【ITニュース解説】AWS Puts the Region Inside the AS Path on Direct Connect

AWSがDirect Connectにおいて、経路情報の中にリージョン（地域）の情報を直接組み込む新しい機能を提供した。これは、企業がクラウドサービスを利用する際に直面する「データ主権」という重要な課題を、ネットワークの基盤技術を使って解決するためのものだ。システムエンジニアを目指す人にとって、クラウドとオンプレミス（自社設備）を連携させる上で、このような高度なネットワーク設定がどのようにビジネス要件に応えるのかを理解することは非常に役立つ。

まず、この機能が解決する根本的な問題を説明する。多くの企業、特に国際的に事業を展開する企業は、データの保存場所や処理場所が特定の国や地域の法律、規制に準拠しなければならないという「データ主権」の要件に直面することがある。例えば、スイスに顧客を持つ企業は、その顧客のデータが必ずスイス国内で処理され、保管される必要があるといったケースだ。

AWS Direct Connectは、企業のオンプレミス環境とAWSクラウドを専用線で直接接続するサービスで、高速で安定した通信を提供する。企業はDirect Connectの物理的な接続ポイント（Direct Connectロケーション）を通じて、AWSの様々なリージョン（地理的に独立したデータセンター群）に接続できる。ここで問題となるのが、データ主権の要件を持つ企業が、物理的にはスイスのDirect Connectロケーションに接続しているにもかかわらず、誤ってスイス国外（例えばドイツのフランクフルトリージョン）から発信されたクラウドサービスの経路情報を受け取ってしまう場合だ。

従来の解決策として、顧客のルーターでIPアドレスの範囲（CIDRブロックやIPプレフィックスと呼ぶ）に基づいてフィルタリングを行い、「スイスリージョン」に属するIPアドレスからの経路だけを受け入れるという方法が考えられる。しかし、この方法には二つの大きな問題があった。一つは、AWSが各リージョンにどのIPアドレス範囲を割り当てているかという情報（プレフィックスマッピング）を一般に公開していないため、顧客が正確なフィルタリングを行うことが難しい点だ。もう一つは、AWSが内部でサービスの需要に応じてIPアドレスの再割り当てや拡張を行うことがあり、そのたびにリージョンごとのIPアドレス範囲が変わってしまうことだ。これにより、顧客は頻繁にルーターの設定を変更する必要があり、運用負荷が非常に高くなる。これは、ビジネス上の関係性が継続的な同期作業になってしまうことを意味する。

この課題を解決するために導入されたのが「BYOASN（Bring Your Own Autonomous System Number）」という機能である。AS番号（Autonomous System Number）とは、インターネット上で独立した経路制御を行うネットワーク（自律システム）を識別するための番号だ。インターネットのルーター間で経路情報を交換するBGP（Border Gateway Protocol）では、経路情報がどのASを経由してきたかを示す「ASパス」という属性が使われる。

BYOASNでは、クラウドサービスを提供するプロバイダー（AWSの顧客）が、自身の所有するパブリックなAS番号をAWSに持ち込むことができる。さらに、このAS番号をAWSのリージョンごとに異なるものとして関連付けることが可能になった。プロバイダーが自身のIPアドレス範囲（BYOIPで持ち込んだもの）をAWSのパブリック仮想インターフェース（Public VIF）経由でインターネットに広告する際、BGPの経路情報（ASパス）には、その経路を発信したリージョンに対応するプロバイダー自身のAS番号が「オリジンAS」（経路の起点となるAS番号）として含まれるようになる。AWSは、この経路の先頭に自身のAS番号（7224）を付与して顧客に広告するため、顧客のルーターは「AWSのAS番号」の後に「プロバイダーがリージョンごとに割り当てたAS番号」が続くASパスを受け取ることになる。

この仕組みを利用すれば、顧客のルーターは受け取ったBGP経路のASパスを解析し、特定のリージョン（例えば、スイスリージョン）に対応するAS番号がオリジンASとして含まれる経路だけを受け入れ、それ以外のリージョン（例えば、フランクフルトリージョン）からの経路は拒否するように設定できる。

この新しい方法のメリットは大きい。まず、AS番号はIPアドレスのように頻繁に変わることがないため、一度顧客のルーターにASパスフィルタリングを設定すれば、AWS内部でのIPアドレスの再割り当てや拡張があっても、顧客側で設定を変更する必要がなくなる。これにより、顧客の運用負荷は大幅に軽減され、プロバイダーはIPアドレスの割り当てに関してより柔軟な運用が可能になる。

さらに、この機能はデータ主権の要件を厳密に満たすための強力な手段となる。ルーターレベルで特定のリージョンからの経路だけを許可し、それ以外の経路を拒否できるため、アプリケーション層での変更なしにデータフローの地理的な境界を強制できる。監査の際にも、顧客のルーターのルーティングテーブルを見れば、どのリージョンからの経路を受け入れているか、あるいは拒否しているかを直接確認できるため、コンプライアンスの証明が非常に容易になる。

このBYOASN機能を導入するには、いくつかの前提条件がある。

1. プロバイダー側でIPアドレス管理を行うAWS IP Address Manager (IPAM) インスタンスをパブリックスコープで設定し、経路を広告する全てのリージョンで有効化しておく必要がある。
2. 自身で所有するパブリックなIPアドレス範囲（BYOIP）を、ARIN、RIPE、APNICなどの地域インターネットレジストリ (RIR) に登録し、AWSに持ち込む必要がある。
3. 自身で所有するパブリックなAS番号をRIRに登録し、BYOIP登録時に使用したX.509証明書をそのAS番号のRIRレコードにアップロードすること。また、そのAS番号とBYOIP範囲を関連付けるROA（Route Origin Authorization）レコードを作成し、AmazonのAS番号を承認するROAとは別に登録しておく必要がある。ROAは、特定のASが特定のIPアドレス範囲を広告することを許可するデジタル署名で、BGP経路ハイジャック対策に重要だ。
4. 顧客側では、Direct Connect接続とパブリック仮想インターフェース（Public VIF）を用意し、AWSのAS番号7224に対してBGPピアリングを確立していること。
5. 最も重要な前提条件として、顧客のルーターがASパスフィルタリング機能に対応している必要がある。プロバイダーがどんなに正確なリージョン情報をASパスに含めて広告しても、顧客のルーターがそれをフィルタリングできなければ、この設計は意味をなさない。

運用上の注意点も存在する。自身のAS番号からAWSのAS番号へ、あるいはその逆への切り替えは可能だが、AWSのAS番号から自身のAS番号への切り替えは1時間に1回という制限がある。計画的な移行を行う際にはこの点を考慮する必要がある。また、BYOASNの認証メッセージには有効期限があり、期限が切れる前に更新が必要だ。RIRに登録したROAも常に有効な状態を保つ必要があり、ROAが無効になるとAWSが該当プレフィックスの広告を停止する可能性がある。これらは目に見えない形で経路の消失につながる可能性があるため、注意深い監視と管理が求められる。

結論として、AWSのこの新機能は、データ主権という複雑なビジネス要件を、インターネットの根幹を支えるBGPのASパスというシンプルなメカニズムを使って、堅牢かつ柔軟に解決する画期的な方法である。企業は自身のネットワークポリシーに基づいて、どこから来たデータを信頼するかをルーターレベルで明確に定義できるようになり、クラウドを活用したグローバルな事業展開におけるコンプライアンスと運用効率の両方を大きく向上させることが期待できる。システムエンジニアとして、このようなネットワーク技術がビジネスの課題をどのように解決し、新たな可能性を切り開くのかを理解することは、キャリア形成において非常に重要な視点となるだろう。