AWS認定ソリューションアーキテクト – アソシエイト（SAA-C03）の試験では、オンプレミス環境とAWS環境を安全に接続する「ハイブリッドネットワーク構成」に関する問題が非常によく出題されます。
特に、「セキュリティを最優先にするため、すでに導入済みの専用線（Direct Connect）を流れるすべてのデータを暗号化したい。どう構成すべきか？」 というシナリオは、試験でも実務でも定番の設計課題です。
一見、「専用線なんだから暗号化されているのでは？」と思ってしまいがちですが、ここには落とし穴があります。
この記事では、AWSの専用線接続（Direct Connect）の基本から、暗号化を追加するための「IPsec VPNとの併用構成」の仕組み、そして試験対策で引っかかりやすい選択肢の解説まで、初心者向けに分かりやすく解説します！
💻 よくある設計課題（シナリオ）
ある先進医療の研究機関では、ゲノム解析などの極めて機密性の高い研究データをオンプレミスとAWS間で転送する予定です。
このインフラの要件は以下の通りです。
- 機密データの漏洩を防ぐため、すべてのインターネットアクセスを禁止し、通信は完全に暗号化すること。
- 既にオンプレミスとAWSを繋ぐ専用線として AWS Direct Connect を敷設しており、VPCのインターネットゲートウェイ（IGW）は削除済みである。
この要件を満たすために、さらに追加すべきネットワーク構成はどれでしょうか？
💡 盲点：Direct Connectは「暗号化」されていない！
AWS Direct Connect（DX）は、オンプレミスとAWSを「インターネットを経由しない専用のプライベートネットワーク」で直結するサービスです。
専用線を通るため、一般的なインターネット通信に比べて「低遅延」「帯域保証（高速）」「高セキュリティ」という非常に大きなメリットがありますが、実は**「通信データ自体は暗号化されない（プレーンテキストで流れる）」**というのが仕様上の重要なポイントです。
【通常の Direct Connect 接続】
[オンプレミス] ============================ [AWS VPC]
専用線（暗号化されていないプレーンな通信）
専用回線であるためインターネット側から通信を盗み見られるリスクは極めて低いものの、金融や医療といった「コンプライアンス要件で通信データの暗号化（IPsecなど）が絶対必須」と定められている環境では、Direct Connectの敷設だけでは要件を満たせません。
この課題をクリアする構成こそが、Direct Connect の上に IPsec VPN トンネルを重ねる構成です。
🔒 Direct Connect ＋ IPsec VPN の仕組み
Direct Connect の「広帯域・高品質」という経路のメリットを活かしつつ、データのセキュリティを確保するために、専用線のルート内に暗号化された VPN トンネル（IPsec VPN）を重ねて構築します。
全体構成図
graph TD
subgraph onprem ["オンプレミス (On-Premises Data Center)"]
Server["解析サーバー"] --> CGW["カスタマーゲートウェイ (CGW)"]
end
subgraph aws ["AWSクラウド (AWS Cloud)"]
VPG["仮想プライベートゲートウェイ (VPG)"] --> VPC["プライベート VPC"]
end
subgraph route ["ネットワーク経路"]
CGW == "IPsec VPN トンネル (通信の暗号化)" === VPG
DX["Direct Connect 専用線 (物理経路/パブリックVIF)"] -.- CGW
DX -.- VPG
end
接続フロー
- 暗号化トンネルの構築: オンプレミスの物理ルーター（CGW）と、AWS側の接続窓口である「仮想プライベートゲートウェイ（VPG）」または「Transit Gateway（TGW）」の間で IPsec VPN の接続をセットアップします。
- ルーティングの設定: VPNのトラフィック（カプセル化・暗号化されたデータ）が、専用線である Direct Connect（パブリックVIFまたはトランジットVIF）を経由して流れるようにルーティングします。
- 通信の開始: 解析サーバーから送信されたデータは、CGWで暗号化されてから Direct Connect を通り、AWSのVPGで復号されてVPC内へ届けられます。
これにより、「インターネットを通らない専用線」の安全・高速な経路を使いながら、「全ての通信データが暗号化されている」状態を両立させることができます。
🎯 試験対策！間違えやすい選択肢の解説
VPCハイブリッド接続の問題では、この構成以外にも「暗号化」や「セキュリティ」を謳うもっともらしい選択肢が登場します。混乱しないように整理しておきましょう。
a. AWS Client VPN を設定する
- 不適切である理由：
AWS Client VPNは、開発者などの「個々のクライアントPC（端末）」からAWSのVPCへ安全にリモートワーク接続するためのクライアント・サーバー型VPNサービス（OpenVPNベース）です。 今回は「オンプレミスの研究所（拠点）」と「AWS環境（VPC）」を接続する「拠点間（Site-to-Site）接続」の要件であるため、Client VPN は適していません。
b. AWS Shield Advanced を使用して VPC を保護する
- 不適切である理由：
AWS Shield Advancedは、主にインターネット上に公開されているリソース（ALBやCloudFrontなど）をDDoS攻撃（分散サービス妨害攻撃）から防御するためのセキュリティサービスです。 今回の課題である「拠点間通信の暗号化」や「プライベートハイブリッド接続」とは役割が全く異なります。
c. AWS Firewall Manager を構成する
- 不適切である理由：
AWS Firewall Managerは、AWS Organizations内の複数のアカウントやリソースに対し、WAFルールやセキュリティグループ、AWS Shieldなどのファイアウォール設定を一元的に管理・自動適用するための管理用サービスです。 通信自体を暗号化する機能や、専用線に接続を追加する機能は持っていません。
📝 まとめ：ハイブリッド接続の使い分けテンプレート
AWS SAA試験および実際のインフラ設計で「オンプレミスとの接続」が出たら、以下の要件パターンで選択肢を一瞬で見分けられるようにしましょう。
| 接続方式 | 主な要件 | メリット・特徴 |
|---|---|---|
| AWS Site-to-Site VPN | 安価・短期間で暗号化通信を構築したい | インターネット経由。通信経路は暗号化されるが、帯域や遅延はベストエフォート（不安定）。 |
| AWS Direct Connect (DX) | 大容量・低遅延・安定した帯域が必要 | インターネットを介さない専用回線。ただし、データ自体は暗号化されない。 |
| DX ＋ IPsec VPN (併用) | 専用線の安定性と、通信データの暗号化を両立したい | Direct Connect経由でVPNを張る。医療・金融など最高度のセキュリティ要件に最適。 |
🎯 AWS SAA 合格に向けたおすすめの教材
AWS SAA（ソリューションアーキテクト – アソシエイト）のネットワークやセキュリティ分野は、仕組みが抽象的なため図解で学ぶのが最も効率的です。勉強をさらに進めたい方向けのおすすめ教材です。
1. 【書籍】AWS教科書 AWS認定ソリューションアーキテクトアソシエイト テキスト＆問題集 第2版
試験範囲の網羅率が非常に高く、ハイブリッド接続のVPG、CGW、Direct Connectの役割が詳細な図解付きで体系的に学べる一冊です。
2. 【Udemy】【SAA-C03版】これだけでOK！ AWS 認定ソリューションアーキテクト – アソシエイト試験突破講座
ベストセラーとなっている動画教材です。ハンズオン（実際にAWS画面を操作するパート）が豊富で、Direct Connectのルーティング概念やVPNの接続設定などをビジュアルで体感できるため、本で学ぶよりも圧倒的にネットワークの仕組みが腹落ちします。