AWS Network Manager
VPC、Transit Gateway、VPN、Direct Connect を含むグローバルネットワークのトポロジを一元的に可視化・監視・管理するサービス
概要
AWS Network Manager は、AWS 上のネットワークリソースとオンプレミス拠点を含むグローバルネットワーク全体を一元的に可視化・管理するサービスです。Transit Gateway、Site-to-Site VPN、Direct Connect、Cloud WAN などのネットワークリソースを 1 つのダッシュボードに集約し、トポロジマップ、ルート分析、ネットワークイベントの監視を提供します。マルチリージョン・マルチアカウント環境のネットワーク運用を大幅に簡素化します。
グローバルネットワークとコアネットワーク
Network Manager の中心概念はグローバルネットワークです。グローバルネットワークは、組織全体のネットワークリソースを論理的にグループ化するコンテナで、1 つの AWS アカウントに複数作成できます。Transit Gateway をグローバルネットワークに登録すると、その配下の VPC、VPN 接続、Direct Connect ゲートウェイが自動的に管理対象に含まれます。オンプレミス拠点はサイトとして登録し、物理的な所在地 (住所・緯度経度) を設定することで、地理的なトポロジマップ上に表示されます。各サイトにはデバイス (ルーター、ファイアウォールなど) とリンク (回線情報) を紐付けて、拠点のネットワーク構成を記録します。Cloud WAN を利用する場合は、コアネットワークがグローバルネットワーク内に作成され、セグメント単位でのトラフィック分離やリージョン間接続のポリシーを定義します。コアネットワークのポリシードキュメントは JSON 形式で記述し、バージョン管理が可能です。
トポロジ可視化とルート分析
Network Manager のコンソールでは、登録されたリソースの接続関係をインタラクティブなトポロジマップとして表示します。リージョン、Transit Gateway、VPC、VPN、Direct Connect の接続状態がリアルタイムに反映され、障害発生時にどの経路が影響を受けているかを即座に把握できます。ルート分析機能は、指定した送信元と宛先の間のルーティングパスを解析し、経路上の各ホップとルートテーブルのエントリを表示します。ルートが存在しない場合やブラックホールルートが検出された場合は、原因箇所を特定できます。CloudWatch メトリクスとの統合により、Transit Gateway のバイト数・パケット数・ドロップ数をモニタリングし、トラフィックの異常を検知するアラームを設定できます。ネットワークイベント (VPN トンネルのダウン、BGP ピアリングの状態変化など) は EventBridge に発行されるため、Lambda や SNS と連携した自動通知・自動復旧のワークフローを構築できます。
Cloud WAN との統合とポリシー管理
Cloud WAN は Network Manager 上に構築されるグローバルワイドエリアネットワークサービスで、Network Manager のコンソールから直接操作します。コアネットワークポリシーでセグメント (本番、開発、共有サービスなど) を定義し、セグメント間の通信許可・拒否をポリシーとして宣言的に管理します。アタッチメントとして VPC、VPN、Direct Connect、Transit Gateway ピアリングを接続し、各アタッチメントをセグメントに割り当てます。ポリシーの変更はバージョンとして保存され、適用前にドライランで影響範囲を確認できます。Organizations との統合により、メンバーアカウントの VPC を自動的にコアネットワークに接続するオートアクセプト機能も利用可能です。料金はコアネットワークのエッジロケーション数、アタッチメント数、データ処理量に基づく従量課金です。Transit Gateway 単体の構成と比較するとコストは高くなりますが、数十リージョン・数百 VPC 規模のネットワークではポリシーベースの一元管理による運用コスト削減が上回ります。