【要約】PrivateLink で別アカウントの VPC に接続されているオンプレミスの名前解決が必要なリソースにアクセスする [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
ガバメントクラウド等のマルチアカウント環境において、ネットワーク分離を行う際に技術的な課題が生じる。共有リソースVPCはオンプレミスと接続しているが、システムVPCとは直接ルーティングできない構成が一般的である。この構成では以下の問題に直面する。
- ・システムVPCからオンプレミスへの直接的な通信経路が存在しない。
- ・オンプレミス側のIPアドレスが不定な場合、名前解決が必要となるが、その手段がない。
- ・既存のPrivateLink構成では、VPCからオンプレミスへの逆方向のアクセスが困難である。
// Approach
NLBを必要としない「リソースゲートウェイ」を活用し、オンプレミスリソースをPrivateLink経由で別アカウントのVPCへ提供する。以下のステップで構成を構築する。
- ・共有リソースVPCにRoute 53アウトバウンドエンドポイントを設置し、オンプレミスの名前解決を可能にする。
- ・リソースゲートウェイとリソース設定を作成し、AWS RAMを用いて利用側アカウントへ共有する。
- ・利用側アカウントでリソースVPCエンドポイントを作成し、プライベートDNSを有効化する。
- ・これにより、利用側VPCからFQDNを用いたオンプレミスへのアクセスを実現する。
// Result
検証の結果、システムVPC内のEC2から、オンプレミスのFQDNを用いて直接リソースへアクセスできることを確認した。
- ・Route 53プライベートホストゾーンが自動生成され、名前解決が正常に動作した。
- ・リソースVPCエンドポイントのIPアドレスを経由して、オンプレミスのWebサービスへの通信が成功した。
- ・NLBを介さない構成により、リソースへのアクセス経路を簡素化できる可能性を示した。
Senior Engineer Insight
> ルーティングを許可できない極めて厳格な分離環境において、有効な回避策となり得る。NLB不要の構成はコストと複雑性の低減に寄与する。しかし、リソースごとにゲートウェイや設定の管理が必要となる点は、運用上の大きな懸念だ。スケーラビリティの観点からは、管理対象の増大が避けられない。基本的にはTransit Gatewayによる接続を優先すべきであり、本手法は特殊なセキュリティ要件下での「最終手段」として検討すべき技術である。