本文へスキップ
BecomeCoder

AWS SAA（ソリューションアーキテクト）コース　·　第7章　ネットワークの設計　·　レッスン39

VPCエンドポイント ― AWSサービスへのプライベート接続

導入

プライベートサブネットのEC2からS3やDynamoDBにアクセスしたいだけなのに、わざわざNATゲートウェイ経由でインターネットを通す必要があるのでしょうか。答えは「不要」で、その答えが VPCエンドポイント です。

説明

VPCエンドポイント は、VPC内からAWSサービスへ、インターネットやNATゲートウェイを経由せずプライベートに接続する仕組みです。2種類あります。

種別対象サービス仕組み課金
Gateway型S3、DynamoDBのみルートテーブルにエンドポイント宛のルートを追加無料
Interface型（PrivateLink）上記以外の大半のAWSサービス・一部SaaSサブネットにENI（プライベートIP）を作成時間課金＋データ処理料
flowchart LR
    subgraph VPC["VPC (プライベートサブネット)"]
      EC2["EC2"]
    end
    EC2 -->|"Gatewayエンドポイント<br/>(ルートテーブル経由)"| S3["Amazon S3"]
    EC2 -->|"Interfaceエンドポイント<br/>(PrivateLink・ENI経由)"| Other["その他AWSサービス<br/>(SNS/SQS/KMS等)"]

VPCエンドポイントを使うメリットは2つです。

  • セキュリティの向上：通信がAWSネットワーク内で完結し、インターネットに一切晒されない
  • コストの削減：NATゲートウェイのデータ処理料金がかからない（Gateway型は無料）

読んでみよう

「プライベートサブネットからS3にアクセスしたいが、NATゲートウェイのコストを削減したい／インターネットを経由させたくない」という設問は、ほぼ確実にS3向けGatewayエンドポイントが正解です。「S3/DynamoDBはGateway型、それ以外はInterface型（PrivateLink）」という対応をそのまま覚えてください。