PrivateLinkとは

詳細な図解

PrivateLinkの設計上の意味

PrivateLinkは、AWS上のサービスへプライベートIP経由で接続できるようにする仕組みです。利用者側VPCから見ると、インターフェイスエンドポイントのENIへ通信し、その先でサービス提供側へ到達します。インターネット公開や広いVPC間接続を避けたいときに有効です。

ポイントは、接続が片方向のサービス消費に近い形になることです。VPC同士を丸ごとつなぐのではなく、必要なサービスだけを見せる設計に向いています。

どこで使うと効果があるか

PrivateLinkは、SaaSのプライベート接続、社内共通APIの提供、複数アカウントからの閉域アクセス、公開IPを持たせたくない管理系エンドポイントでよく使います。セキュリティグループで到達元を絞り、DNS名で自然に使わせる構成が多いです。

一方、双方向に自由な通信が必要な場合や、多数のサブネットを広く接続したい場合は、VPCピアリングやTransit Gatewayの方が合うことがあります。

確認する材料

確認では、エンドポイント種別、サービス名、プライベートDNS、サブネット、セキュリティグループ、接続承認、費用を見ます。名前解決が有効な場合、同じFQDNでもVPC内外で応答が変わるため、DNSの確認が重要です。

• インターフェイスエンドポイントのENIとIPを確認する。
• セキュリティグループの方向とポートを保存する。
• VPC内から名前解決した結果と接続ログを残す。

よくある誤解

PrivateLinkを作ればVPC全体がつながる、という理解は誤りです。見えるのは公開されたサービスの入口であり、相手VPCの任意のIPへ到達できるわけではありません。

また、プライベート接続だから認証が不要になるわけでもありません。通信経路を閉じても、API認証、IAM、TLS、監査ログは別の層として必要です。

運用での注意点

PrivateLinkはサービスごと、AZごと、データ転送で費用が発生します。利用者が増えたときにどのアカウントが費用を持つのか、削除時にどのサービスが止まるのかを台帳化しておくと後で困りません。

関連語はVPC、セキュリティグループ、Route 53 Resolverです。ネットワーク到達性と名前解決を一緒に見ると、PrivateLinkの障害調査はかなり進めやすくなります。

関連語

同じ主要カテゴリの用語

クラウドの学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能