なぜVPCなのか: それは説明が楽だから。

VPC上でサービスを作成することは、Eコマースサイトにおいて必ずしも必要なことではない。その一方で、VPCでなければ満たせない各種の基準を満たすため、各種のサービスを使うために、VPC上にサービスを作成することはおおきなメリット。

「基準を満たすため」の典型的な例は、国際ペイメント業者5社が共同で作成したクレジット業界におけるグローバスセキュリティ基準であるPCIDSS(Payment Card Industry Data Security Standard)の取得。PCIDSSは情報セキュリティに対する具体的な実装や施策を要求しており、クレジットカード情報と全く関係ない企業や組織ですらPCIDSSを基準とした情報安全対策を求められることが増えています。

その中には、"Build and maintain a secure network" なる条項があり、VPCはinboundだけではなくoutboundの制御もでき、さらにインターネットゲートウェイでNACLをかけることができる。

AWSが認証されているPCI DSS準拠のPCIサービスプロバイダ（レベル1）の意味は、独立した認証審査期間であるQSA(Qualified Security Assessor)が、PCI DSS v2に対してAWSが準拠しているということを認証しているという意味。つまり、このEコマースがAWSを利用してシステム開発しておけば、インフラストラクチャはPCI準拠しているので、AWSが提供する部分以外の部分にPCI DSS取得の努力を集中させることができる。

こう言うことは正しい。しかしながら、QSAに対してしっかりと説明することさえできれば、QSAが決めることなので、別にVPCは必須にはならない。

「各種のサービスを使うため」についてはいよいよ沢山でてきた。

• internal ELB (プライベートIPのところで負荷分散できる)
• ひとつのインスタンスに複数のIPアドレスを持たせられる
• 専用線でクラウドに直結できるAWS Direct Connect
• 物理ハードウェアを専有可能

どれもこれも、ユーザにとってのAWS使用法に、より自由をもたせる機能であるといえる。

さて、このような背景で「VPC」を使わない理由を説明できますか? 説明できる方は、きっとVPCにない機能が必須なのでしょう!