2025-11-21 社内エンジニア勉強会改めて理解するVPC Endpoint

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © 3-shake, Inc. All Rights Reserved. おまえだれよ 2 ● すずきまさし/masasuzu/@masasuz ● 株式会社スリーシェイクSreake事業部シニアアーキテクト ● クラウドインフラなんでも屋さんをしてます ○ お客様の外部から ■ 設計、運用、構築等の技術支援を行います。 ○ お客様の内部から ■ インフラチームの一員として内製化支援も行います。 ● 得意領域 ○ AWS ■ AWS Community Builder Cloud Operation Since 2024 ■ 2025 Japan All AWS Certifications Engineers ○ Google Cloud ■ Google Cloud Partner Top Engineer 2026 ○ Terraform

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

● 対応サービスが多い ● オンプレミスから接続可能 ● Security Groupでアクセス制御可能 ● DNSを利用してトラフィック制御 ○ Interface EndpointのIPアドレスにサービスの DNS名を登録 ● サブネットにENIを接続 ● 課金単位はENIの時間単価と転送量 Copyright © 3-shake, Inc. All Rights Reserved. Interface Endpoint 12

Slide 13

Slide 13 text

● 歴史が古くS3とDynamoDBのみ対応している ● ルーティングを利用してEndpointへのトラフィックを制御している ○ サービスのIPアドレスをprefixlistに登録 ○ Route TableにprefixlistのNext HopをGateway Endpointに設定 ● 追加料金なし ○ S3とDynamoDBを使っているなら使わない理由がない Copyright © 3-shake, Inc. All Rights Reserved. Gateway Endpoint 13

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

ルーティングの仕組みを利用します 1. S3サービスの名前解決 2. Route53 ResolverからS3サービスの Public IPアドレスを取得 3. Route Tableを参照する a. S3 prefixlistにIPアドレスが含まれているのでNext Hopに指定されているGateway Endpointにフォワード Copyright © 3-shake, Inc. All Rights Reserved. Gateway Endpoint 17

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

説明済みの部分もありますが改めて以下のところがあるかと思います ● 完全閉域で使いたいとき ○ 余計なアウトバウンドアクセスをさせたくない ○ AWS外(オンプレなど)からAWSサービスにアクセスさせたい ● ポリシーを適用させたいとき ○ ex 特定のS3バケットのみアクセスを許可したい ○ ex 特定のVPC Endpointからのアクセスのみ許可したい ● 通信料が多いとき ○ NAT Gatewayは通信料が高い ○ ex 大量のログが流れる ○ ex コンテナイメージのpullが多い Copyright © 3-shake, Inc. All Rights Reserved. なんで必要なの? 20

Slide 21

Slide 21 text

Slide 22

Slide 22 text

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::123456789012:role/SomeInstance" }, "Action": "*", "Resource": "*" }, { "Effect": "Deny", "Principal": "*", "Action": "*", "Resource": "*", "Condition": { "StringNotEquals": { "aws:PrincipalArn": "arn:aws:iam::123456789012:role/SomeInstance" } } } ] } Copyright © 3-shake, Inc. All Rights Reserved. Endpoint Policy例 22 特定のRoleのみ使わせたい

Slide 23

Slide 23 text

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Deny", "Principal": "*", "Action": "s3:*", "Resource": [ "arn:aws:s3:::YOUR-BUCKET-NAME", "arn:aws:s3:::YOUR-BUCKET-NAME/*" ], "Condition": { "StringNotEquals": { "aws:SourceVpce": "vpce-1a2b3c4d" } } } ] } Copyright © 3-shake, Inc. All Rights Reserved. Bucket Policy例 23 特定のVPC Endpointのみ許可する

Slide 24

Slide 24 text

特定のサービスで大量の通信がある場合、VPC Endpointの利用を検討していただけたらと思います。 ● VPC Endpoint ○ 利用料 USD 0.014/hour ○ 転送量 ■ 最初の 1 PB 0.01 USD/GB ■ 次の 4 PB 0.006 USD/GB ■ 5 PB 以上のもの 0.004 USD/GB ● NAT Gateway ○ 利用料 USD 0.062/hour ○ 転送量 USD 0.062/GB Copyright © 3-shake, Inc. All Rights Reserved. 通信料が多い 24

Slide 25

Slide 25 text

Slide 26

Slide 26 text