SAA / ドメイン1 セキュアなアーキテクチャの設計
AWS PrivateLink
概要
は、トラフィックをパブリックインターネットへ出さず、間またはVPCから対応サービスへプライベートに接続する技術です。
主要技術
① インターフェイスVPCエンドポイント
利用側のにプライベートを持つを作成し、対応AWSサービスやサービスへ接続します。
② エンドポイントサービス
提供側はNetwork Load Balancerなどをサービスとして公開し、利用を許可するプリンシパルを制御します。
③ ネットワーク分離
のようにネットワーク全体を相互接続せず、特定サービスだけを一方向に公開できます。重複がある環境にも適します。
④ DNS、アクセス制御、エンドポイント比較
インターフェイスではごとにを作成し、で利用側からの通信を制御します。AWSサービスのプライベートを有効にすると、通常のサービスDNS名をプライベートへ解決でき、アプリケーションの接続先変更を減らせます。
提供側は接続を許可するAWSプリンシパルを指定し、必要に応じて接続要求を承認します。利用側ではエンドポイントポリシーが対応する場合、利用できるアクションやリソースをさらに制限します。
| 種類 | 主な用途 | 判断ポイント |
|---|---|---|
| Interface endpoint | 多くのAWSサービス・独自サービス | を使用し、ENIと時間・データ処理料金があります |
| Gateway endpoint | 、 | PrivateLinkではなく、へ経路を追加します |
| Gateway Load Balancer endpoint | 仮想ネットワーク機器 | 検査トラフィックを透過的に転送します |
試験対策
① 選択基準
複数や顧客VPCへ特定アプリケーションだけをプライベート公開する場合に選びます。
② ピアリングとの違い
間の広い相互通信にはや、サービス単位の公開にはです。
⚠️ 頻出: とへのGateway endpointはAWS PrivateLinkを使用しません。サービス単位か、ネットワーク全体かで接続方式を選びます。