VPSとは
VPSは、物理サーバーを仮想化して分割し、利用者がOSやソフトウェアを管理できるサーバーです。正式名称はVirtual Private Server（バーチャル・プライベート・サーバー）です。
一台の物理ホスト上で、hypervisor（ハイパーバイザー）がCPU、メモリ、ストレージ、ネットワークを仮想ハードウェアとして各VMへ提示します。それぞれのVMは独立したゲストOSを起動し、別のコンピューターのように動きます。
VPSの「Private」は物理機を占有する意味ではありません。仮想機の実行環境と管理権限が他利用者から分離されることを表します。
四つの層を下から読む
CPU、メモリ、ディスク、NIC、電源を持つ実機。通常は事業者が保守する。
物理資源へのアクセスを調停し、VM同士の実行を隔離する。
vCPU、仮想メモリ、仮想ディスク、仮想NICとして割り当てる。
ユーザー、更新、ファイアウォール、サービス、ログ、アプリを運用する。
起動停止、再構築、コンソール、スナップショット、ネットワーク設定を提供する。
IP割り当て、仮想スイッチ、帯域、フィルター、DDoS対策を基盤側で扱う。
ルート権限は自由と責任を同時に増やす
VPSではルートまたは管理者権限を持ち、任意のWebサーバー、データベース、言語ランタイム、常駐処理を導入できます。ポート、ユーザー、ファイアウォール、定期処理も構成できます。
同時に、OSのセキュリティ更新、SSH鍵、不要サービス、侵入試行、ログ容量、証明書更新、バックアップ、再起動後の自動起動を管理します。初期状態でログインできたことは、安全な公開状態を意味しません。
vCPUは物理CPU一個を専有するとは限らない
vCPUはVMへ見せる仮想プロセッサーです。物理コアと一対一で固定される契約もあれば、複数VMで実行時間を共有する契約もあります。メモリ、ディスクIOPS、ネットワーク帯域も、保証値・上限値・一時的な突発的な集中を分けて読みます。
プランの数字が同じでも、CPU世代、オーバーコミット、ストレージ方式、同一ホストの負荷、帯域制御で性能は変わります。実際のワークロードで継続的に測り、抑制やsteal時刻などの指標が取得できる場合は確認します。
仮想ディスクはバックアップではない
VMの仮想ディスクも、実体は事業者のストレージ上のデータです。ディスクを追加しても別の障害領域になるとは限りません。スナップショットは特定時点の状態を記録する機能ですが、取得中のデータベース整合性や保持期間は方式で異なります。
同じアカウント内だけのスナップショットは、誤操作やアカウント侵害で一緒に削除される可能性があります。重要なバックアップは別の資格情報・別の保管先へ置き、実際に新しいVMへ復元します。
一つのVMは高可用性を自動で持たない
物理ホストの故障時に事業者が別ホストへ再起動する仕組みがあっても、再起動までの停止や仮想ディスク障害は残ります。単一VMの中でWebとデータベースを動かせば、そのVMが一つの障害点です。
停止を短くするには、複数の障害領域、負荷分散、外部データストア、監視、再構築手順を設計します。小規模サイトでは複雑化の費用もあるため、必要な復旧時間と失ってよいデータ量から決めます。
ファイアウォールは二層ある場合がある
事業者の管理画面で設定する仮想ネットワーク側のフィルターと、ゲストOS内のファイアウォールは別です。前者で到達を止め、後者でプロセス単位の制御を行えます。どちらか一方を変更しただけでは通信できないことがあります。
SSHは公開鍵認証を使い、ルートの直接ログイン、パスワード認証、不要な管理ポートを制限します。管理用と公開用のネットワークを分けられる契約では、データベースをインターネットへ直接公開しません。
共用、専用、クラウドとは比較軸が違う
共用サーバーはOSや実行環境まで事業者がまとめて管理することが多く、VPSはゲストOSを利用者が管理します。専用サーバーは物理機を占有する提供形態です。
クラウドサーバーも多くは仮想機ですが、オンデマンド作成、API、自動化、資源プール、計測課金、弾力性を含むクラウドの提供モデルが中心です。VPSという名称だけでその機能全部を含むとは限りません。
VPSを選ぶ前に、ゲストOSを誰が更新するか、資源は保証か共有か、物理障害時にどう復旧するか、スナップショットをどこまで戻せるかを確認します。
仮想化構造の確認資料：NIST SP 800-125（Full Virtualization）、NIST SP 800-125A Rev.1（Hypervisor Platforms）