PrivateLink を使用すると、Alibaba Cloud VPC またはオンプレミスデータセンターから、他の VPC にデプロイされたサービスにプライベートネットワーク経由で安全かつ確実にアクセスできます。 これにより、ネットワークアーキテクチャが簡素化され、パブリックインターネット経由でサービスにアクセスする際のセキュリティリスクが排除されます。
概要
PrivateLink は、クロスアカウントおよびクロス VPC サービス向けに、安全で柔軟、かつ高可用性なプライベートネットワーク接続を提供します。 PrivateLink のユーザーは、ユースケースに基づいて次の 2 つのロールに分類されます。
サービスコンシューマーは、Alibaba Cloud VPC またはオンプレミスデータセンターから他の VPC にデプロイされたサービスと通信するために、IPv4 ゲートウェイ、IPv6 ゲートウェイ、NAT ゲートウェイ、Elastic IP アドレス (EIP)、Transit Router (TR)、または Express Connect Router (ECR) を設定する必要はありません。
サービスプロバイダーは、サービス開発に集中できます。 PrivateLink は、サービスプロバイダーとサービスコンシューマー間のネットワーク接続を簡素化し、複雑なルーティングやセキュリティルールの設定を不要にします。
PrivateLink は、以下の接続シナリオをサポートしています。
同一リージョン接続：エンドポイントとエンドポイントサービスが同じリージョンにデプロイされます。
クロスリージョン接続：エンドポイントとエンドポイントサービスが異なるリージョンにデプロイされます。
ユースケース
シナリオ 1：Alibaba Cloud サービスへのアクセス
このシナリオでは、Alibaba Cloud は PrivateLink 経由のプライベートアクセスをサポートするクラウドサービスを提供します。
PrivateLink 経由でアクセス可能な Alibaba Cloud サービスをサポートしています。 詳細については、「PrivateLink と統合する Alibaba Cloud サービス」をご参照ください。
VPC またはオンプレミスデータセンターから Alibaba Cloud サービスにアクセスするには、VPC でエンドポイントを作成する際に Alibaba Cloud サービス名を指定します。 エンドポイントに送信されるすべてのリクエストは、PrivateLink 経由で対応する Alibaba Cloud サービスに転送されます。 さらに、オンプレミスデータセンター内のクライアントは、ネットワーク製品経由で VPC に接続し、VPC 内のエンドポイント経由で Alibaba Cloud サービスにアクセスできます。
インターフェイスエンドポイント経由で Alibaba Cloud サービスにアクセスする場合、エンドポイントポリシーとセキュリティグループを設定して、どのクライアントリソースがインターフェイスエンドポイント経由で Alibaba Cloud サービスにアクセスできるかを制御し、セキュリティアクセス要件を満たすことができます。
リバースエンドポイント経由で Alibaba Cloud サービスにアクセスする場合、セキュリティグループを設定して、Alibaba Cloud サービスがアクセスできるクライアントリソースの範囲を制御できます。
ゲートウェイロードバランサーエンドポイント (GWLBe) を介して Alibaba Cloud サービスにアクセスする場合、VPC ルーティングポリシーをカスタマイズして、どのクライアントリソースが GWLBe を介して Alibaba Cloud サービスにアクセスできるかを制御できます。
ゲートウェイエンドポイント は PrivateLink に依存せず、限られた数の Alibaba Cloud サービスのみをサポートします。 ゲートウェイエンドポイントを作成する際に、エンドポイントポリシーを設定して、Alibaba Cloud サービスへの安全なアクセスを確保できます。
シナリオ 2: セルフマネージドサービスの共有
サービスプロバイダーは、Alibaba Cloud 上にサービスを構築し、管理対象のサービスをサービスコンシューマーと共有できます。
VPC でエンドポイントサービスを作成し、サービスリソースとして Network Load Balancer (NLB)、クラシックロードバランサー (CLB)、または Application Load Balancer (ALB) を選択できます。 サービス許可リストを設定することで、他の Alibaba Cloud ユーザーにサービスへのアクセスを許可できます。 他の Alibaba Cloud ユーザーは、サービス名を指定して自身の VPC にインターフェイスエンドポイントを作成し、エンドポイントサービスに接続できます。 インターフェイスエンドポイントに送信されたすべてのリクエストは、PrivateLink 経由でサービスに転送されます。
シナリオ 3：ネットワーク仮想アプライアンスへのアクセス
サービスプロバイダーは、ファイアウォール、侵入検知システム、トラフィックミラーリングツール、ディープパケットインスペクションツールなどのネットワーク仮想アプライアンスを Alibaba Cloud Gateway Load Balancer (GWLB) にデプロイし、これらの管理対象のネットワーク仮想アプライアンスを他の Alibaba Cloud ユーザーと共有できます。
VPC でエンドポイントサービスを作成し、サービスリソースとして GWLB を選択できます。 サービス許可リストを設定することで、他の Alibaba Cloud ユーザーにネットワーク仮想アプライアンスへのアクセスを許可できます。 他の Alibaba Cloud ユーザーは、サービス名を指定して自身の VPC に GWLBe を作成し、エンドポイントサービスに接続できます。 GWLBe に送信されたすべてのトラフィックは、PrivateLink 経由でネットワーク仮想アプライアンスに転送されます。
サービスコンシューマーは、VPC ルーティングのネクストホップとして GWLBe を設定できます。 VPC ルーティングポリシーを通じて、どのクライアントトラフィックを GWLBe にルーティングしてネットワーク仮想アプライアンスにアクセスするかを正確に制御できます。 トラフィックが GWLBe に到達すると、PrivateLink はそれを同じゾーン内の GWLB に転送します。 GWLB は Geneve トンネリングを使用して元のパケットをカプセル化し、トラフィックスケジューリングアルゴリズムに基づいて、正常なバックエンドのネットワーク仮想アプライアンスにトラフィックを転送します。
利点
安全なネットワーク伝送
PrivateLink 経由でサービスにアクセスする場合、トラフィックはプライベートネットワーク経由で伝送されます。 このアプローチは、パブリックインターネット経由でサービスにアクセスするよりも安全です。 PrivateLink は、きめ細かなアクセス制御のための包括的なセキュリティ機能を提供します。
ネットワーク管理の簡素化
サービスプロバイダーとサービスコンシューマーのネットワークは互いに独立しており、アドレスの競合を許容します。 PrivateLink は安全なクロスアカウントおよびクロス VPC のサービスアクセスを提供し、複雑なルーティングやセキュリティルールの設定を不要にします。
PrivateLink を使用すると、サービスコンシューマーは VPC 内のプライベート IP アドレスを使用してサービスにアクセスできます。 これにより、既存のネットワークアーキテクチャとシームレスに統合し、クロス VPC およびオンプレミスデータセンターのサービスアクセスニーズに対応します。
高可用性と自動スケーリング
アクセスリクエストは同じゾーン内のクライアントとサーバー間で転送され、最小限のレイテンシーを提供します。Alibaba Cloud DNS と組み合わせることで、インターフェイスエンドポイントはマルチゾーンのフェイルオーバーを提供します。
PrivateLink は、サービストラフィックの変化に応じた自動スケーリングをサポートします。 多様なスケーリング要件を満たすために、サービスリソースの種類に基づいて異なるスケーリング制限を提供します。
クロスリージョン接続のサポート
PrivateLink はクロスリージョン接続をサポートしています。 エンドポイントとエンドポイントサービスを異なるリージョンにデプロイすることで、各リージョンにサービスをデプロイすることなく、グローバルに分散したアーキテクチャのプライベートネットワークサービスアクセスニーズに対応できます。
PrivateLink へのアクセス
Alibaba Cloud アカウントを登録して、以下の方法で PrivateLink にアクセスし、管理します。
PrivateLink コンソール：プライベートネットワークアクセスサービスを管理するためのインタラクティブな Web インターフェイスです。
Alibaba Cloud SDK：Java、Go、PHP、Python、C#、C++ など、複数のプログラミング言語で SDK を提供しています。
OpenAPI Portal：迅速な API 検索、オンラインでの API 呼び出し、動的な SDK サンプルコード生成などの機能を提供します。
Terraform：バージョン管理された設定ファイルを通じて、Alibaba Cloud リソースや Terraform がサポートする他のクラウドプロバイダーのリソースを管理できるオープンソースツールです。