プライベート エンドポイントとは何ですか? - Azure プライベート リンク (2023)

FAQs

プライベート エンドポイントとは何ですか? - Azure プライベート リンク? ›

プライベート エンドポイントは、仮想ネットワークのプライベート IP アドレスを使用するネットワーク インターフェイスです。 ユーザーはこのネットワーク インターフェイスにより、Azure Private Link を利用するサービスに非公開で安全に接続します。

Azure Private Link とは、仮想ネットワーク（Azure Virtual Network／以下、VNet)から、Azure PaaS や Azure 上で運用している自社の業務システム、またはパートナーサービスへ、プライベート接続（閉域接続）ができるサービスです。

「プライベートリンク」は、お客様設備とさくらインターネットの各種サービスを、インターネットを経由しない閉域網で接続するサービスです。

サービス エンドポイントとプライベート エンドポイントの違いは何ですか。

サービス エンドポイントは、公的にルーティング可能な IP アドレスのままです。 プライベート エンドポイントは、プライベート エンドポイントが構成されている仮想ネットワークのアドレス空間にあるプライベート IP です。

Azure プライベート エンドポイントは、Azure Private Link を使用するサービスにプライベートかつ安全に接続するためのネットワーク インターフェイスです。 プライベート エンドポイントは、ご自分の VNet からのプライベート IP アドレスを使用して、サービスを実質的に VNet に取り込みます。

プライベート エンドポイントは、仮想ネットワークのプライベート IP アドレスを使用するネットワーク インターフェイスです。 ユーザーはこのネットワーク インターフェイスにより、Azure Private Link を利用するサービスに非公開で安全に接続します。

エンドポイント（Endpoint）とは、英語で「終点、端点」などを意味し、IT用語では通信ネットワークに接続された端末や機器のことを指します。 具体的には、ユーザーが操作するコンピュータやタブレット端末、スマートフォン、サーバ、プリンターなどがエンドポイントに当たります。

VPC エンドポイント の特徴​

ルートテーブル経由で S3等 へアクセスするのを VPC エンドポイントへ向けるように設定することで、VPC エンドポイント経由でS3 へのアクセスが可能となります。 これにより、インターネットを介さずに、直接クラウド内で通信が完結するため、コストが無料という大きなメリットがあります。

AWS PrivateLinkには「通信の保護」「ネットワーク管理の簡素化」「クラウド移行が簡単に可能」といったメリットがあります。

パブリックIPとグローバルIPの違いは何ですか？ ›

「パブリックIPアドレス」は「インターネットに接続する」ために利用されるIPアドレスです。 別名「グローバルIP」、「外部IP」、「WANアドレス」といった呼ばれ方をする事もあります。 また、グローバルIPアドレスは同じ端末であっても、空港やホテルなど接続するWiFiが異なれば、グローバルIPも異なります。

ゲートウェイ型とインターフェイス型の2種類があります。 ゲートウェイ型は最初に出たVPCエンドポイントで、S3とDynamoDBが対応しています。 インターフェイス型は、それ以降に出てきたサービスで50種類以上のサービスが対応されています。

ゲートウェイ VPC エンドポイントは、VPC にインターネットゲートウェイや NAT デバイスを必要とせずに、Amazon S3 および DynamoDB への信頼性の高い接続を提供します。 ゲートウェイエンドポイントは、他のタイプの VPC エンドポイントとは異なり、AWS PrivateLink を使用しません。

Azure のプライベート エンドポイントでは、エンドポイントの名前解決のために DNS レコードが必要です。 DNS レコードにより、構成されたリソースのエンドポイントのプライベート IP アドレスが解決されます。

仕組み AWS PrivateLink は、仮想プライベートクラウド (VPC)、サポートされる AWS サービス、およびお客様のオンプレミスネットワーク間のプライベート接続を、お客様のトラフィックを公衆インターネットに公開することなく提供します。

使用するエンドポイント名は sqs.ap-northeast-1.amazonaws.com です。

コンピューターに割り当てられたIPアドレスとポート番号の組み合わせのこと。 複数のコネクション（通信路）を区分して管理するために使用される。

先ほどご紹介したように、エンドポイントはユーザーが公開されているAPIにアクセスする際の接続先であり、視点はユーザーとなります。 一方のエントリーポイントは、API公開側がユーザーにAPIを利用してもらうための接続先のことであり、視点はAPI公開側となります。

エンドポイントセキュリティの役割は、これまでの境界型のセキュリティ対策同様に、サイバー攻撃や内部不正から機器内に保存された情報や社内ネットワークへの侵入を阻止することだ。

１ 終点。 末端。 ２ 数学で、線分の端点。

VPCエンドポイント なぜ必要？ ›

VPCエンドポイントを作成することで、VPC内のインスタンスとVPC外のサービスをプライベート接続で通信できるようになります。 セキュリティの問題でインターネットに接続せずにサービスと繋がりたいときに使用するものです。

VPC エンドポイントは、VPC内リソースから、Internet Gatewayを経由せずにS3などのVPC外のAWSリソースにアクセスするためのサービスです。 ゲートウェイ型のVPCエンドポイントは追加料金なしで利用できます。

VPCエンドポイントの作成・設定

「S3」でフィルタをかけて、表示されたサービスを選択します。 vpcは自身で作成したvpcを選択します。 プライベートサブネットに属しているルートテーブルを選択します。 ポリシーは変更せず、「エンドポイントの作成」をすると完成です！！

VPC エンドポイントに対する時間単位の請求は、エンドポイントを削除すると停止されます。 また、エンドポイントサービスの所有者がお客様の VPC エンドポイントをサービスにアタッチすることを拒否し、結果としてサービスが削除された場合も請求が停止します。

Amazon VPC を削除する前に、依存リソースを削除する必要があります。 AWS コマンドラインインターフェイス (AWS CLI) delete-vpc コマンドまたは Amazon VPC コンソールを使用して Amazon VPC を削除することができます。

プライベートIPアドレスは、ローカルIPアドレスともいいます。 自宅や会社など、ネットワーク内のIPアドレスのことです。 ルーターに複数のパソコンや機器をつないで使う場合、プライベートIPアドレスがあることでルーターとパソコン間、パソコンと機器間が通信できます。 ネットワーク内で識別番号が付いているということです。

プライベートIPアドレスを使うことで、プライベートネットワーク内で他のコンピュータと通信することができます。 しかし、プライベートネットワークの外にあるコンピュータと通信するためには、グローバルIPアドレスが必要です。 プライベートIPアドレスでは、インターネット上で通信できません。

その一つが、セキュリティの確保です。 プライベートIPアドレスはインターネット上で使うことができません。 そのため、プライベートIPアドレスによるネットワークは、インターネットから切り離され、意図しないユーザによるアクセスやハッキングなどの被害から守られます。

プロキシサーバーとゲートウェイの決定的な違いは、プロキシサーバーはクライアントのリクエストをプロキシサーバーを介して送るのに対し、ゲートウェイはパケットをそのままwebサーバーに送る点だと思います。 どちらも中継機能を有していますが、パケットの流れを見る限り、全く別物と思った方がいいかもしれません。

ゲートウェイサーバとプロキシサーバの違いは何ですか？ ›

このように、プロキシサーバーが通信の中継や途中でのさまざまな処理をするのに対して、ゲートウェイは単に届いたパケットを送るだけの仕組みとなっています。

IoTゲートウェイと一般的なルーターとの最大の相違点は、「多種類の通信規格に対応可能」という点です。 すなわち、これまで共通のIPを基にしたルーター通信では不可能だったい種類のプロトコル間での通信が可能になり、通信の安定性も向上しています。

デフォルトでは、各 VPC エンドポイントは、アベイラビリティーゾーンあたり最大 10 Gbps の帯域幅をサポートし、最大 100 Gbps まで自動的にスケールアップします。

①VPCサービスより「エンドポイント」を選択し、「エンドポイントの作成」を選択します。 ②サービス名で「S3」を検索すると、「Gateway」「Interface」両方のエンドポイントがヒットします。 ここでは「Gateway」を選択します。 あとは以下の設定をし、「エンドポイントの作成」を選択します。

Gateway型のS3エンドポイントではS3へのアクセスURLは変わりません。 つまり通常のS3へのアクセスURLである「https://s3. 【リージョン名】.amazonaws.com/【バケット名】/【オブジェクト名】」となります。

PrivateLinkのプライベートDNS名の設定

ドメインの検証には、プライベートDNSの有効化時に指定される値をTXTレコードとして登録します。 これにより、エンドポイントサービス側で指定したDNS名を使って、エンドポイントユーザ側はプライベートIPの名前解決が可能になります。

DNS 転送ルールセットを使用すると、特定の DNS 名前空間のクエリに応答する 1 つ以上のカスタム DNS サーバーを指定できます。 ルールセット内の個々のルールによって、これらの DNS 名がどのように解決されるかが決まります。 ルールセットは 1 つ以上の仮想ネットワークにリンクすることもできます。

Azure DNS IP アドレスは 168.63.129.16 です。

プライベート エンドポイント接続を拒否するには、Deny-AzPrivateEndpointConnection コマンドレットを使用します。

プライベート エンドポイントは、仮想ネットワークのサブネットにある一組のプライベート IP アドレスです。 これで、プライベート IP アドレスを使用して Azure Cosmos DB アカウントへのアクセスを制限できるようになります。

Azureのデータ収集エンドポイントとは何ですか？ ›

データ収集エンドポイントは、特定のリージョン内に作成された Azure Resource Manager リソースです。 特定のリージョンのエンドポイントは、"同じリージョン内のマシンとだけ関連付けることができます"。 ただし、ニーズに応じて、同じリージョン内に複数のエンドポイントを持つことができます。

azure.com）を開き、仮想マシンを選択し、「ネットワーク」のところにあるパブリックIPアドレスのリンクを押します。 パブリックIPアドレスの構成画面に遷移したら、割り当てを「静的」に変更し、「保存」を押しましょう。 これだけで、現在割り当てられているパブリックIPアドレスが固定化されます。

プライベート エンドポイント リソースから FQDN を貼り付けます。 ポートを指定します。 通常、Azure Storage または Azure Cosmos DB の場合は 443、SQL の場合は 1336 を使用します。

Azure Filesとは

Azure Files は「ファイル共有」のためのストレージを提供するサービスです。 Windows、Linux、macOS を実行しているクラウドまたはオンプレミスのコンピューターから、ファイルサーバー上の共有フォルダーのようにマウントしてアクセスできます。

Azure ファイル共有への直接アクセスでは、多くの場合、ネットワークに関するさらなる考慮が必要になります。 SMB ファイル共有はポート 445 を介して通信します。 このポートでは、多くの組織やインターネット サービス プロバイダー (ISP) が送信 (インターネット) トラフィックをブロックしています。

サービスエンドポイントを利用してのアクセスは、VNet内サブネットからPaaSへの一方通行のみ可能という点も重要なポイントです。 つまり、その逆方向であるPaaSからVNet内サブネットへのアクセスの際には、サービスエンドポイントを利用できません。

ルート テーブル で制御する場合

ルート テーブルで「アドレス プレフィックス」：「0.0.0.0/0」、「次ホップの種類」：「なし」を選択することで、特定のサブネットからのインターネット接続を禁止することができます。

Azure portal で、[ファイアウォール] を検索し、選択します。 [ファイアウォール] ページで、[myFirewall] を選択します。 [myFirewall] ページで、[設定] に移動して [パブリック IP 構成] を選択します。 [パブリック IP 構成の追加] を選択します。