Alibaba Cloud サービスへのアクセス - PrivateLink - Alibaba Cloud ドキュメントセンター

Virtual Private Cloud (VPC) にエンドポイントを作成し、Alibaba Cloud サービスを指定します。エンドポイントに送信されたリクエストは PrivateLink によってターゲットサービスに転送され、安全なプライベートネットワークアクセスを可能にし、パブリックインターネット経由でサービスにアクセスする際の潜在的なセキュリティリスクを回避します。

ユーザーはインターフェイスエンドポイントを使用して、プライベートネットワーク経由で Alibaba Cloud サービスにアクセスできます。
ユーザーの権限付与後、Alibaba Cloud サービスはリバースエンドポイントを使用して、プライベートネットワーク経由でユーザーの VPC 内の指定されたリソースに安全にアクセスできます。

インターフェイスエンドポイントを使用した同一リージョン内の Alibaba Cloud サービスへのアクセス

サービス利用者は VPC にインターフェイスエンドポイントを作成して、プライベートネットワーク経由で指定された Alibaba Cloud サービスにアクセスできます。

システムはエンドポイントのアベイラビリティゾーン用に Elastic Network Interface (ENI) を作成し、対応する vSwitch の CIDR ブロックからこれらの ENI にプライベート IP アドレスを割り当てます。
サービス利用者は、エンドポイントドメイン名またはエンドポイントゾーンドメイン名を使用して Alibaba Cloud サービスにアクセスできます。エンドポイントに送信されたすべてのサービスリクエストは、PrivateLink を通じてバックエンドのサービスリソースに転送されます。
エンドポイントドメイン名とエンドポイントゾーンドメイン名はパブリック DNS の権威ドメイン名であり、他の VPC やオンプレミスデータセンターのクライアントからも解決できます。
- クロスリージョンエンドポイントを有効化して、リージョンをまたいで Alibaba Cloud サービスに直接接続できます。
- 他の VPC やオンプレミスデータセンターも、VPC とのネットワーク接続を確立した後、VPC 内のインターフェイスエンドポイントを通じて Alibaba Cloud サービスにアクセスできます。

Alibaba Cloud サービスにカスタムサービスドメイン名が設定されている場合、ユーザーはインターフェイスエンドポイントのカスタムサービスドメイン名を有効にして、カスタムサービスドメイン名を使用して対応する Alibaba Cloud サービスにアクセスできます。

インターフェイスエンドポイントの作成/削除

サポート範囲：インターフェイスエンドポイント経由でのアクセスをサポートする Alibaba Cloud サービス。
PrivateLink サービスが有効化されていること、およびターゲットリージョンにVPC と vSwitch およびセキュリティグループが作成されていることを確認してください。

コンソール

エンドポイント - エンドポイントの作成ページに移動します。
インターフェイスエンドポイントを設定します：
- 基本設定：
  - リージョン：Alibaba Cloud サービスのアクセスエントリが配置されているリージョンを選択します。
  - 名前と説明：クラウドリソースを統一的に識別します。
- タイプ：Alibaba Cloud サービス を選択します。
- 利用可能なサービス：エンドポイントサービス名に基づいて、アクセスする Alibaba Cloud サービスを選択します。
  利用可能：Alibaba Cloud サービスがリージョンにデプロイされており、サービス利用者が対応する Alibaba Cloud サービスに接続する権限を持っていることを意味します。
- ネットワーク設定：
  - 高いサービス可用性を確保するために、少なくとも 2 つのアベイラビリティゾーンで vSwitch を選択することを推奨します。エンドポイントのアベイラビリティゾーン内の ENI に vSwitch から IP アドレスを指定できます。指定しない場合、システムが自動的に割り当てます。
    ENI に vSwitch のシステム予約 IP アドレスを指定することはできません。
  - IP バージョン：Alibaba Cloud サービスがデュアルスタックをサポートしている場合、デュアルスタックを選択でき、クライアントは IPv4 と IPv6 の両方のアドレスを使用してサービスにアクセスできます。それ以外の場合は、IPv4 のみ選択できます。
- セキュリティグループ：インターフェイスエンドポイントに関連付けられ、すべてのエンドポイントアベイラビリティゾーンにわたる ENI へのインバウンドトラフィックを制御します。
- 詳細設定：
  - カスタムドメイン名の有効化：Alibaba Cloud サービスがカスタムサービスドメイン名によるアクセスをサポートしている場合、サービス利用者はこのオプションを有効にして、カスタムドメイン名を使用して Alibaba Cloud サービスにアクセスできます。
  - ゾーンアフィニティの利用可否：Alibaba Cloud サービスが同一 AZ 優先をサポートしている場合、サービス利用者は同一 AZ 優先を有効化/無効化できます。
    - 有効化すると、サービス利用者はインターフェイスエンドポイントが配置されているアベイラビリティゾーンからエンドポイントドメイン名を使用してサービスにアクセスします。Cloud Resolution DNS システムは、対応するエンドポイントアベイラビリティゾーンの ENI の IP を優先的に返し、ローカリティベースのアクセスを可能にします。
    - インターフェイスエンドポイントが配置されているアベイラビリティゾーン以外からアクセスする場合、または同一 AZ 優先が無効になっている場合、Cloud Resolution DNS システムはすべてのエンドポイントアベイラビリティゾーンにわたる利用可能なすべての ENI の IP を返します。
  - エンドポイントポリシー：フルアクセスを許可するデフォルトエンドポイントポリシーを維持します。カスタムエンドポイントポリシーを設定できるかどうかは、アクセス先の Alibaba Cloud サービスによって決まります。

作成後、同じ VPC 内の ECS インスタンスを使用して、次のコマンドを実行して接続性をテストできます。

ping <エンドポイントアベイラビリティゾーン内の ENI の IP>
# ENI の IP アドレスは、インスタンス詳細ページの [アベイラビリティゾーンと ENI] タブで確認できます
# HTTP/HTTPS サービスの場合、サービスポートに直接アクセスすることを推奨します
curl -sI http://<エンドポイントドメイン名>
# エンドポイントドメイン名は、インスタンスリストページで確認できます
# HTTP または HTTPS を通じてサービスにアクセスするには、セキュリティグループのインバウンドルールで、エンドポイントが配置されている VPC に対して HTTP (80) および HTTPS (443) ポートを開放する必要があります
# HTTPS を使用してアクセスできるかどうかは、対応するサービスによって決まります

API

CreateVpcEndpoint を呼び出してインターフェイスエンドポイントを作成します。

インターフェイスエンドポイントの高可用性設定

インターフェイスエンドポイントが複数のアベイラビリティゾーンで設定され、ユーザーがエンドポイントドメイン名を使用して Alibaba Cloud サービスにアクセスする場合、Alibaba Cloud はフルマネージドの可用性プローブ機能を提供し、AZ 障害発生時に他のアベイラビリティゾーンへの迅速なフェイルオーバーを保証します：

フェイルオーバー：システムは、異なるエンドポイントアベイラビリティゾーンにわたる ENI の IP の可用性をリアルタイムでプローブします。例外が検出された場合、対応する DNS レコードが削除され、障害が発生したアベイラビリティゾーンへのトラフィックの流れを防ぎます。
復旧：障害が解決した後、システムは対応する DNS レコードを自動的に再度追加します。

コンソール

複数のアベイラビリティゾーンの設定

インターフェイスエンドポイントを作成する際、少なくとも 2 つのアベイラビリティゾーンで vSwitch を選択します。
作成後、ターゲットのインターフェイスエンドポイント ID をクリックします。ゾーンと ENI タブで、ゾーンの追加 をクリックします。
ターゲットのアベイラビリティゾーンの操作列にある削除をクリックして、サービスから対応するアベイラビリティゾーンを削除します。

設定後、ゾーンと ENI タブで、対応するゾーンドメインと、エンドポイントアベイラビリティゾーン内の ENI のIP アドレス を表示できます。

高いサービス可用性を確保するために、エンドポイントドメイン名を使用してサービスにアクセスしてください。エンドポイントドメイン は、インターフェイスエンドポイントのリストページで確認できます。

API

AddZoneToVpcEndpoint を呼び出して、エンドポイントにアベイラビリティゾーンを追加します。
RemoveZoneFromVpcEndpoint を呼び出して、エンドポイントからアベイラビリティゾーンを削除します。

同一 AZ のローカリティベースのアクセス

Alibaba Cloud サービスが同一 AZ 優先をサポートしている場合、サービス利用者は同一 AZ 優先を有効化/無効化できます。有効化した場合：

有効化すると、サービス利用者はインターフェイスエンドポイントが配置されているアベイラビリティゾーンからエンドポイントドメイン名を使用してサービスにアクセスします。Cloud Resolution DNS システムは、対応するエンドポイントアベイラビリティゾーンの ENI の IP を優先的に返し、ローカリティベースのアクセスを可能にします。
インターフェイスエンドポイントが配置されているアベイラビリティゾーン以外からアクセスする場合、または同一 AZ 優先が無効になっている場合、Cloud Resolution DNS システムはすべてのエンドポイントアベイラビリティゾーンにわたる利用可能なすべての ENI の IP を返します。

Alibaba Cloud サービスの同一 AZ 優先のサポートが変更された場合：

Alibaba Cloud サービスが同一 AZ 優先をサポートから非サポートに変更した場合：
- インターフェイスエンドポイントを作成する際、サービス利用者は同一 AZ 優先を有効にできません。
- 既存のインターフェイスエンドポイントの場合：
  - 同一 AZ 優先が無効：現在の状態は影響を受けませんが、有効にすることはできません。
  - 同一 AZ 優先が有効：現在の状態は影響を受けず、無効にすることができます。
Alibaba Cloud サービスが非サポートから同一 AZ 優先をサポートに変更した場合：
- インターフェイスエンドポイントを作成する際、サービス利用者は同一 AZ 優先を有効化/無効化できます。
- 既存のインターフェイスエンドポイントの場合：現在の状態は影響を受けず、同一 AZ 優先を有効化/無効化できます。

コンソール

同一 AZ 優先度の有効化/無効化

インターフェイスエンドポイントを作成する際、ゾーンアフィニティの利用可否 を設定します。
作成後、ターゲットのインターフェイスエンドポイント ID をクリックします。[基本情報] タブで、ゾーンアフィニティの利用可否 の右側にある有効化/無効化 を調整します。

API

作成時：CreateVpcEndpoint を呼び出し、ZoneAffinityEnabled を設定します。
作成後：UpdateVpcEndpointAttribute を呼び出して ZoneAffinityEnabled を調整します。

セキュアな PrivateLink

PrivateLink は、セキュリティグループ、ネットワーク ACL、エンドポイントポリシーの 3 段階のアクセスの制御を提供します。これらは個別に使用することも、組み合わせて使用することもでき、きめ細かなセキュリティ管理を実現します。

セキュリティグループ：すべてのエンドポイントアベイラビリティゾーンにわたる ENI に適用され、VPC 内のリソースからインターフェイスエンドポイントへのトラフィックを制御します。
- インターフェイスエンドポイントの作成時に、カスタムセキュリティグループを選択する必要があります。作成後、セキュリティグループを追加/削除できますが、少なくとも 1 つのセキュリティグループは保持する必要があります。
- インターフェイスエンドポイントを作成すると、PrivateLink はデフォルトでマネージドセキュリティグループを作成します。アウトバウンドルールはデフォルトですべてのトラフィックを許可します。これには、任意の IPv4/IPv6 アドレスへのすべてのトラフィックを許可する優先度 1 のルールが含まれます。
  - マネージドセキュリティグループは、ECS コンソール - セキュリティグループページで表示できます。
  - マネージドセキュリティグループは変更または削除できませんが、セキュリティグループのクォータ q_security-groups (アカウントが所有できるセキュリティグループの最大数) を消費します。
- カスタムセキュリティグループに優先度 1 のアウトバウンド拒否ルールを追加すると、同じ優先度の拒否ルールが許可ルールよりも優先されるため、サービスにアクセスできなくなる可能性があります。アウトバウンド拒否ルールは慎重に設定してください。
ネットワーク ACL：エンドポイントアベイラビリティゾーンの ENI が配置されている vSwitch との間のトラフィックを制御します。
エンドポイントポリシー：インターフェイスエンドポイントを使用して Alibaba Cloud サービスにアクセスする場合、エンドポイントポリシーを設定できます。
- インターフェイスエンドポイント経由でのアクセスをサポートする Alibaba Cloud サービスはすべて、デフォルトのエンドポイントポリシーの設定をサポートしており、インターフェイスエンドポイントへのフルアクセスを許可します。
- 現在、カスタムエンドポイントポリシーを設定して特定のユーザーの特定のリソースへのアクセスを制限できるのは、Object Storage Service (OSS) と PAI - AI WorkSpace のみです。

コンソール

セキュリティグループの設定

インターフェイスエンドポイントの設定時に、関連付けるセキュリティグループを指定します。作成後、セキュリティグループを追加/削除できます。

セキュリティグループの追加：ターゲットのエンドポイント詳細ページのセキュリティグループ タブで、セキュリティグループに参加 をクリックします。
セキュリティグループの削除：参加しているセキュリティグループの操作列にある削除をクリックします。

参加しているセキュリティグループのルールに準拠したクライアントトラフィックのみが、インターフェイスエンドポイントを通じて Alibaba Cloud サービスにアクセスできます。以下のセキュリティグループルールの設定を参照できます：

インバウンド: 指定された IP アドレスからのアクセスを許可するルールのみを追加します。指定された IP 以外のクライアントは、エンドポイント経由で Alibaba Cloud サービスにアクセスできません。
アウトバウンド：デフォルトですべてのアクセスが許可されており、セキュリティグループ内の ECS インスタンスは外部リソースにアクセスできます。

ネットワーク ACL の設定

VPC コンソール - ネットワーク ACL ページに移動します。ページ上部でターゲットリージョンを選択した後、ネットワーク ACL の作成 をクリックします。
VPC を設定し、インターフェイスエンドポイントが属する VPC を選択します。
インスタンス ID または操作列の管理をクリックして、バインド済みリソース タブに移動します。vSwitch と関連付ける をクリックし、インターフェイスエンドポイントが属するターゲットの vSwitch を選択して、OK をクリックします。関連付けられた vSwitch は、ネットワーク ACL ルールに従ってインバウンドおよびアウトバウンドのトラフィックを制御します。
制御を解除するには、バインド後、同じタブでターゲットの vSwitch の操作列にあるバインド解除 をクリックします。
ターゲットのネットワーク ACL のインバウンドルール/アウトバウンドルール タブで、インバウンドルールの管理/アウトバウンドルールの管理 をクリックします。プロトコルタイプ、IP バージョン、送信元 IP アドレス/送信先 IP アドレス、およびソースポートの範囲 に基づいてネットワーク ACL ルールに一致した後、システムは指定されたアクション をトラフィックに適用し、対応するトラフィックを許可/拒否します。

エンドポイントポリシーの設定

Alibaba Cloud サービスにアクセスする際にエンドポイントポリシーを設定できます。作成後、ターゲットのインターフェイスエンドポイント詳細ページの [エンドポイントポリシー] タブで、編集をクリックして変更します。

API

AttachSecurityGroupToVpcEndpoint を呼び出して、エンドポイントをセキュリティグループに追加します。
DetachSecurityGroupFromVpcEndpoint を呼び出して、エンドポイントをセキュリティグループから削除します。
CreateVpcEndpoint または UpdateVpcEndpointAttribute を呼び出す際に、PolicyDocument を渡してエンドポイントポリシーを設定します。

カスタムサービスドメイン名を使用したアクセス

VPC 内で Alibaba Cloud サービスにアクセスする場合、通常は特定のサービスドメイン名を使用します。サービスにカスタムサービスドメイン名が設定されている場合は、作成したインターフェイスエンドポイントでカスタムサービスドメイン名を有効にできます。有効にすると、アプリケーションのサービスアドレスを変更することなく、プライベートネットワーク経由で PrivateLink を通じてサービスにアクセスし続けることができます。

カスタムサービスドメイン名の範囲は、インターフェイスエンドポイントが配置されている VPC です。インターフェイスエンドポイントが配置されている VPC のみがプライベート IP を解決できます。他の VPC やオンプレミスデータセンターが、インターフェイスエンドポイントが配置されている VPC との接続を確立し、DNS 解決を設定した後、カスタムサービスドメイン名を使用してサービスにアクセスできます。

同じカスタムサービスドメイン名を、同じ VPC 内の複数のインターフェイスエンドポイントで同時に有効にすることはできません。最初に有効にしたインターフェイスエンドポイントが有効になり、他のインターフェイスエンドポイントは有効にできません。

Alibaba Cloud サービスがエンドポイントサービスのカスタムサービスドメイン名を設定および検証した後にのみ、ユーザーはインターフェイスエンドポイントのカスタムサービスドメイン名を有効にできます。

カスタムサービスドメイン名は、PrivateLink がホストする PrivateZone によって解決されます。

インターフェイスエンドポイントのカスタムサービスドメイン名の有効化

インターフェイスエンドポイントを作成する際、カスタムドメイン名の有効化 をはいに設定します。
作成後、インターフェイスエンドポイント詳細ページのエンドポイントサービスドメイン名 エリアで、カスタムドメイン名 スイッチをオンにします。
不要になった場合は、ここでオフにすることができます。

カスタムサービスドメイン名を使用したサービスへのアクセス

同一 VPC アクセス：インターフェイスエンドポイントが配置されている VPC 内では、追加の設定なしで直接カスタムサービスドメイン名を使用してサービスにアクセスできます。
VPC 間アクセス：
1. ネットワーク接続：VPC 相互接続ソリューションを参照し、VPC ピアリングまたは Cloud Enterprise Network (CEN) を選択して VPC を接続します。
2. DNS 解決の設定：
  1. Private DNS コンソールに移動します。Add Zone をクリックし、カスタムサービスドメイン名を設定し、ドメイン名の範囲を Alibaba Cloud VPC イントラネットに設定し、ターゲット VPC を選択します。
  2. ドメイン名 ID をクリックします。Settings タブで、Add Record を選択し、ドメインプレフィックス @ とレコード値をデフォルトサービスドメイン名に設定した CNAME レコードを追加します。
オンプレミスデータセンターへのアクセス
1. ネットワーク接続：VPC とオンプレミス IDC の接続ソリューションを参照し、Express Connect または VPN ゲートウェイを選択してオンプレミスデータセンターに接続します。
2. DNS 解決の設定：
  1. Private DNS コンソールに移動します。インバウンドエンドポイントを追加する をクリックし、Inbound VPC をインターフェイスエンドポイントが配置されている VPC として設定します。高可用性を確保するために、インバウンドトラフィックサービス IP アドレスには少なくとも 2 つのアベイラビリティゾーンを選択します。
  2. オンプレミスデータセンターにフォワーダーゾーンを設定します。
    このドキュメントでは BIND を例として使用します。オンプレミス IDC が別の DNS システムを使用している場合は、そのドキュメントを参照して条件付き転送を設定してください。設定の原則は同じです：特定のドメイン名の DNS 解決リクエストを VPC PrivateZone インバウンドエンドポイントのサービス IP アドレスに転送します。
    1. BIND ファイルを設定します。
      BIND 設定ファイルの場所はオペレーティングシステムによって異なります。一般的なパスは /etc/named.conf と /etc/bind/named.conf です。
```
// 例：pai-dlc サービスへのアクセス。ゾーンは対応するカスタムサービスドメイン名として設定されます
zone "pai-dlc-vpc.cn-beijing.aliyuncs.com" IN {
       type forward;
       forwarders {
           10.0.0.173; // インバウンドトラフィックサービス IP アドレスに置き換えてください
           10.0.1.109;
       };
   };
```
    2. BIND サービスを再起動して設定を適用します。
      BIND サービスを再起動するコマンドはオペレーティングシステムによって異なります。一般的なコマンドは systemctl restart named です。

切断

Alibaba Cloud サービスへのアクセスが不要になった場合、サービス利用者はインターフェイスエンドポイントを削除できます。削除すると、サービスへのエンドポイント接続が終了し、元に戻すことはできません。慎重に進めてください。

コンソール

ターゲットのインターフェイスエンドポイントの操作列で、削除をクリックします。削除後、インターフェイスエンドポイントが属する VPC は、PrivateLink を通じて対応する Alibaba Cloud サービスにアクセスできなくなります。削除中に、このエンドポイントのゾーンも削除する を選択して、エンドポイントアベイラビリティゾーン内の ENI も削除できます。

API

DeleteVpcEndpoint を呼び出してインターフェイスエンドポイントを削除します。

エンドポイント作成時にマネージドプロテクションが有効になっていた場合 (ProtectedEnabled パラメーターが true に設定されている場合、STS 呼び出しに対してのみ有効)、作成時に使用した STS ID のみ削除または変更操作を実行できます。削除するには、作成時に使用したのと同じ STS ID を使用して DeleteVpcEndpoint API を呼び出します。

Cloud Message Queue for Apache RocketMQ の Serverless インスタンスなど、Alibaba Cloud サービスによって自動的に作成される一部のエンドポイントは、サービスプロバイダーによって管理されます。このようなエンドポイントは、コンソールまたは DeleteVpcEndpoint API を呼び出して削除することはできず、操作は EndpointProtected エラーを返します。削除するには、対応するサービスインスタンスをリリースすると、エンドポイントはサービスプロバイダーによってクリーンアップされます。

インターフェイスエンドポイントを使用したクロスリージョンでの Alibaba Cloud サービスへのアクセス

インターフェイスエンドポイントを作成し、クロスリージョンエンドポイントを有効にして、PrivateLink を通じてリージョンをまたいで Alibaba Cloud サービスに接続できます。

現在、クロスリージョン接続をサポートする Alibaba Cloud サービスには、Bailian - Alibaba Cloud 大規模言語モデルプラットフォームが含まれます。他の Alibaba Cloud サービスも継続的に追加されています。他の Alibaba Cloud サービスにクロスリージョンで接続するには、チケットを送信するか、アカウントマネージャーにお問い合わせください。

サービス利用者がクロスリージョンエンドポイントを有効にし、サービスリージョンを選択すると、システムはそのリージョンで利用可能な Alibaba Cloud サービスを自動的に表示します。
利用可能：Alibaba Cloud サービスが選択されたサービスリージョンにデプロイされており、サポートされているリージョンにはエンドポイントが配置されているリージョンが含まれます。
エンドポイント作成時に対応するサービスを選択できない場合は、サービスプロバイダーに連絡して、ご利用のアカウントがサービスホワイトリストに追加されていることを確認してください。
サービス利用者はエンドポイントドメイン名を使用してサービスにアクセスできます。Alibaba Cloud サービスにクロスリージョンで接続する場合、システムはエンドポイントゾーンドメイン名を生成しなくなり、アプリケーションが PrivateLink のフルマネージドの可用性プローブ機能を活用して、AZ 障害発生時に他のアベイラビリティゾーンへの迅速なフェイルオーバーを保証します。
高可用性を実現するために、少なくとも 2 つのアベイラビリティゾーンにインターフェイスエンドポイントを作成することを推奨します。

Alibaba Cloud サービスにカスタムサービスドメイン名が設定されている場合、ユーザーはインターフェイスエンドポイントのカスタムサービスドメイン名を有効にして、カスタムサービスドメイン名を使用して対応する Alibaba Cloud サービスにアクセスできます。

コンソール

エンドポイント - エンドポイントの作成ページに移動します。
インターフェイスエンドポイントを設定します：
- リージョン：Alibaba Cloud サービスのアクセスエントリが配置されているリージョンを選択します。
- タイプ: Alibaba Cloud サービス を選択します。
- サービス設定：クロスリージョンエンドポイントの有効化 チェックボックスをオンにし、サービスリージョン を選択します。
  中国本土と中国本土以外のリージョン間で接続するためにクロスリージョンエンドポイントを有効にする場合、まず企業実名認証を完了する必要があります。
  中国本土と中国本土以外のリージョン間で接続するためにクロスリージョンエンドポイントを有効にする場合、越境データ転送のコンプライアンスに関する誓約を読み、前述のコンプライアンスコミットメントを確認し、同意する を選択します。
- 利用可能なサービス：サービスリージョンでサポートされている Alibaba Cloud サービスのリストから、エンドポイントサービス名でターゲットサービスを選択します。
- クロスリージョン帯域幅設定：
  - 課金方式：CDT 課金。クロスリージョンのトラフィック料金は CDT によって一律に課金されます。完全な課金項目については、「クロスリージョン PrivateLink」をご参照ください。
  - 帯域幅：
    - 中国本土内のリージョン間の相互接続の場合、デフォルトの最大クロスリージョン帯域幅は 1000 Mbps であり、クォータ pvl_quota_cross_region_ep_max_bandwidth_payg_china を介して調整できます。
    - 中国本土以外のリージョン間の相互接続の場合、デフォルトの最大クロスリージョン帯域幅は 100 Mbps であり、クォータ pvl_quota_cross_region_ep_max_bandwidth_payg_oversea を介して調整できます。
    - 中国本土と中国本土以外のリージョン間の相互接続の場合、デフォルトの最大クロスリージョン帯域幅は 100 Mbps であり、クォータ pvl_quota_cross_region_ep_max_bandwidth_payg_cross_border を介して調整できます。
- その他の設定については、「インターフェイスエンドポイントの作成/削除」をご参照ください。

API

CreateVpcEndpoint を呼び出してインターフェイスエンドポイントを作成します。

Alibaba Cloud サービスによるリバースエンドポイントを使用したユーザー認可リソースへのアクセス

ユーザーの権限付与後、Alibaba Cloud サービスはリバースエンドポイントを使用して、プライベートネットワーク経由でユーザーの VPC 内の指定されたリソースに安全にアクセスできます。ユーザーは、セキュリティグループとネットワーク ACL を通じて、Alibaba Cloud サービスがアクセス可能なリソースの範囲をさらに制御できます。

セキュリティグループは、すべてのエンドポイントアベイラビリティゾーンにわたる ENI に適用され、リバースエンドポイントから VPC 内のリソースへのトラフィックを制御します。
リバースエンドポイントを作成すると、PrivateLink はデフォルトでマネージドセキュリティグループを作成します。インバウンドルールはデフォルトですべてのトラフィックを許可します。これには、任意の IPv4/IPv6 アドレスからのすべてのトラフィックを許可する優先度 1 のルールが含まれます。
- マネージドセキュリティグループは、ECS コンソール - セキュリティグループページで表示できます。
- マネージドセキュリティグループは変更または削除できませんが、セキュリティグループのクォータ q_security-groups (アカウントが所有できるセキュリティグループの最大数) を消費します。

サポート範囲：リバースエンドポイント経由でのアクセスをサポートする Alibaba Cloud サービス。

PrivateLink サービスが有効化されていること、およびターゲットリージョンにVPC と vSwitch およびセキュリティグループが作成されていることを確認してください。

リバースエンドポイントはデュアルスタックアクセスをサポートしていません。

コンソール

リバースエンドポイントの作成

エンドポイント - エンドポイントの作成ページに移動します。
リバースエンドポイントを設定します：
- 基本設定：
  - リージョン：Alibaba Cloud サービスがアクセスするリソースが配置されているリージョンを選択します。
  - タイプ：リバースエンドポイントを選択します。
  - 名前と説明：クラウドリソースを統一的に識別します。
- タイプ： Alibaba Cloud サービス を選択します。
- 利用可能なサービス：エンドポイントサービス名に基づいて、アクセスする Alibaba Cloud サービスを選択します。
- ネットワーク設定：高いサービス可用性を確保するために、少なくとも 2 つのアベイラビリティゾーンで vSwitch を選択することを推奨します。エンドポイントのアベイラビリティゾーン内の ENI に vSwitch から IP アドレスを指定できます。指定しない場合、システムが自動的に割り当てます。
- セキュリティグループ：すべてのエンドポイントアベイラビリティゾーンにわたる ENI に適用されます。リバースエンドポイントは、Alibaba Cloud サービスがユーザーリソースに能動的にアクセスすることのみを許可します。

リバースエンドポイントの削除

ターゲットのリバースエンドポイントの操作列で、削除をクリックします。削除後、対応する Alibaba Cloud サービスは、リバースエンドポイントを通じてユーザーの VPC 内の指定されたリソースにアクセスできなくなります。

API

CreateVpcEndpoint を呼び出してリバースエンドポイントを作成します。
DeleteVpcEndpoint を呼び出してリバースエンドポイントを削除します。

詳細情報

ゲートウェイエンドポイントとの違い

ゲートウェイエンドポイントは PrivateLink に依存せず、限られた数の Alibaba Cloud サービスへのアクセスのみをサポートします。

機能	ゲートウェイエンドポイント	PrivateLink
ユースケース	エンドポイントポリシーを OSS バケットポリシーと組み合わせて使用し、不正アクセスのリスクを低減し、双方向認証を実装します：送信元制御：VPC は指定されたバケットにのみアクセスできます。宛先制御：OSS バケットは指定された VPC からのみアクセス可能です。	VPC から Alibaba Cloud サービスへのプライベートアクセスのための標準ソリューション。ゲートウェイエンドポイントよりも多くのサービスタイプと高度な機能をサポートします。
サポートされるサービスタイプ	現在、OSS のみをサポートしています。	ISV が提供するサービスを含む、多くの Alibaba Cloud サービスおよびユーザー作成サービスをサポートします。
VPC セキュリティ機能	エンドポイントポリシーのみをサポートします。	セキュリティグループ、ネットワーク ACL、およびエンドポイントポリシーをサポートします。
ネットワーク機能	複雑なネットワークをサポートしません。Alibaba Cloud サービスの CIDR ブロック (100.x.x.x/8) と競合する可能性があります。	複雑なネットワークをサポートします。VPC ピアリング、CEN、Express Connect、および VPN ゲートウェイと互換性があり、クロスリージョンおよびハイブリッドクラウド接続に対応します。
運用保守機能	なし	監査とトラブルシューティングのためのフローログをサポートします。
料金	無料です。	インスタンス料金とデータ転送料金が含まれます。ユーザー作成サービスの場合、サービス利用者またはサービスプロバイダーのどちらが支払うかを選択します。