AWS PrivateLink にネットワークセグメントへのアクセスを可能にする「トンネルエンドポイント」が登場

AWS PrivateLink に新しい VPC エンドポイントタイプである「トンネルエンドポイント」が導入されました。これにより、別の VPC やアカウント内の特定の CIDR 範囲（ネットワークセグメント）に対して、プライベートかつ安全にアクセスすることが可能になります。利用者は AWS Resource Access Manager (RAM) を介して CIDR 範囲をリソース構成として共有し、GENEVE カプセル化を利用して対象セグメント内へトンネリングできます。

💡 技術的なポイント：リソース単位からネットワーク単位の共有へ

これまでの PrivateLink では、外部ベンダーなどにリソースを公開する場合、リソースごとに「リソース構成（Resource Configuration）」を作成する必要があり、管理コストが非常に高いという課題がありました。

今回のトンネルエンドポイントの登場により、CIDR 範囲をまとめて定義して共有できるようになります。GENEVE カプセル化を用いることで、特定のネットワークセグメントへ直接トンネリングできるため、大規模なネットワーク構成を持つ環境での共有が劇的にスムーズになります。

🇯🇵 日本国内のリージョン状況

最新の公式発表およびリサーチに基づくと、日本のリージョンにおける提供状況は以下の通りです。

• 東京リージョン (ap-northeast-1): 利用可能
• 大阪リージョン (ap-northeast-3): 利用可能

🛠 運用上のアドバイス

1. コスト管理: トンネルエンドポイントには「時間あたりの料金」に加え、「処理されたデータ量（GB単価）」の課金が発生します。大量のトラフィックが流れるセグメントを共有する場合は、コスト試算を事前に行うことを推奨します。
2. セキュリティ: CIDR 範囲単位での共有となるため、共有範囲が広すぎると意図しないリソースまで露出するリスクがあります。最小権限の原則に基づき、必要なセグメントのみを定義するようにしてください。

🚀 次のアクション

まずは、現在のリソース共有フローが「リソース単位」で煩雑になっていないかを確認しましょう。もし CIDR 単位での一括共有が適している構成であれば、AWS RAM と組み合わせたプロトタイプ作成を検討してみてください。

参照ドキュメント: AWS PrivateLink documentation