PrivateLinkを介し、プライベートDNS名で異なるAWSアカウントのプライベートなEC2にHTTPS通信を行う方法

椎名彰人

7か月前

皆さんお疲れ様です！椎名です。

別の部署やグループ会社の、異なるAWSアカウントのプライベートサブネットにある特定のリソースにのみアクセスしたい、という場面に遭遇した経験はないでしょうか。こんな時にぜひ使っていただきたいのはPrivateLinkです。

はじめに

AWS PrivateLinkとは？

AWS PrivateLink
ざっくりまとめると

VPCエンドポイントとVPCエンドポイントサービスをセットで用いて、AWS内のプライベートな接続を提供してくれるサービスです。
単一AWSアカウント内の異なるVPC間の接続はもちろん、異なるAWSアカウント内のVPCとサービスとの接続を簡単かつセキュアにできます。
また、VPCのCIDRが重複しても問題なく、通信したい箇所のみ接続させるのも重要なポイントです。

というわけで、今回はPrivateLinkを利用した環境を構築していきます。

構築イメージ

最終目標は、ユーザーアカウントのWindowsサーバーから、サービスアカウントのプライベートなLinuxサーバーに、「privatelink.test.cloud5.jp」というドメインでHTTPS通信を行います。
検証のため「ap-northeast-1a」のシングルAZ構成で構築していますが、実際の環境では信頼性の高いマルチAZが推奨されます。

二つのAWSアカウントの用意が難しい場合、同じアカウント内の異なるユーザーでも検証は可能です。

前提条件

サービスアカウント

プライベートサブネットが含まれていて、DNS ホスト名とDNS 解決が有効になっているVPCを作成していること。
LinuxEC2サーバー用のセキュリティグループを作成、80と443ポートを開いていること。

ユーザーアカウント

パブリックサブネットが含まれていて、DNS ホスト名とDNS 解決が有効になっているVPCを作成していること。
WindowsEC2サーバー用のセキュリティグループを作成、80ポートを開いていること。
エンドポイント用のセキュリティグループを作成、443ポートを開いていること。

Route53

利用可能なホストゾーンを作成していること。

サービスアカウント側の構築

1. s3エンドポイントの作成

プライベートなAmazon Linux EC2のリポジトリをアップデート及びインストールするには、S3へのアクセスの許可が必要です。AWS情報センター

エンドポイントで「com.amazonaws.ap-northeast-1.s3」のgatewayタイプを選び、LinuxEC2作成用のVPCとルートテーブルを選択します。

2. LinuxEC2の作成

Amazon Linux 2023のAMIを選び、ユーザーデータに

#!/bin/bash
sudo su
yum update -y
yum install -y httpd
systemctl start httpd
systemctl enable httpd
echo "This is test server" > /var/www/html/index.html

を入力します。

3. SSL証明書のリクエスト

今回は、「test.cloud5.jp」というドメインを所有していて、「privatelink.test.cloud5.jp」というサブドメインでLinuxサーバーにアクセスしたいので、完全修飾ドメインに「privatelink.test.cloud5.jp」を入力しています。皆さんは各自に所有しているドメインを入力してください。

以上の手順が完了したら、証明書のステータスが発行済みになっていることを確認します。