PrivateLink を使用すると、お使いの Alibaba Cloud VPC やオンプレミスデータセンターから、他の VPC にデプロイされたサービスへプライベートネットワーク経由で安全かつ確実にアクセスできます。これにより、ネットワークアーキテクチャが簡素化され、サービスをインターネットに公開することに伴うセキュリティリスクが排除されます。
はじめに
PrivateLink は、異なるアカウントや VPC にまたがるサービスに対して、安全で柔軟、かつ高可用性なプライベートネットワーク接続を提供します。ユースケースに基づき、PrivateLink のユーザーはサービスコンシューマーとサービスプロバイダーに分類されます。
サービスコンシューマーは、IPv4 ゲートウェイ、IPv6 ゲートウェイ、NAT ゲートウェイ、Elastic IP アドレス、トランジットルーター、Express Connect ゲートウェイなどのコンポーネントを設定することなく、お使いの Alibaba Cloud VPC またはオンプレミスデータセンターを、別の VPC にデプロイされたサービスに接続できます。
サービスプロバイダーは、サービスの開発に集中できます。PrivateLink は、サービスコンシューマーのネットワーク接続を簡素化し、複雑なルートやセキュリティルールを設定する必要をなくします。
PrivateLink は、以下の接続シナリオをサポートしています。
同一リージョン接続：エンドポイントとエンドポイントサービスが同じリージョンにデプロイされます。
クロスリージョン接続：エンドポイントとエンドポイントサービスが異なるリージョンにデプロイされます。
PrivateLink を使用すると、Alibaba Cloud 中国サイトと国際サイトのアカウント間でプライベート接続を確立できます。たとえば、中国サイトのアカウントがエンドポイントを使用して、国際サイトのアカウントのエンドポイントサービスに接続できます。ただし、中国本土のリージョンと中国本土以外のリージョン間のサイトをまたいだ接続はサポートされていません。
ユースケース
シナリオ 1：Alibaba Cloud サービスへのアクセス
PrivateLink を使用して、Alibaba Cloud サービスにプライベートにアクセスできます。このシナリオでは、Alibaba Cloud がサービスプロバイダーとして機能します。
PrivateLink と統合されている Alibaba Cloud サービスの一覧については、「PrivateLink と統合された Alibaba Cloud サービス」をご参照ください。
ビジネスで VPC とオンプレミスデータセンターから Alibaba Cloud サービスにアクセスする必要がある場合は、VPC でエンドポイントを作成する際に Alibaba Cloud サービス名を指定します。このエンドポイントに送信されるすべてのリクエストは、PrivateLink を介して対応する Alibaba Cloud サービスに転送されます。さらに、オンプレミスデータセンター内のクライアントは、ネットワーク製品を使用して VPC とのネットワーク接続を確立し、VPC 内のエンドポイントを通じて Alibaba Cloud サービスにアクセスできます。
インターフェイスエンドポイントを使用して Alibaba Cloud サービスにアクセスする場合、エンドポイントポリシーとセキュリティグループを設定して、どのクライアントリソースがインターフェイスエンドポイント経由でサービスにアクセスできるかを制御できます。これにより、特定のセキュリティ要件を満たすことができます。
リバースエンドポイントを使用して Alibaba Cloud サービスにアクセスする場合、セキュリティグループを設定して、Alibaba Cloud サービスがアクセスできるクライアントリソースを制御できます。
GWLB エンドポイント (GWLBe) を使用して Alibaba Cloud サービスにアクセスする場合、カスタム VPC ルートポリシーを定義することで、GWLBe 経由でサービスにアクセスできるクライアントリソースを制御できます。
ゲートウェイエンドポイントは PrivateLink に依存せず、限られた数の Alibaba Cloud サービスへのアクセスをサポートします。ゲートウェイエンドポイントを作成する際に、エンドポイントポリシーを設定して、これらの Alibaba Cloud サービスへのアクセスを保護できます。
シナリオ 2: ユーザー作成サービスを共有する
サービスプロバイダーとして、Alibaba Cloud 上にサービスを構築し、それをサービスコンシューマーと共有できます。
VPC にエンドポイントサービスを作成し、それを Network Load Balancer (NLB)、Classic Load Balancer (CLB)、Application Load Balancer (ALB) などのサービスリソースに関連付けることができます。サービスホワイトリストを設定することで、他の Alibaba Cloud ユーザーにサービスへのアクセス許可を付与できます。これらのユーザーは、そのサービスのサービス名を指定して VPC にインターフェイスエンドポイントを作成し、エンドポイントサービスに接続できます。インターフェイスエンドポイントに送信されるすべてのリクエストは、PrivateLink を介してサービスに転送されます。
シナリオ 3：仮想ネットワークデバイスへのアクセス
サービスプロバイダーは、Gateway Load Balancer (GWLB) を使用して、ファイアウォール、侵入検知システム、トラフィックミラーリングアプライアンス、ディープパケットインスペクションシステムなどの仮想ネットワークデバイスをデプロイできます。その後、これらのデバイスを他の Alibaba Cloud ユーザーと共有できます。
VPC にエンドポイントサービスを作成し、サービスリソースとして GWLB を選択できます。サービスホワイトリストを設定することで、他の Alibaba Cloud ユーザーに仮想ネットワークデバイスへのアクセス許可を付与できます。これらのユーザーは、そのサービスのサービス名を指定して VPC に GWLB エンドポイント (GWLBe) を作成し、エンドポイントサービスに接続できます。この GWLBe に送信されるすべてのトラフィックは、PrivateLink を介して仮想ネットワークデバイスに転送されます。
サービスコンシューマーは、GWLBe を VPC ルートテーブルのネクストホップとして設定できます。VPC ルートポリシーを使用することで、GWLBe にルーティングするクライアントトラフィックを正確に制御できます。トラフィックが GWLBe に到達すると、PrivateLink はそれを同じゾーン内の GWLB に転送します。その後、GWLB は元のパケットを Geneve トンネルにカプセル化し、そのトラフィックスケジューリングアルゴリズムに基づいて、トラフィックを正常なバックエンドの仮想ネットワークデバイスに転送します。
メリット
安全なネットワーク伝送
PrivateLink を使用してサービスにアクセスする場合、トラフィックはプライベートネットワーク経由で伝送されるため、インターネット経由でアクセスするよりも安全です。PrivateLink は、きめ細かなアクセス制御のための豊富なセキュリティ機能を提供します。
簡素化されたネットワーク管理
サービスプロバイダーとサービスコンシューマーのネットワークは分離されているため、IP アドレスの重複が可能になり、複雑なルートやセキュリティルールの設定が不要になります。
PrivateLink を使用すると、サービスコンシューマーは VPC 内のプライベート IP アドレスを使用してサービスにアクセスできます。これにより、既存のネットワークアーキテクチャとシームレスに統合され、VPC 間やオンプレミスデータセンターからのサービスアクセスが可能になります。
高可用性とオートスケーリング
アクセスリクエストは同じゾーン内のクライアントとサーバー間で転送されるため、最小限のレイテンシーが保証されます。Alibaba Cloud DNS と併用することで、インターフェイスエンドポイントはマルチゾーンのディザスタリカバリを提供します。
PrivateLink は、変動するトラフィックに対応するためのオートスケーリングをサポートしています。多様な弾力性要件を満たすために、サービスリソースの種類に基づいて異なるスケーリング制限を提供します。
リージョン間の接続性
PrivateLink はクロスリージョン接続をサポートしており、エンドポイントとエンドポイントサービスを異なるリージョンにデプロイできます。これにより、マルチリージョンアーキテクチャでのプライベートアクセスをサポートし、すべてのリージョンで同じサービスをデプロイする必要がなくなります。
PrivateLink へのアクセス
以下の方法で PrivateLink にアクセスし、管理できます。
PrivateLink コンソール：インタラクティブなユーザーインターフェイスを備えた Web ベースのコンソールで、サービスへのプライベートアクセスを管理するのに役立ちます。
Alibaba Cloud SDK ：Java、Go、PHP、Python、C#、C++ など、複数のプログラミング言語に対応した SDK。
OpenAPI Explorer ：API の迅速な検索、呼び出し、デバッグ、および SDK サンプルコードの動的な生成を可能にします。
Terraform ：設定ファイルを使用して Alibaba Cloud およびその他のサポートされているプラットフォーム上のリソースをプロビジョニングおよび管理できるオープンソースツール。