AWS Network Manager
VPC、Transit Gateway、VPN、Direct Connect を含むグローバルネットワークのトポロジを一元的に可視化 / 監視 / 管理するサービス
概要
AWS Network Manager は、AWS 上のネットワークリソースとオンプレミス拠点を含むグローバルネットワーク全体を一元的に可視化 / 管理するサービスです。Transit Gateway、Site-to-Site VPN、Direct Connect、Cloud WAN などのネットワークリソースを 1 つのダッシュボードに集約し、トポロジマップ、ルート分析、ネットワークイベントの監視を提供します。マルチリージョン / マルチアカウント環境のネットワーク運用を簡素化します。
グローバルネットワークとコアネットワーク
Network Manager の中心概念はグローバルネットワークです。グローバルネットワークは、組織全体のネットワークリソースを論理的にグループ化するコンテナで、1 つの AWS アカウントに複数作成できます。Transit Gateway をグローバルネットワークに登録すると、その配下の VPC、VPN 接続、Direct Connect ゲートウェイなどのアタッチメントが自動的に管理対象に含まれます。オンプレミス拠点はサイトとして登録し、物理的な所在地 (住所 / 緯度経度) を設定することで、地理的なトポロジマップ上に表示されます。各サイトにはデバイス (ルーター、ファイアウォールなど) とリンク (回線情報) を紐付けて、拠点のネットワーク構成を記録します。Cloud WAN を利用する場合は、コアネットワークがグローバルネットワーク内に作成され、セグメント単位でのトラフィック分離やリージョン間接続のポリシーを定義します。コアネットワークのポリシードキュメントは JSON 形式で記述し、バージョン管理が可能です。
トポロジ可視化とルート分析
Network Manager のコンソールでは、登録されたリソースの接続関係をインタラクティブなトポロジマップとして表示します。ユーザーガイドによると、このダッシュボードは、ネットワークの問題の原因が AWS のリソース、オンプレミスのリソース、その間の接続のどれにあるかを見分ける助けになります。ルート分析機能は、指定した送信元と宛先の間のルーティングパスを解析し、経路上の各ホップとルートテーブルのエントリを表示します。Transit Gateway のルートテーブルの設定の検証や、経路に関する問題の診断が用途で、VPC のルートテーブル、セキュリティグループ、ネットワーク ACL のルールは分析の対象外です。CloudWatch メトリクスとの統合により、Transit Gateway のバイト数 / パケット数 / ドロップ数をモニタリングし、トラフィックの異常を検知するアラームを設定できます。ネットワークイベント (VPN トンネルのダウン、BGP ピアリングの状態変化など) は EventBridge に発行されるため、Lambda や SNS と連携した自動通知 / 自動復旧のワークフローを構築できます。
Cloud WAN との統合とポリシー管理
Cloud WAN は Network Manager 上に構築されるグローバルワイドエリアネットワークサービスで、Network Manager のコンソールから直接操作します。コアネットワークポリシーでセグメント (本番、開発、共有サービスなど) を定義し、セグメント間の通信許可 / 拒否をポリシーとして宣言的に管理します。VPC、VPN、Direct Connect などをアタッチメントとして接続し、各アタッチメントをセグメントに割り当てます。ポリシーの変更はバージョンとして保存され、適用前に変更セットで変更の内容を確認できます。アタッチメントポリシーでは、タグなどの条件でアタッチメントをセグメントに自動で割り当てられ、割り当てにコアネットワークの所有者の承認を必須にする設定もあります。Cloud WAN の料金は、コアネットワークエッジの数、アタッチメントの数、データ処理量などに基づく従量課金です。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。