AWS PrivateLink
VPC からインターネットを経由せずに AWS サービスやサードパーティサービスにプライベート接続するサービス
何ができるか
AWS PrivateLink は、VPC 内のリソースからインターネットを経由せずに AWS サービス、他の AWS アカウントのサービス、AWS Marketplace のサードパーティサービスにプライベート接続するサービスです。VPC エンドポイントを作成すると、トラフィックは AWS のプライベートネットワーク内で完結します。
どのような場面で使うか
セキュリティ要件でインターネット経由のアクセスが禁止されている環境での AWS サービス利用、SaaS プロバイダーのサービスへのプライベート接続、マイクロサービス間のプライベート通信に利用されます。 この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
身近な例え
ビル内の専用通路に例えられます。隣のビル (AWS サービス) に行くのに公道 (インターネット) を通る代わりに、ビル間の専用通路 (PrivateLink) を使えば、外部にさらされることなく安全に移動できます。
PrivateLink とは
AWS PrivateLink は、VPC エンドポイントを通じてプライベート接続を実現するサービスです。インターフェイス型 VPC エンドポイントを作成すると、VPC のサブネット内に ENI (Elastic Network Interface) が作成され、プライベート IP アドレスで AWS サービスにアクセスできます。NAT Gateway やインターネットゲートウェイが不要になります。
エンドポイントの種類
VPC エンドポイントには 2 種類あります。インターフェイスエンドポイント (PrivateLink) は ENI ベースで、S3、DynamoDB 以外のほとんどの AWS サービスに対応します。ゲートウェイエンドポイントは S3 と DynamoDB 専用で、ルートテーブルにルートを追加する方式です。ゲートウェイエンドポイントは無料、インターフェイスエンドポイントは時間課金とデータ処理量課金が発生します。
はじめかた
VPC コンソールの「エンドポイント」から「エンドポイントの作成」を選択し、接続先のサービスを選びます。インターフェイスエンドポイントの場合はサブネットとセキュリティグループを指定します。エンドポイントポリシーでアクセスを制限することも可能です。S3 と DynamoDB にはまずゲートウェイエンドポイント (無料) の利用を推奨します。
注意点
- ゲートウェイエンドポイント (S3、DynamoDB) は無料。インターフェイスエンドポイントは時間課金 + データ処理量課金が発生
- インターフェイスエンドポイントは AZ ごとに作成が必要。高可用性のためには複数 AZ に作成することを推奨
さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。
