440-AWS SAP AWS 「理論・実践・一問道場」AWS PrivateLink

type

status

date

slug

summary

理論

1. VPCピアリングとトランジットゲートウェイ

VPCピアリング: VPCピアリングは、2つのVPC間で通信を可能にするための方法です。ただし、ピアリング接続の数が増えると管理が複雑になり、VPCが増えた場合、各VPC間でピアリング接続を設定し直す必要があるため、スケーラビリティに欠ける可能性があります。

トランジットゲートウェイ (TGW): トランジットゲートウェイは、複数のVPC間での通信を一元化するサービスで、複数のVPCとオンプレミスの接続を効率的に管理できます。VPCが増えると、トランジットゲートウェイを使うことで、接続数を大幅に削減でき、管理が楽になります。新しいVPCを追加するのも簡単で、スケーラブルです。

2. AWS PrivateLink

PrivateLink: AWS PrivateLinkは、セキュアでプライベートな接続を提供するサービスで、VPC間のトラフィックをインターネット経由でなく、AWSの内部ネットワーク経由で処理することができます。これにより、ネットワークのセキュリティを強化し、トラフィックの漏れを防ぐことができます。PrivateLinkは、特に一方向のトラフィック（例えば、管理VPCへのアクセス）をセキュアに処理したい場合に便利です。

3. ネットワークロードバランサー (NLB) とVPCエンドポイント

NLB: ネットワークロードバランサーは、高性能でレイテンシが低いロードバランサーです。PrivateLinkで使用することにより、トラフィックを安全に、プライベートなネットワークでルーティングできます。

VPCエンドポイント: VPCエンドポイントは、インターネットを経由せずに、AWSのサービスにアクセスするためのプライベートな接続ポイントです。これを使用することで、インターネット経由のトラフィックを削減し、セキュリティを強化できます。

4. AWS Organizations と複数のアカウントの管理

AWS Organizations: 複数のAWSアカウントを一元的に管理するためのサービスです。これにより、アカウント間でのリソース共有や請求管理が簡単になります。大規模なSaaS企業などでは、複数のVPCを管理する際に役立ちます。

5. スケーラビリティと運用負荷の最小化

スケーラビリティ: 大規模なアーキテクチャ（50以上のVPCなど）を運用する場合、スケーラブルなアーキテクチャ設計が求められます。トランジットゲートウェイやPrivateLinkの利用により、VPC間の通信を効率的に処理し、運用負荷を最小化できます。

運用負荷の最小化: 複数のVPCがある場合、個別の接続や管理が煩雑になりがちです。そのため、サービス間の接続の効率化や自動化を行うことが、運用の簡素化とコスト削減に繋がります。

まとめ

この問題では、複数のVPC間の効率的な接続と、セキュアでスケーラブルな方法を求めています。トランジットゲートウェイとPrivateLinkを使うことで、運用の負荷を最小限に抑えつつ、スケーラビリティとセキュリティを確保することができます。

実践

略

一問道場

問題 #440

トピック 1

あるSaaS（ソフトウェア・アズ・ア・サービス）会社が、顧客にメディアソフトウェアソリューションを提供しています。このソリューションは、複数のAWSリージョンとAWSアカウントにまたがる50のVPCにホストされています。これらのVPCのうち1つは管理VPCとして指定されています。VPC内のコンピューティングリソースは独立して動作しています。

会社は、新しい機能を開発しており、この機能はすべての50のVPCが相互に通信できることを要求します。また、各顧客のVPCから会社の管理VPCへの一方向のアクセスも必要です。管理VPCは、メディアソフトウェアソリューションのライセンスを検証するコンピューティングリソースをホストしています。

会社は、ソリューションのホストに使用するVPCの数が増加し続けると予想しています。

どの組み合わせの手順が、最小限の運用負荷で必要なVPC接続を提供しますか？（2つ選択してください。）

A. トランジットゲートウェイを作成し、会社のすべてのVPCおよび関連するサブネットをトランジットゲートウェイに接続します。

B. 会社のすべてのVPC間でVPCピアリング接続を作成します。

C. ライセンス検証用のコンピューティングリソースを指すネットワークロードバランサー（NLB）を作成します。AWS PrivateLinkエンドポイントサービスを作成し、各顧客のVPCに提供します。このエンドポイントサービスをNLBに関連付けます。

D. 各顧客のVPCにVPNアプライアンスを作成し、AWS Site-to-Site VPNを使用して会社の管理VPCと各顧客のVPCを接続します。

E. 会社の管理VPCと各顧客のVPCの間でVPCピアリング接続を作成します。

解説

A. トランジットゲートウェイを作成し、会社のすべてのVPCおよび関連するサブネットをトランジットゲートウェイに接続します。

正解の選択肢: トランジットゲートウェイは、複数のVPCを接続するための最適な方法です。これにより、VPC間での通信が一元化され、スケーラブルで管理が簡単になります。新しいVPCを追加しても、既存の接続を変更することなく簡単に拡張でき、運用負荷も最小限に抑えることができます。トランジットゲートウェイは、VPC数が多くなる場合でも非常に有効です。

C. ライセンス検証用のコンピューティングリソースを指すネットワークロードバランサー（NLB）を作成し、AWS PrivateLinkエンドポイントサービスを作成して各顧客のVPCに提供します。

正解の選択肢: このオプションは、顧客のVPCから管理VPCへの 一方向アクセス を提供するために最適です。AWS PrivateLinkを利用すると、セキュアなプライベート接続を確保しつつ、顧客のVPCから管理VPCに向けたアクセスを一方向で提供できます。これにより、セキュリティや管理の煩雑さを避けつつ、一方向のトラフィックを効率的に処理できます。

なぜB, D, Eは不適切か？

B (VPCピアリング) は、VPCが増えると管理が非常に煩雑になるため、選択肢として適していません。50のVPCがある場合、ピアリング接続を手動で設定するのは非常に非効率的です。

D (VPNアプライアンス) は、VPN接続の管理が煩雑で、複数のVPN接続を手動で管理することはスケーラビリティや効率性に欠けます。

E (管理VPCと顧客VPC間のVPCピアリング) も同様に、管理の負担が大きくなり、ピアリングが増えると運用が複雑になります。

結論

A と C の組み合わせが最適な解決策です。これにより、VPC間の通信はスケーラブルで効率的に行われ、一方向のアクセスもセキュアかつ簡単に提供できます。