VPCエンドポイントとPrivateLinkを理解する

この単元で学ぶこと

• GatewayとInterfaceの構成を区別する
• 経路と認可の条件を説明する
• PrivateLinkのサービス公開と費用を判断する

本文解説

1. なぜエンドポイントか プライベートなアプリからS3へアクセスするためだけにインターネット出口を用意したくない場合があります。VPCエンドポイントは対応サービスへ専用の接続経路を作ります。対象サービスとリージョンの対応を確認し、任意の宛先へ使える汎用インターネット出口とは区別します。

2. Gateway型 Gateway EndpointはS3とDynamoDBに対応します。対象サブネットが使うルートテーブルへ関連付ける方式で、Interface型のようなエンドポイントENIは作りません。同リージョンS3への例ではNATやIGWなしでアクセスでき、エンドポイント自体に追加料金はありません。

3. Interface型 Interface Endpointは選択したサブネットにENIを用意し、そのプライベートIPへ接続します。AWS PrivateLinkを使う方式で、多くの対応AWSサービスや提供側サービスに利用できます。接続先サービスの必要ポートを、エンドポイントENIのSecurity Groupでも許可します。

4. 名前解決 Interface型でプライベートDNSを有効にすると、対応サービスの通常名をプライベートな接続先へ解決できる構成があります。VPCのDNS属性やサービスの対応を確認します。エンドポイントを作っただけでクライアントが必ずその経路へ切り替わるとは考えず、実際のDNS結果を調べます。

5. 認可の重なり エンドポイントポリシーは対応する操作や資源を絞る追加制御で、IAMやバケット等の資源ポリシーを置き換えません。経路が通るがAccessDeniedなら、主体、操作、資源、各ポリシーを確認します。エンドポイントを作れば読み書き権限も付くという誤解を避けます。

6. 経路を限定する 特定エンドポイント経由だけにS3バケットを制限する必要があれば、バケットポリシー等にその条件を設定します。ただし管理コンソール等のアクセスも条件を満たさず拒否される可能性があるため、運用経路を含め試験します。Endpoint側だけ絞っても別経路の権限が残る場合があります。

7. 自分のサービス公開 PrivateLinkの提供側は対応ロードバランサーとEndpoint Serviceを用意し、接続できる主体や承認を設定します。利用側はInterface Endpointからサービスへ接続します。全VPCのアドレス空間を相互ルーティングするPeeringとは目的が異なり、特定サービスへの公開範囲を絞れます。

8. 可用性と費用 Interface型では必要AZのENI、SG、DNSを整え、時間料金やデータ処理料等をNAT案と比較します。同一リージョンでInterface Endpoint経由のAZ間データ転送は無料ですが、Endpointのデータ処理料は残ります。比較対象のNAT経路やリージョン間転送は別の料金条件を確認します。Gateway型自体の追加料金なしと、Interface型の料金を混同しません。S3等の保存・リクエスト料金まで無料になるわけでもありません。

図解

重要ポイント

• GatewayはS3/DynamoDBのルート関連付け
• InterfaceはENIとPrivateLink、SG/DNSも確認
• Endpointは権限の自動付与ではない

間違えやすい点

• S3接続は必ずInterface型だけと思わない
• プライベート接続を全操作許可と混同しない
• Endpointポリシーだけで別経路も制限済みと思わない

用語解説

Interface Endpoint

ENIを接続点としてPrivateLink経由で対応サービスへアクセスする方式。

Gateway Endpoint

S3/DynamoDBへの経路をルートテーブルへ関連付ける方式。

Endpoint Service

PrivateLinkで利用側へ公開する提供側サービスの設定。

関連教材

• VPCエンドポイントとPrivateLinkのシナリオ判断
• Security GroupとNetwork ACLのシナリオ判断
• Security GroupとNetwork ACLを理解する