VPC Latticeによるサービス間通信の統一 マイクロサービスのネットワーキングを簡素化する

本記事はANS試験対策として、複数のVPCやアカウントにまたがるマイクロサービス間の通信を簡素化するVPC Latticeの設計を解説します。試験では、従来のPrivateLinkやピアリングとの使い分けが問われます。

覚え方のフレームは3つの観点です。抽象化(ネットワークを意識させない)・認可(サービス単位でアクセス制御)・可観測性(通信を一元的に監視)。

サービスネットワークという抽象化

VPC Latticeはサービス間通信を「サービスネットワーク」という論理単位で扱い、VPCのCIDRやルーティングを意識せずにサービスを公開・利用できます。異なるVPCやアカウントにまたがる多数のマイクロサービスを、個別にVPCピアリングやPrivateLinkを設定せずに接続したい要件で選びます。

サービス単位のきめ細かい認可

各サービスにIAMベースの認証・認可ポリシーやHTTPヘッダーベースのルーティングを設定できます。パス単位やメソッド単位で呼び出し元サービスを制限したい要件ではLatticeの認可ポリシーを使います。従来のセキュリティグループやNACLはIPアドレス単位の制御にとどまるため、こうしたアプリケーション層の制御には向きません。

既存構成との併用

単一サービスを特定のVPCだけに閉じて公開したいシンプルな要件では、引き続きVPCエンドポイントサービスによるPrivateLinkが適しています。サービスの数が少なく構成もシンプルな場合はPrivateLink、サービス数が多くメッシュ状の通信になる場合はVPC Latticeを選ぶのが目安です。

チェックリスト

• サービスネットワークという抽象化の考え方を説明できる
• Latticeの認可ポリシーとセキュリティグループの違いを区別できる
• PrivateLinkとVPC Latticeの使い分けの目安を説明できる
• CIDR重複時のメリットを理解している

まとめ

マイクロサービス間通信は「抽象化・認可・可観測性」で捉え、構成の複雑さに応じてPrivateLinkとVPC Latticeを使い分けるのが定石です。この記事の理解度はクイズで確認し、最新の試験範囲はAWS認定 公式ページで確認しましょう。