1. VPCとは？セキュリティと通信制御の基本

AWS（エーダブリューエス）のVPC（ブイピーシー）とは、Virtual Private Cloud（バーチャル・プライベート・クラウド）の略です。これは、インターネット上にあるあなただけの専用ネットワーク空間をつくる仕組みです。

パソコン未経験の方でも、例えば「家の中のWi-Fiルーターで自分だけのネットワークを作る」とイメージするとわかりやすいです。この“家”がVPCです。

そのVPCの中で「誰が入ってきてよいか」「どの通信を許可するか」などを細かく決めるのが、セキュリティグループ（セキュリティ・グループ）とネットワークACL（アクセス・コントロール・リスト）です。

2. セキュリティグループとは？個別で守る仕組み

セキュリティグループとは、AWS VPCの中で作る「仮想のファイアウォール（通信制限の壁）」です。これは、EC2（イーシーツー）という仮想サーバーなどに直接割り当てて、どの通信を許可するかを管理します。

読み方はセキュリティグループ（セキュリティ・グループ）です。特徴は次のとおりです：

個々のサーバー（EC2）に直接設定する
「許可（Allow）」のみを設定できる（拒否はできない）
インバウンド（外から入ってくる通信）とアウトバウンド（中から外へ出ていく通信）を別々に管理できる
状態を見て応答通信を自動で許可する“ステートフル（Stateful）”な仕組み

たとえば、「Webサイトを見るためにポート80（HTTP）だけ開けたい」といったときに設定するのがこのセキュリティグループです。

3. ネットワークACLとは？出入口で守る仕組み

ネットワークACL（アクセス・コントロール・リスト）は、サブネット（サブネットワーク）単位での出入口に設定するフィルターです。ACLの読み方はエーシーエル、もしくはアクセス・コントロール・リストです。

特徴は次のようになります：

サブネットごとに適用する
「許可（Allow）」だけでなく「拒否（Deny）」も設定可能
すべての通信に対して明示的なルールを決める必要がある
ステートレス（Stateless）なので、戻りの通信もルールが必要

つまり、サブネットの入口や出口で「このドアは開ける、このドアは閉める」といった、家の玄関の鍵に近い考え方です。

4. セキュリティグループとネットワークACLの違いを表で比較

項目	セキュリティグループ	ネットワークACL
適用範囲	個別のインスタンス（EC2）	サブネット全体
設定できる内容	許可のみ	許可・拒否の両方
通信の状態管理	ステートフル（応答は自動許可）	ステートレス（応答も明示必要）
用途の例	EC2のWebサーバーにポート80を開ける	全体で特定IPのアクセスを拒否

5. 初心者向けの使い分け方

はじめてAWS（エーダブリューエス）を使う場合は、まずはセキュリティグループで必要なポートや通信の制限を行うことが基本です。ネットワークACLは全体の入口で守るので、IPアドレス単位でのアクセス制御を細かく設定したいときに使います。

例えば、次のように使い分けます：

セキュリティグループ：EC2でWebサーバーを公開する時にポート80や443だけ許可する
ネットワークACL：悪意のある特定のIPからのアクセスを全体で遮断する

つまり、セキュリティグループは“家の部屋ごとの鍵”、ネットワークACLは“家全体の門”のようなイメージです。

まとめ

ここまで、AWSのVPCで重要な役割を果たすセキュリティグループとネットワークACLについて順を追って理解してきました。あらためて振り返ると、両者は似ているようで役割や適用範囲が大きく異なり、クラウド環境で安全に通信を管理するためにはその違いを正しく把握することがとても大切だということがよくわかります。とくに初心者の段階では、セキュリティグループの「許可のみ」という性質や、ネットワークACLの「許可と拒否が使える」という特徴をつかむことが、AWSのネットワーク構成を考えるうえで大きな一歩になります。

VPC全体を家にたとえると、ネットワークACLは家の外側にある大きな門のようなものです。どの車や人を通すのか、何を外に出すのかをはっきり決める必要があります。一方でセキュリティグループは部屋ごとの鍵に近く、個々のサーバーを守るための細やかな設定ができます。この2つを組み合わせることによって、より安全で柔軟なクラウド環境を構築することができます。

例えば、セキュリティグループでHTTPやHTTPSのアクセス許可を設定しながら、ネットワークACLで特定IPアドレスからの不審なアクセスを拒否するといった使い方はとても実用的です。実際の運用では、業務の内容やシステムの構成によって調整が必要になる場面が多く、設定が複雑になるケースもあるため、基礎をしっかり押さえておくことが欠かせません。

また、AWSでは管理画面からの設定だけでなく、IaC（Infrastructure as Code）として管理する方法もよく使われます。例えば次のような設定例を見ておくと、実際の構成をイメージしやすくなります。


<SecurityGroup>
    <InboundRules>
        <Rule port="80" protocol="tcp" source="0.0.0.0/0" />
        <Rule port="443" protocol="tcp" source="0.0.0.0/0" />
    </InboundRules>
    <OutboundRules>
        <Rule port="0-65535" protocol="all" destination="0.0.0.0/0" />
    </OutboundRules>
</SecurityGroup>

こうした設定内容をじっくり比較しながら進めていくことで、「インスタンスごとに許可を定めるセキュリティグループ」「サブネット単位で許可・拒否を定めるネットワークACL」という構造が自然と身につき、より安全で効率的なVPC設計ができるようになります。クラウドを扱ううえで欠かせない防御の考え方を理解することで、今後のサービス構築や運用にも確かな自信につながっていくでしょう。

先生と生徒の振り返り会話

生徒

「今日の内容で、セキュリティグループとネットワークACLの違いが少しずつわかってきました。セキュリティグループは“許可だけ”、ネットワークACLは“許可と拒否”の両方が使えるんですよね？」

先生

「そうですね。そして、セキュリティグループはインスタンスごとに細かく制御できる点がとても便利です。ネットワークACLはサブネット全体に影響するので、より広い範囲の出入口で制御するイメージになります。」

生徒

「なるほど……家の鍵と門の鍵みたいな感じですね。両方がそろって初めて安全な環境ができるんですね。」

先生

「その例え、とても良いですね。その理解ができていれば、AWSのネットワーク設計はぐっと楽になりますよ。今後インフラを構築していく中で、この考え方は何度も役に立つでしょう。」

生徒

「ありがとうございます！これでVPCの設計も少し自信が出てきました。」