数はそれを共有して利用します(以前のような関数ごとのENI作成による遅延はほぼ解消)。VPC接続したLambdaは既定でインターネットに出られないため、外部APIやパブリックなAWSエンドポイントへはNATゲートウェイまたはVPCエンドポイントが必要です。関数の実行ロールにENI作成の権限(AWSLambdaVPCAccessExecutionRole)が必要な点も頻出です。

EKSのVPC CNI：PodにVPCのIPアドレスを直接割り当てる

EKSのAmazon VPC CNIプラグインは、Podに対してVPCのサブネットから実IPアドレスを割り当てるため、Podがセキュリティグループやフローログの対象として扱えます。一方でノードのENIとIP上限によりPod密度が制限され、大規模クラスターではサブネットのIPアドレス枯渇が課題になります。対策として、プレフィックス委任(ENIごとにIPアドレスのブロックをまとめて割り当てて密度を上げる)、Pod専用のセカンダリCIDR(カスタムネットワーキング)、IPv6クラスターがあります。Pod用セキュリティグループを使えばPod単位のアクセス制御も可能です。

チェックリスト

• ECSの3つのネットワークモードとawsvpcを選ぶ要件を説明できる
• ENIトランキングがどの制約を緩和するか説明できる
• VPC接続したLambdaからインターネットやAWSサービスへ到達させる方法を挙げられる
• EKSのVPC CNIがPodにIPを割り当てる仕組みと枯渇対策を説明できる
• Pod用セキュリティグループとタスク単位のセキュリティグループの使いどころを判断できる

まとめ

コンテナ・サーバーレスのネットワークは「IPの単位・セキュリティグループの付く場所・枯渇対策」の3点で整理します。awsvpcモード、Hyperplane ENIとNAT、VPC CNIのプレフィックス委任がANSで問われる核心です。

クイズで理解度を確かめ、最新の出題範囲はAWS認定 公式ページで確認しておきましょう。