【ANS-C01 模擬】CIDRが重複する数百の顧客VPCへ、自社サービスを一方向かつプライベートに公開する方法は？
あるSaaS事業者は、自社VPC内のNetwork Load Balancer背後で稼働するAPIを、数百社の顧客が持つそれぞれのVPCからプライベートに利用させたいと考えています。顧客のVPCは各社が独自に設計しており、CIDRブロックが自社VPCや他の顧客VPCと重複しているケースが多数あります。要件は次のとおりです。(1) 通信はインターネットを経由しない。(2) 顧客側から自社サービスへの一方向の接続のみを許可し、自社から顧客ネットワークへは到達できないこと。(3) 顧客が増えるたびに自社側のルートテーブルを変更しないこと。(4) 顧客のAWSアカウントを承認制で追加できること。
これらの要件を満たすネットワーク構成として最も適切なものはどれですか。
これらの要件を満たすネットワーク構成として最も適切なものはどれですか。
正解: C
正解はCです。AWS PrivateLinkは、サービス提供側のNLB(またはGWLB)をエンドポイントサービスとして公開し、利用側がインターフェイス型VPCエンドポイントを介して接続する仕組みです。通信は利用側から提供側への一方向で、経路はエンドポイントのENIに閉じるためCIDRの重複があっても問題なく、提供側のルートテーブル変更も不要です。エンドポイントサービスは接続リクエストの承認制にでき、許可するプリンシパル(アカウント)をリストで管理できます。
Aのピアリング、BのTransit Gatewayはいずれもルーティングベースの接続であり、CIDRが重複するVPC同士は接続できません。また双方向に到達可能となるため要件(2)にも反します。DのVPNも同様にIPルーティングに依存し、重複CIDRの解決にはNATなどの追加設計が必要で、数百拠点分のトンネル運用も現実的ではありません。