2025-06-20 PrivateLinkがNLBなしで作れるようになり便利になった

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © 3-shake, Inc. All Rights Reserved. おまえだれよ 2 ● すずきまさし/masasuzu/@masasuz ● 株式会社スリーシェイク Sreake事業部所属 ● クラウドインフラなんでも屋さんをしてます ○ 設計、運用、構築等の支援をやってます。 ○ 支援だけでなく実作業もなんでもやります。 ● AWSちょっとわかる ○ AWS Community Builder Cloud Operation Since 2024 ● Google Cloudほんのちょっとわかる ● Terraformちょっとわかる

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

NLBはTarget Groupで転送する先のターゲットを指定できるのですが、以下のものが設定できます。 ● インスタンス ● IPアドレス ● Lambda関数 ● Application Load Blancer 特にIPアドレスを使用する場合に問題となります。 Copyright © 3-shake, Inc. All Rights Reserved. 従来のPrivateLink構成の課題 9

Slide 10

Slide 10 text

RDSをターゲットにしている場合、以下の作業が必要です。 1. エンドポイントを名前解決して IPを取得 2. 取得したIPをターゲットに設定 RDSがフェイルオーバーしたときに、 IPが変わってしまう。そのため、 IPが変わったときにターゲットも付け替える仕組みが必要となる。 Copyright © 3-shake, Inc. All Rights Reserved. 従来のPrivateLink構成の課題 10

Slide 11

Slide 11 text

Slide 12

Slide 12 text

1. Amazon RDS フェイルオーバープロセスにより、新しいプライマリインスタンス IP が Route 53 に更新されます。 2. フェイルオーバーイベントを契機に SNSトピックにトリガーされます。 3. SNSトピックにサブスクリプションされている Lambda関数を起動します。 4. Lambda 関数は、RDSエンドポイントの IP を取得し、Network Load Balancer から現在登録されている IP を取得します。 5. 両方のIPアドレスが同一かどうかを確認します。同一でない場合は、エンドポイントを指す新しい IPアドレスを Network Load Balancerに登録し、古いIPアドレスをNetwork Load Balancerから登録解除します。 6. これで、すべての新しいユーザー接続が新しいプライマリインスタンスにリダイレクトされます。 Copyright © 3-shake, Inc. All Rights Reserved. 解決策(手順) 12

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

● 最近のアップデートでNLBが不要でPrivateLinkが構成できるようになりました。 ● 構成要素 ○ VPC Endpoint (Resource Endpoint) ○ Resource Configuration ○ Resource Gateway Copyright © 3-shake, Inc. All Rights Reserved. Resource Gatewayを利用したPrivateLink 15

Slide 16

Slide 16 text

Slide 17

Slide 17 text

● IPアドレスだけでなく、 DNS Nameでリソース指定ができるようになった ○ フェイルオーバー時にピタゴラ装置的な仕組みが不要になった ○ 名前解決をわざわざしなくて良くなった ● NLBと比べて、Resource Gateway、Resource Configurationの設定が楽 Copyright © 3-shake, Inc. All Rights Reserved. 嬉しいところ 17

Slide 18

Slide 18 text

Slide 19

Slide 19 text

● NLBを使用したPrivateLinkには課題があった ○ IP指定しているターゲットがフェイルオーバーした際など、 IPの付け替えをする必要があった。 ● Resource Gatewayを使用したPrivateLinkはリソース指定にDNS Nameが使える。 ○ そのため、IPアドレスにまつわるもろもろの管理をしなくても済むようになった。 ○ 若干煩雑なNLBの設定をしなくてすむようになった Copyright © 3-shake, Inc. All Rights Reserved. まとめ 19

Slide 20

Slide 20 text

● AWS PrivateLink（AWS でホストされているサービスに安全にアクセス） | AWS ● What is AWS PrivateLink? - Amazon Virtual Private Cloud ● Access Amazon RDS across VPCs using AWS PrivateLink and Network Load Balancer | AWS Database Blog ● AWS が AWS PrivateLink 経由での VPC リソースへのアクセスを発表 - AWS ● Securely share AWS resources across VPC and account boundaries with PrivateLink, VPC Lattice, EventBridge, and Step Functions | AWS News Blog ● Access VPC resources through AWS PrivateLink - Amazon Virtual Private Cloud Copyright © 3-shake, Inc. All Rights Reserved. 参考リンク 20