Amazon EKS がクラスター OIDC エンドポイントへの AWS PrivateLink サポートを開始

Amazon EKS において、IAM Roles for Service Accounts (IRSA) で利用される OIDC ディスカバリおよび JWKS エンドポイントへの AWS PrivateLink サポートが提供されました。これにより、インターネットエグレス（外部への通信）を必要とせず、VPC 内からプライベートに OIDC エンドポイントへアクセスすることが可能になります。com.amazonaws.<region>.oidc-eks サービス名でインターフェイス VPC エンドポイントを作成することで利用でき、eksctl や Terraform などのツールによる IRSA のセットアップやトークン検証がプライベート環境で完結します。

解決される課題

これまで IRSA を利用する場合、OIDC エンドポイント（公開 URL）へのアクセスが必要だったため、完全プライベートな VPC 環境では NAT ゲートウェイやプロキシ経由でインターネットへの出口を設ける必要があるという運用上の制約がありました。今回のアップデートで、インターネットへの通信を完全に遮断した環境でも IRSA のセットアップとトークン検証が可能になります。

日本国内の利用状況

リサーチ結果に基づき、東京リージョンおよび大阪リージョンを含む、Amazon EKS が提供されているすべてのリージョンで利用可能です。国内の厳しいセキュリティ要件を持つエンタープライズ環境でも即座に導入可能です。

実務上のアドバイス

• コスト面: 機能自体の追加料金はありませんが、インターフェイス VPC エンドポイントの時間料金とデータ処理料金が発生します。クラスター数やエンドポイント数に応じてコストを検討してください。
• DNS 解決: EKS 管理 VPC エンドポイントでプライベート DNS を有効にしている場合、本機能により正しい DNS 解決が保証されるため、ネットワーク構成の簡潔化が期待できます。

次のアクション

まずは、現在の VPC 構成で OIDC エンドポイントへの通信がインターネット経由になっているかを確認し、com.amazonaws.<region>.oidc-eks エンドポイントの導入によるセキュリティ強化を検討してください。

参考リソース

Amazon EKS User Guide - Access the cluster OIDC endpoint using AWS PrivateLink