VPCエンドポイントとPrivateLinkのシナリオ判断

この単元で学ぶこと

• 対象サービスから接続方式を選ぶ
• 接続失敗と認可失敗を切り分ける
• 公開範囲と費用を検証する

本文解説

1. S3通信の経路変更 同リージョンS3へ大量転送するアプリがNATを使っている場合、Gateway Endpointを比較します。ルート型でエンドポイント自体の追加料金がない特徴に注目します。ただしどのルート表に関連付けるか、変更前後の経路と許可、サービス料金を確認します。

2. 一部だけNATへ残る エンドポイントを一つ作っても、AZ-Bのアプリが使うルート表へ関連付けていなければ期待の経路になりません。サブネットとルート表の対応を調べます。請求が減らないときも転送量の変化だけで決め付けず、どの宛先がまだNATを通るかを分けます。

3. ENIへの接続失敗 対応APIへInterface Endpointを作ったがTCP接続できない場合は、解決された宛先IP、ENI配置、SG、NACLを確認します。Endpointポリシーを広げてもTCP接続の拒否は解消しません。アプリの認証エラーと接続タイムアウトを別の症状として扱います。

4. DNSのすれ違い 通常のサービス名がパブリック側へ解決され、NATのないアプリが接続できないケースがあります。サービスのプライベートDNS対応、VPC DNS属性、クライアントのDNS経路を確認します。Endpoint固有の名前と通常名のどちらをアプリが使うかも調べます。

5. AccessDeniedの調査 APIへ到達しても権限がなければ操作は拒否されます。IAMの主体、対象バケットやキー、エンドポイントポリシー等を照合します。Endpoint側の許可を追加しても、別ポリシーの明示的拒否を打ち消せません。ネットワークを私設化したことと操作を許すことを分けます。

6. 迂回経路を防ぐ 監査バケットへ特定Endpoint経由だけ許可するなら、バケット側でも経路条件を検討します。Endpointポリシーだけでは別経路のアクセスを直接制限しません。必要な管理経路も拒否され得るので、安全な回復手段を確保した上で、許可経路と拒否経路を両方試験します。

7. 外部組織へサービス公開 提供VPCのすべてへ経路共有するのでなく、指定サービスだけへ接続させたい場合にPrivateLinkを比較します。提供側のEndpoint Service、許可主体、承認、利用側Interface Endpointをそろえます。DNSが解決しただけでは接続承認や提供アプリの正常性は保証されません。

8. 月額で比較する Interface Endpointを多数作ると時間料金が増え、通信量が少ない場合はNAT削減額を上回る可能性があります。稼働時間、必要AZ、データ量、転送経路、運用要件をそろえた見積りを作ります。安い経路だけでなくAZ障害でサービス接続が継続できるかも確認します。

図解

重要ポイント

• Endpoint作成と利用経路の切替は別
• TCP失敗とAccessDeniedを分ける
• 費用は型・AZ・利用量で比較する

間違えやすい点

• ポリシーを緩めてTCP拒否を直そうとしない
• Gatewayの追加料金なしをInterfaceへ当てはめない
• PrivateLinkをVPC全体の相互接続と見なさない

用語解説

プライベートDNS

対応サービス名をVPC内のプライベート接続先へ解決するための設定。

迂回経路

制限したかった経路以外から同じ資源へ接続する経路。

接続承認

Endpoint Serviceの提供側が利用側の接続を受け入れる処理。

関連教材

• VPCエンドポイントとPrivateLinkを理解する
• Security GroupとNetwork ACLのシナリオ判断
• S3 Block Public Accessとバケットポリシーを理解する