ネットワーキング

AWS PrivateLink でプライベート接続を実現 - VPC エンドポイントとエンドポイントサービス

インターネットを経由せず AWS サービスにプライベート接続する。Gateway エンドポイントの無料活用とエンドポイントサービスの構築を紹介します。

約 3 分で読めます

PrivateLink の概要

PrivateLink は VPC から AWS サービスや SaaS にプライベート接続を提供するサービスです。インターネットゲートウェイや NAT Gateway を経由せず、AWS のプライベートネットワーク内で通信が完結します。セキュリティ要件でインターネットアクセスを禁止している環境でも AWS サービスを利用できます。

エンドポイントの種類

インターフェースエンドポイントは ENI (Elastic Network Interface) をサブネットに作成し、プライベート IP アドレスで AWS サービスにアクセスします。時間課金とデータ処理課金が発生します。ゲートウェイエンドポイントは S3 と DynamoDB 専用で、ルートテーブルにプレフィックスリストを追加する方式です。無料で利用でき、S3 への大量アクセスがある場合はゲートウェイエンドポイントが推奨です。エンドポイントポリシーで特定の S3 バケットのみにアクセスを制限し、意図しないバケットへのデータ流出を防止します。

エンドポイントサービスの構築

自社のサービスを PrivateLink 経由で他のアカウントに公開するには、 NLB または GWLB の背後にサービスを配置し、エンドポイントサービスを作成します。許可プリンシパルで接続を許可するアカウントや IAM プリンシパルを制御し、接続リクエストの手動承認または自動承認を設定します。コンシューマー側はインターフェースエンドポイントを作成し、プライベート DNS 名でサービスにアクセスします。プライベート DNS 名を設定すると、コンシューマーの VPC 内で DNS 解決がエンドポイントの ENI に向けられ、アプリケーションコードの変更なしでプライベート接続に切り替えられます。エンドポイントポリシーで特定の API アクションやリソースへのアクセスを制限し、データ流出を防止します。 VPC エンドポイントに関する詳しい解説はAmazon の関連書籍でも確認できます。

PrivateLink の料金と設計指針

インターフェースエンドポイントは AZ ごとに時間課金 (約 0.01 ドル/時) とデータ処理料金 (約 0.01 ドル/GB) が発生します。マルチ AZ 構成では AZ 数分のコストがかかるため、可用性要件に応じて配置する AZ 数を決定します。Gateway エンドポイント (S3、DynamoDB) は無料で、NAT Gateway 経由のトラフィックを削減する最も効果的なコスト最適化策です。大量のデータ転送がある場合、PrivateLink のデータ処理料金と NAT Gateway のデータ処理料金を比較し、コスト効率の高い方を選択します。VPC エンドポイントの利用状況は CloudWatch メトリクスで監視でき、未使用のエンドポイントを特定して削除することでコストを削減します。

DNS とプライベート名前解決

PrivateLink を使う際の利便性を高めるのが、プライベート DNS の機能です。インターフェースエンドポイントにプライベート DNS を有効にすると、サービス本来のホスト名がエンドポイントの VPC 内アドレスに解決されるようになります。これにより、アプリケーションのコードや設定を変えずに、通信だけをプライベート経路へ切り替えられます。オンプレミスからの解決には Route 53 Resolver を組み合わせます。名前解決の経路を正しく設計しておかないと、意図せず公開経路を使ってしまうことがあるため、DNS の構成は PrivateLink 設計の重要な要素です。

セキュリティと境界設計

PrivateLink の利点は、通信をインターネットに出さずに VPC 内で完結できることです。これにより、インターネットゲートウェイを持たない閉じたネットワークからでも、必要なサービスへ安全に接続できます。エンドポイントにはポリシーを設定し、どのリソースへどの操作を許可するかを制限できます。セキュリティグループで通信元を絞り、最小限の経路だけを開きます。アカウントをまたいでサービスを提供・利用する構成でも、PrivateLink を介せば、相手にネットワーク全体を見せることなく、特定のサービスだけを安全に公開できます。

代表的なユースケース

PrivateLink は、さまざまな接続要件に応えます。SaaS 事業者が、顧客の VPC へ自社サービスを安全に提供する経路として使えます。オンプレミスと AWS を専用線や VPN でつないだうえで、PrivateLink を経由して特定のサービスだけに到達させる構成も可能です。組織内の共有サービスを、複数のアカウントやチームから安全に利用させる用途にも適します。インターネットを介さずにサービス間をつなぐため、データの経路を社内に閉じたい、公開エンドポイントを増やしたくない、といった要件を持つ環境で特に価値を発揮します。

運用と可用性

PrivateLink を本番で使うには、可用性とコストの両面を設計します。エンドポイントは複数のアベイラビリティゾーンに配置し、片方のゾーンに障害が起きても通信を継続できるようにします。インターフェースエンドポイントは時間とデータ処理量に応じて課金されるため、本当に必要なサービスに絞って作成し、無駄なエンドポイントを残さないようにします。一部のサービスへの接続は無料のゲートウェイ型で代替できる場合があるため、種類を使い分けてコストを抑えます。利用状況を監視し、エンドポイントの数と構成を定期的に見直すことが、効率的な運用につながります。

まとめ

PrivateLink は VPC からのプライベート接続を提供し、インターネットを経由しないセキュアな通信を実現するサービスです。Gateway エンドポイントで S3/DynamoDB への無料プライベート接続を確立し、インターフェースエンドポイントで 100 以上の AWS サービスにプライベートアクセスします。エンドポイントポリシーでアクセスを制限し、エンドポイントサービスで自社サービスを他アカウントに安全に公開します。

関連するサービス

AWS PrivateLinkVPC からインターネットを経由せずに AWS サービスやサードパーティサービスにプライベート接続するサービスAmazon VPCAWS 上に論理的に分離された仮想ネットワークを構築するサービスAmazon S3スケーラブルなオブジェクトストレージサービス

関連する記事

Amazon VPC Lattice によるサービスネットワーキング - マイクロサービス間通信の簡素化Envoy プロキシ不要の L7 サービスネットワーキングで、クロス VPC・クロスアカウントのマイクロサービス間通信を簡素化する。IAM 認証と App Mesh との使い分けを紹介します。Amazon VPC のネットワーク設計 - サブネット構成と NAT Gateway の最適化パブリック/プライベートサブネットの分離設計、セキュリティグループの層別管理、Gateway VPC エンドポイントによる NAT Gateway コスト削減を紹介します。AWS AppFabric で SaaS 監査ログを集約 - OCSF 標準化と Security Lake 統合AppFabric による SaaS アプリケーションの監査ログ収集、OCSF 形式への標準化、分析パイプラインの構築を解説します。

同じテーマの記事

AWS App Mesh で構築するサービスメッシュ - マイクロサービス間通信の制御と可観測性Envoy サイドカーによるカナリアデプロイ、リトライポリシー、mTLS 暗号化を宣言的に設定し、X-Ray 統合でサービス間の依存関係を可視化する手法を紹介します。AWS Cloud Map でサービスディスカバリを実現 - マイクロサービス間の動的な名前解決DNS ベースと API ベースの 2 方式でマイクロサービスのエンドポイントを動的に検出する。ECS・EKS との統合でサービスの登録・解除を自動化する手法を紹介します。CloudFront の 600 超 PoP はどう動いているのか - Anycast ルーティングとキャッシュ階層の仕組みCloudFront がユーザーのリクエストを最寄りの PoP にルーティングする Anycast の仕組み、エッジロケーションとリージョナルエッジキャッシュの 2 層構造、キャッシュヒット率を左右する設計要因を解説します。専用線接続の設計 - Direct Connect による安定した閉域網接続の実現AWS Direct Connect を活用した専用線接続の設計手法を解説し、専用接続とホスト接続の選択、冗長構成、VPC との統合による安定した閉域網接続の実現方法を紹介します。AWS Direct Connect で構築する専用線接続 - 冗長構成とトラフィック制御専用線接続の冗長構成を設計し、Direct Connect Gateway で複数リージョンの VPC に接続する。LAG による帯域集約と MACsec 暗号化も紹介します。Elastic IP アドレスの管理と設計 - 静的 IP の活用とコスト最適化Elastic IP の割り当て、EC2 との関連付け、未使用 EIP のコスト影響、代替手段の検討を解説します。ELB の 3 種類はなぜ 3 種類あるのか - ALB・NLB・CLB が分かれた設計判断の裏側ALB、NLB、CLB (Classic) の 3 種類のロードバランサーがなぜ統合されずに併存しているのかを、OSI 参照モデルのレイヤー、パフォーマンス特性、歴史的経緯から解説します。AWS Global Accelerator によるグローバルネットワーク最適化 - 低レイテンシ配信とフェイルオーバーAnycast IP で AWS グローバルネットワークにトラフィックを誘導し、エンドポイントグループの設計とヘルスチェックによるフェイルオーバーを実現する手法を紹介します。

内容が近い記事・サービス

AWS PrivateLinkVPC 内からインターネットを経由せずに AWS サービスやサードパーティサービスにプライベート接続するネットワーク機能Amazon VPC のネットワーク設計 - サブネット構成と NAT Gateway の最適化パブリック/プライベートサブネットの分離設計、セキュリティグループの層別管理、Gateway VPC エンドポイントによる NAT Gateway コスト削減を紹介します。AWS の API エンドポイントはなぜリージョンごとに異なるのか - グローバルサービスとリージョナルサービスの設計ec2.us-east-1.amazonaws.com のようなリージョナルエンドポイントと iam.amazonaws.com のようなグローバルエンドポイントが分かれている設計理由、デュアルスタックエンドポイント、FIPS エンドポイントの存在を解説します。AWS のゼロトラストネットワーキング - Verified Access と PrivateLink で実現する境界なきセキュリティAWS Verified Access、PrivateLink、VPC Lattice によるゼロトラストネットワーキングの実装を解説し、Azure Private Link との設計差異を比較します。