VPC Endpoint プライベート接続構成
プライベートサブネット内のアプリケーションから、インターネットを経由せずにS3やDynamoDBへアクセスするVPC Endpoint構成です。
構成図
使用AWSサービス
サービス名をクリックすると、用語詳細ページへ移動します。
概要
VPC Endpointは、VPC内のリソースからAWSサービスへプライベートに接続するための入口です。プライベートサブネットのアプリケーションがS3やDynamoDBへアクセスする場合、インターネットゲートウェイやNAT Gatewayを経由せずに通信できます。 SAAでは、セキュリティを高めながらNAT Gatewayの固定費を避ける構成として問われやすいです。
通信フロー
1. アプリケーションはプライベートサブネット内で動作します。 2. アプリケーションがS3またはDynamoDBへアクセスします。 3. ルートテーブルに設定されたVPC Endpoint経由でAWSサービスへ通信します。 4. IAM PolicyとEndpoint Policyでアクセス可否が評価されます。 5. 許可された操作だけが実行されます。
設計ポイント
S3とDynamoDBにはGateway Endpointを使えます。Gateway EndpointはNAT Gatewayを使う構成よりコストを抑えやすいです。 Interface Endpointは多くのAWSサービスに対応しますが、時間課金とデータ処理課金が発生します。すべてのサービスに作るのではなく、通信要件とコストを見て選びます。 セキュリティ面では、IAM PolicyだけでなくEndpoint Policyでもアクセス先を制限します。
SAA試験ポイント
プライベートサブネットからS3へアクセスしたい、インターネットを経由したくない、NAT Gatewayのコストを避けたい、という条件が出たらVPC Endpointを候補にします。 Gateway EndpointとInterface Endpointの違い、Endpoint Policyによる制限、ルートテーブルへの関連付けを押さえます。
他のAWS構成図も確認する
SAA対策では、AWSサービスを単体ではなく構成パターンとして理解することが重要です。