PrivateLinkによるサービス公開 エンドポイントサービスとVPCピアリング・Transit Gatewayの使い分け

ANS-C01では、他のVPCやアカウントへサービスを安全に公開する方法を、要件から選ぶ問題が出題されます。この記事では、PrivateLinkを「提供者・利用者・経路」の3つの観点で整理します。

覚え方は「提供者・利用者・経路」の3つの観点

提供者はNetwork Load BalancerまたはGateway Load Balancerの前面にエンドポイントサービスを作成し、利用者は自分のVPCにインターフェイスエンドポイントを作成して接続します。経路は、利用者のVPC内のENIから提供者のサービスへ、AWSのネットワーク内だけで届き、インターネットを通りません。

PrivateLinkの特徴

提供者は接続リクエストを承認制にでき、許可するプリンシパルも指定できます。通信は利用者から提供者への一方向で、VPC全体ではなく特定のサービスだけを公開します。CIDRが重複するVPCやアカウント間でもサービスを提供できるのが大きな利点です。利用者側のENIにはセキュリティグループが適用でき、プライベートDNSを有効にすると、サービスのDNS名がエンドポイントのプライベートIPに解決されます。Direct Connectで接続したオンプレミスからも、インターフェイスエンドポイント経由でサービスを利用できます。

ピアリング・Transit Gatewayとの使い分け

VPCピアリングとTransit Gatewayは、VPC全体のネットワークを接続する方式で、CIDRの重複は許されず、双方向の通信が可能です。「サービスだけを公開したい」「CIDRが重複している」「公開範囲を最小にしたい」という要件ならPrivateLinkを選び、VPC間でフルに通信したいならピアリングやTransit Gatewayを選びます。

チェックリスト

• エンドポイントサービスの前面に置くロードバランサーの種類を言える
• PrivateLinkの承認と許可プリンシパルの仕組みを説明できる
• CIDRが重複する場合の接続方法を答えられる
• PrivateLinkとピアリング・Transit Gatewayの違いを表で再現できる

まとめ

サービス公開は「提供者・利用者・経路」で整理し、サービス単位かつCIDR重複ならPrivateLink、VPC全体の接続ならピアリングやTransit Gatewayと覚えましょう。 理解度の確認にはクイズが便利です。試験範囲や申し込みの最新情報はAWS認定 公式ページもあわせて確認してください。