AWS PrivateLinkとVPCエンドポイント実践｜インターネットを経由しないAWSサービス接続の設計

1. VPCエンドポイントの種類

2. ゲートウェイ型エンドポイント（S3・DynamoDB）の設定

# S3用ゲートウェイエンドポイントを作成（Terraform）
resource "aws_vpc_endpoint" "s3" {
  vpc_id       = aws_vpc.main.id
  service_name = "com.amazonaws.ap-northeast-1.s3"
  vpc_endpoint_type = "Gateway"
  
  # プライベートサブネットのルートテーブルに追加
  route_table_ids = [
    aws_route_table.private_a.id,
    aws_route_table.private_c.id
  ]
  
  tags = {
    Name = "s3-gateway-endpoint"
  }
}

ゲートウェイ型はS3とDynamoDBのみ対応ですが無料です。プライベートサブネットのEC2からS3へのアクセスはNAT Gatewayを経由しなくなります。

3. AWS PrivateLink（インターフェイス型）でSSMを使う

Session ManagerでEC2に接続するにはSSMのエンドポイントが必要です。NAT Gatewayがない環境（完全にプライベートなサブネット）でSSMを使う場合、以下の3つのインターフェイスエンドポイントが必要です。

• com.amazonaws.ap-northeast-1.ssm
• com.amazonaws.ap-northeast-1.ssmmessages
• com.amazonaws.ap-northeast-1.ec2messages

4. AWS PrivateLinkで他社サービスとプライベート接続

SaaS事業者がAWS PrivateLinkを使ってサービスを提供している場合、インターネットを経由せずVPC内からSaaSにプライベートアクセスできます。金融・医療等のコンプライアンスが厳しい環境で外部SaaSに接続する際のセキュリティ要件を満たす手段として活用されます。