2020 年 10 月以降に作成された Alibaba Cloud Elasticsearch インスタンスは、クラウドネイティブ v3 アーキテクチャを採用しており、X-Pack Watcher、インデックスの再作成、LDAP、AD 認証などの機能が制限されています。これらの機能を有効にするには、PrivateLink と SLB を使用して、ご利用の Elasticsearch インスタンスと他のクラウドリソース（ECS、ENI、または ECI）間、または複数の Elasticsearch インスタンス間でプライベート接続を確立する必要があります。v3 アーキテクチャにおいて、これらの機能を有効化できるのはこの方法のみです。
2020 年 10 月より前に作成されたインスタンス（Finance Cloud や Alibaba Gov Cloud 上のインスタンスを含む）は v2 アーキテクチャを採用しており、PrivateLink は不要です。
PrivateLink ユースケース
Watcher、LDAP、および AD 機能で外部ネットワークリソースにアクセスします。
Elasticsearch インスタンスとビジネスサーバーまたはネットワークプロキシとして機能する ECS インスタンスとの間にプライベート接続を設定します。
適用可能な機能とシナリオ：
機能
説明
関連ドキュメント
Watcher
クエリ条件に基づいてシステムメトリックを監視し、外部サービスにアラートを送信します。
セキュリティ機能
LDAP やユーザー認証などのクラスターレベルのセキュリティ機能を提供します。
クラスター間インデックスの再作成
セルフマネージド Elasticsearch クラスターから Alibaba Cloud Elasticsearch インスタンスにデータを書き込みます。
クラスター間インデックスの再作成を使用して、2 つの Elasticsearch インスタンス間でデータを移行します。この例では、VPC_1 内の ES_1 が PrivateLink を介して VPC_2 内の ES_2 に接続され、VPC_1 のエンドポイントが VPC_2 のエンドポイントサービスにリンクされます。
CLB と PrivateLink を使用した ECS インスタンスへの接続
前提条件
VPC_1 内に Alibaba Cloud Elasticsearch v3 インスタンス（2020 年 10 月以降に作成）が存在していること。Alibaba Cloud Elasticsearch インスタンスの作成。
VPC_2 内に必要なアプリケーションを搭載した ECS インスタンスがデプロイされていること。ウィザードを使用してインスタンスを作成する。
ECS インスタンスはロードバランサーのバックエンドサーバーとして機能します。PrivateLink に対応したリージョンおよびゾーンを選択してください。PrivateLink に対応するリージョンとゾーン。
Elasticsearch インスタンス、ECS インスタンス、およびロードバランサーは、同一リージョンの同一ゾーン内に配置されている必要があります。
ステップ 1：ロードバランサーの作成と設定
クラシックロードバランサー (CLB) コンソールにログインします。
PrivateLink に対応するロードバランサーインスタンスを作成します。
クラスターの管理ページで、CLB の作成 をクリックします。
Classic Load Balancer (Pay-As-You-Go)ページで、Elasticsearch インスタンスと同じリージョンを選択し、インスタンスタイプを内部ネットワークに接続に設定し、今すぐ購入 をクリックします。
ロードバランサーインスタンスを設定します。
クラスターの管理ページで、ターゲットインスタンスを見つけ、Actions列のリスナーの設定 をクリックします。
Server Load Balancer を設定ページで、リスナー、バックエンドサーバー、ヘルスチェックを設定し、構成内容を確認します。
ステップ 2：エンドポイントサービスの作成
PrivateLink は Elasticsearch インスタンスのネットワーク内に自動的にエンドポイントを作成します。VPC 内（ECS インスタンスがデプロイされている VPC）にエンドポイントサービスを作成するだけで済みます。
エンドポイントサービスコンソールにログインします。
上部のナビゲーションバーで、エンドポイントサービスを作成するリージョンを選択します。
エンドポイントサービスはロードバランサーと同じリージョン内に配置する必要があります。
エンドポイントサービスの作成 をクリックします。
エンドポイントサービスの作成ページで、作成済みのロードバランサーインスタンスをサービスリソースとして選択し、その他のパラメーターを設定して、[確認して作成] をクリックします。
ステップ 3：PrivateLink の設定
Alibaba Cloud Elasticsearch コンソールにログインします。
左側のナビゲーションウィンドウで、設定と管理 > セキュリティ設定 を選択します。
クラスターネットワーク設定セクションで、プライベート接続の設定 をクリックします。
プライベート接続の追加 をクリックし、前のステップで作成したエンドポイントサービスを選択します。
接続ステータスが接続済みに変化するまで待ちます。これにより、VPC_1 内の Elasticsearch クラスターが VPC_2 にプライベート接続されたことを示します。
PrivateLink ドメイン名を取得します。
PrivateLink コンソールに戻ります。エンドポイントサービスのエンドポイントの接続ステータスタブで、自動的に作成されたエンドポイント接続を見つけます。リモートクラスターを設定する際に、このドメイン名を使用します。
NLB と PrivateLink を使用した Elasticsearch インスタンス間の接続
NLB と PrivateLink を使用して、Elasticsearch クラスター間のプライベート通信を有効化できます。以下の例では、クラスター間レプリケーション（CCR）を使用した同一リージョンディザスタリカバリシナリオで、ニアリアルタイムのデータ同期を実現します。次の手順を実行してください。
Cloud Enterprise Network (CEN) を使用して、リーダークラスターとフォロワ―クラスターの VPC を接続します。
リーダークラスター内のノードのプライベート IP アドレスを取得します。
フォロワ―クラスターの VPC 内に Network Load Balancer (NLB) インスタンスを作成し、トラフィックをリーダークラスターノードに転送するリスナーを設定します。
PrivateLink エンドポイントサービスを作成し、NLB インスタンスに関連付けます。
フォロワ―クラスターの Elasticsearch コンソールで、プライベート接続を追加し、作成したエンドポイントサービスを選択します。
接続ステータスが接続済みに変化したら、PrivateLink ドメイン名を取得し、2 つのクラスター間で CCR を設定するために使用します。
詳細な手順については、「同一リージョン内の Elasticsearch インスタンス間でデータをレプリケートする」をご参照ください。
用語集
PrivateLink には、エンドポイントサービスとエンドポイントという 2 つのコンポーネントがあります。
用語 | 説明 |
エンドポイントサービス | 他の VPC がエンドポイント経由で接続できるようにします。サービスリソースは手動で作成する必要があります。 |
エンドポイント | エンドポイントサービスに接続して、VPC 内でプライベート接続を確立します。Elasticsearch インスタンス向けに PrivateLink を設定すると、エンドポイントが自動的に作成されます。 |
よくある質問
Q：「HTTPS を有効化」ボタンがグレーアウトしてクリックできません。どうすればよいですか？
一部のリージョン（例：中国 (深セン)）では、インスタンスに対してすでにパブリックネットワークアクセスが有効になっている場合、HTTPS を直接有効化できないという新規則が導入されています。パブリックネットワークアクセスと HTTPS の間のこの競合により、HTTPS を有効化ボタンがグレーアウト（クリック不可）になります。
この問題を解決するには、Alibaba Cloud Elasticsearch コンソールのインスタンス詳細ページで、次の手順を実行してください。
インスタンスのパブリックネットワークアクセスを無効にします。
HTTPS を有効にします。
HTTPS が有効になった後、再度パブリックネットワークアクセスを有効にします。
Q：Kibana プライベートアクセスを有効化すると InternalServerError が発生します。どうすればよいですか？
このエラーは通常、対象リージョン（例：マレーシア (クアラルンプール) リージョン）で PrivateLink が有効になっていないために発生します。
この問題を解決するには、PrivateLink コンソールにアクセスし、対象リージョンで PrivateLink を有効にしてから、再度 Kibana プライベートアクセスの有効化を試みてください。