AWS VPC-なぜプライベートサブネットがあるのですか？

Amazon VPCでは、VPC作成ウィザードを使用して、単一の「パブリックサブネット」を作成するか、ウィザードに「パブリックサブネット」と「プライベートサブネット」を作成させることができます。最初は、セキュリティ上の理由から、パブリックサブネットオプションとプライベートサブネットオプションは適切であるように見え、Webサーバーをパブリックサブネットに配置し、データベースサーバーをプライベートサブネットに配置できるようになりました。

しかし、Amazon ElasticIPをEC2インスタンスに関連付けない限り、パブリックサブネット内のEC2インスタンスにインターネットから到達できないことを知ってからです。したがって、1つのパブリックサブネット構成だけで、ElasticIPをデータベースサーバーに関連付けずに、同じ種類のセキュリティを選択することができます。

誰もがパブリック+プライベートサブネット構成の利点を説明できますか？この構成の利点は自動スケーリングとより関係があるのですか、それとも単一のパブリックサブネットを使用する方が実際には安全性が低くなりますか？

パブリックサブネットからのさまざまなセキュリティグループで制御できるプライベートサブネットを持つことは、セキュリティ境界です。パブリックサブネット内のインスタンスの1つがハッキングされた場合、アクセスポリシーをあまり自由にしないと、プライベートサブネット内のインスタンスにハッキングするのがはるかに難しくなります。

セキュリティへの影響だけでなく、もう1つの側面があります。ElasticIPのないインスタンスがインターネットにアクセスできるようにするには、2つ（またはそれ以上）の異なるサブネットが必要になる場合があります。

VPC内でAWSドキュメントを言い換えると、インスタンスのインターネットアクセスを許可する3つの方法があります。

1. エラスティックIP-ただし、デフォルトでは5しか取得できないため、追加で支払う必要があります
2. Virtual Private Gatewayを介してトラフィックをルーティングします-これには、企業（またはホーム）ネットワークへのハードウェアVPN接続が必要です
3. NATインスタンスをセットアップし、NATを介してすべての送信トラフィックをルーティングする

3番目のオプションは興味深いものです。NATインスタンスはすべての送信トラフィックがインターネットゲートウェイにルーティングされる「パブリック」サブネット内にある必要がありますが、他のすべてのインスタンスはすべての送信トラフィックが「プライベート」サブネット内にある必要があります。 NATインスタンスにルーティングされます。

つまり、NATの使用を計画している場合は、少なくとも2つのサブネットが必要です。