292-AWS SAP AWS 「理論・実践・一問道場」Transfer Family

type

status

date

slug

summary

理論

1. VPCエンドポイントの概要

VPCエンドポイントは、Amazon Virtual Private Cloud（VPC）内からAWSのサービス（Amazon S3やDynamoDBなど）にアクセスするためのプライベート接続を提供する機能です。VPCエンドポイントを使うことで、インターネットを経由せずにAWSのサービスへ直接アクセスできます。これにより、セキュリティが向上し、パフォーマンスが改善されます。

VPCエンドポイントには主に2種類あります：

インターフェースエンドポイント（Interface Endpoint）: 各AWSサービスのエンドポイントに対してVPC内でプライベートIPアドレスを割り当てて、インターネットを使わずにアクセスする方法。

ゲートウェイエンドポイント（Gateway Endpoint）: 主にAmazon S3やDynamoDBに対して、インターネットを経由せずにアクセスするためのエンドポイント。これらのサービス専用です。

2. インターネット向けVPCエンドポイント

通常、VPCエンドポイントはインターネットを使わずにAWSサービスにアクセスするために使用されますが、インターネット向けのVPCエンドポイントという表現について説明すると、以下のようなポイントがあります。

2.1. インターネット向けのVPCエンドポイントとは？

インターネット向けのVPCエンドポイントは、主に「インターネット越しにVPC内のサービスへアクセスするためのエンドポイント」を指す場合に使用されます。これには、VPC内のリソースをインターネット越しにアクセスできるようにする、例えばAWS Transfer Family（SFTPサーバー）などのサービスが含まれます。

この場合、AWSのインターネット向けVPCエンドポイントは、VPC内にデプロイされたサービスを、インターネットを経由して外部からアクセスできるように提供する構成です。エンドポイント自体は、VPCの外部の顧客やシステムからインターネットを通じて直接アクセスされます。

2.2. インターネット向けのVPCエンドポイントを使用する状況

AWS Transfer Family: インターネット経由でアクセスする必要があるSFTP/FTPサービスを提供する場合、AWS Transfer Familyがインターネット向けのアクセスに使用されることが多いです。この場合、インターネット向けのVPCエンドポイントを設定することで、セキュアな接続を外部に提供します。

静的なパブリックIP: インターネット向けのサービスに接続する場合、静的なIPアドレス（Elastic IP）を指定してアクセスすることができます。これにより、外部のクライアントが固定IPアドレスを許可する設定が可能です。

2.3. セキュリティの観点

インターネット向けにVPCエンドポイントを設定する際は、以下の点に注意が必要です：

セキュリティグループの設定: アクセス制御のため、適切なセキュリティグループ設定が必要です。外部アクセスを許可するIPアドレスやプロトコルを絞り込むことが求められます。

アクセスログの活用: 外部のアクセスを監視し、ログを活用してセキュリティ上の問題を特定します。AWSのログサービス（CloudWatchなど）を活用することが推奨されます。

3. インターネット向けエンドポイントとプライベートアクセスの違い

インターネット向けアクセス: 公開されているAWSのサービスに対し、インターネット越しにアクセスする構成。外部の顧客やシステムが直接アクセスできます。

プライベートアクセス（VPC内からのアクセス）: インターネットを経由せずにVPC内のサービスへアクセスするためのエンドポイント。セキュリティが強化され、インターネットを経由しないのでパフォーマンスの向上も期待できます。

4. 関連するサービス

AWS Transfer Family: SFTP/FTP/FTPSを使って、データ転送サービスを提供するフルマネージドのサービス。インターネット経由でアクセスする際に利用されます。

Elastic IP (EIP): インターネット向けアクセスに利用する静的IPアドレスを提供します。外部の顧客が固定のIPを使ってAWSリソースにアクセスする場合に便利です。

結論

インターネット向けのVPCエンドポイントは、特にインターネット越しに外部からAWSサービスにアクセスする場合に使用されます。特定のAWSサービス（例えばAWS Transfer Family）を公開する場合に、このようなエンドポイントを設定することで、セキュアに外部アクセスを管理できます。また、セキュリティやパフォーマンスの面でも優れた管理が可能です。

実践

略

一問道場

問題 #292

トピック 1

ある企業がオンプレミスのSFTPサイトをAWSに移行する必要があります。現在、このSFTPサイトはLinux VMで実行されており、アップロードされたファイルはNFS共有を通じて下流のアプリケーションに提供されています。AWSへの移行の一環として、ソリューションアーキテクトは高可用性を実現する必要があります。このソリューションは、外部ベンダーに静的なパブリックIPアドレスを提供し、そのIPアドレスを許可リストに追加できるようにする必要があります。企業は、オンプレミスのデータセンターとVPC間にAWS Direct Connect接続を設定しています。

どのソリューションが最も運用負荷を軽減し、要件を満たすでしょうか？

A. AWS Transfer Familyサーバーを作成し、インターネット向けのVPCエンドポイントを構成します。各サブネットにElastic IPアドレスを指定し、Transfer Familyサーバーを複数のアベイラビリティゾーンに展開されたAmazon Elastic File System（Amazon EFS）にファイルを保存するように構成します。既存のNFS共有にアクセスしている下流アプリケーションの設定を変更し、EFSエンドポイントをマウントするようにします。

B. AWS Transfer Familyサーバーを作成し、パブリックにアクセス可能なエンドポイントを構成します。Transfer Familyサーバーを複数のアベイラビリティゾーンに展開されたAmazon Elastic File System（Amazon EFS）にファイルを保存するように構成します。既存のNFS共有にアクセスしている下流アプリケーションの設定を変更し、EFSエンドポイントをマウントするようにします。

C. AWS Application Migration Serviceを使用して、既存のLinux VMをAmazon EC2インスタンスに移行します。EC2インスタンスにElastic IPアドレスを割り当て、Amazon Elastic File System（Amazon EFS）をEC2インスタンスにマウントします。SFTPサーバーをEFSにファイルを保存するように構成します。既存のNFS共有にアクセスしている下流アプリケーションの設定を変更し、EFSエンドポイントをマウントするようにします。

D. AWS Application Migration Serviceを使用して、既存のLinux VMをAWS Transfer Familyサーバーに移行します。Transfer Familyサーバーにパブリックにアクセス可能なエンドポイントを構成します。Transfer Familyサーバーを複数のアベイラビリティゾーンに展開されたAmazon FSx for Lustreファイルシステムにファイルを保存するように構成します。既存のNFS共有にアクセスしている下流アプリケーションの設定を変更し、FSx for Lustreエンドポイントをマウントするようにします。

解説

選択肢 A が最適である理由について整理します。

A. AWS Transfer Family + EFS (インターネット向けVPCエンドポイント)

構成内容:

AWS Transfer Familyサーバーを使用してSFTPサーバーを構築。

インターネット向けのVPCエンドポイントを設定し、外部ベンダーにアクセスを提供。

ファイルはAmazon Elastic File System (EFS) に保存し、EFSは複数のアベイラビリティゾーンにまたがって展開されることで高可用性を確保。

既存のNFS共有にアクセスする下流アプリケーションは、EFSエンドポイントをマウントしてファイルにアクセス。

このソリューションのメリット:

高可用性:

EFSはマネージドサービスであり、複数のアベイラビリティゾーンにまたがってデータを保存することで、高可用性が確保されます。

AWS Transfer Familyを使用することで、冗長性と可用性が確保され、インフラの運用負荷を最小限に抑えることができます。

低運用負荷:

AWS Transfer Familyはフルマネージドサービスであり、SFTPサーバーのインフラ管理やセキュリティの設定、スケーリングをAWSが管理します。そのため、管理の負担が大きく軽減されます。

EFSもフルマネージドサービスであり、ファイルシステムの管理やスケーリングをAWSが自動的に行います。

静的IPの提供:

インターネット向けのVPCエンドポイントを使用することで、外部ベンダーに静的なパブリックIPアドレスを提供できます。これにより、ベンダーが指定したIPアドレスに対してアクセスを許可することができます。

簡単な移行:

既存のNFS共有にアクセスする下流アプリケーションは、EFSエンドポイントをマウントするだけで、ほとんどの変更なしにAWS環境に移行できます。

他の選択肢と比較した場合の利点:

選択肢Aは、インフラ管理の複雑さを最小化しつつ、SFTPサーバーの高可用性を提供し、外部ベンダーに静的なIPアドレスを提供する要件を満たす最も効率的な方法です。

選択肢Bは、同様にEFSを使用しますが、インターネット向けエンドポイントを使用する点が異なります。どちらも高可用性を提供しますが、選択肢Aの方が明確に要件に沿っており、最も効率的な設計です。

結論:

選択肢Aが最適なソリューションです。AWS Transfer Familyのインターネット向けVPCエンドポイントを使って、静的IPアドレスを提供しつつ、EFSで高可用性を確保し、運用負荷を最小化します。このアプローチは、要件を満たす上で最もシンプルでコスト効率の良い方法です。