Alibaba Cloud サービスへのアクセス - PrivateLink - Alibaba Cloud ドキュメントセンター

VPC にエンドポイントを作成し、Alibaba Cloud サービスを指定します。エンドポイントに送信されたリクエストは PrivateLink によってターゲットサービスに転送され、安全なプライベートネットワークアクセスを可能にし、パブリックインターネット経由でサービスにアクセスする際の潜在的なセキュリティリスクを回避します。

ユーザーはインターフェイスエンドポイントを使用して、プライベートネットワーク経由で Alibaba Cloud サービスにアクセスできます。
ユーザーの権限付与後、Alibaba Cloud サービスはリバースエンドポイントを使用して、プライベートネットワーク経由でユーザーの VPC 内の指定されたリソースに安全にアクセスできます。

同一リージョン内の Alibaba Cloud サービスへのインターフェイスエンドポイント経由でのアクセス

サービス利用者は VPC にインターフェイスエンドポイントを作成して、プライベートネットワーク経由で指定された Alibaba Cloud サービスにアクセスできます。

システムはエンドポイントのアベイラビリティゾーン用に Elastic Network Interface (ENI) を作成し、対応する vSwitch の CIDR ブロックからプライベート IP アドレスをこれらの ENI に割り当てます。
サービス利用者は、エンドポイントドメイン名またはエンドポイントゾーンドメイン名を使用して Alibaba Cloud サービスにアクセスできます。エンドポイントに送信されるすべてのサービスリクエストは、PrivateLink を介してバックエンドのサービスリソースに転送されます。
エンドポイントドメイン名とエンドポイントゾーンドメイン名は、パブリック DNS の権威あるドメイン名であり、他の VPC やオンプレミスデータセンターのクライアントからも解決できます。
- リージョン間エンドポイントを有効にすることで、リージョンを越えて Alibaba Cloud サービスに直接接続できます。
- 他の VPC やオンプレミスデータセンターも、VPC とのネットワーク接続を確立した後、VPC 内のインターフェイスエンドポイントを介して Alibaba Cloud サービスにアクセスできます。

Alibaba Cloud サービスにカスタムサービスドメイン名が設定されている場合、ユーザーはインターフェイスエンドポイントのカスタムサービスドメイン名を有効にして、カスタムサービスドメイン名を使用して対応する Alibaba Cloud サービスにアクセスできます。

インターフェイスエンドポイントの作成/削除

サポート範囲：インターフェイスエンドポイント経由のアクセスをサポートする Alibaba Cloud サービス。
PrivateLink サービスが有効化されていること、およびターゲットリージョンにVPC と vSwitch およびセキュリティグループが作成されていることを確認してください。

コンソール

エンドポイント - エンドポイントの作成ページに移動します。
インターフェイスエンドポイントを設定します：
- 基本設定：
  - リージョン：Alibaba Cloud サービスへのアクセスエントリが配置されているリージョンを選択します。
  - 名前と説明：クラウドリソースを統一的に識別します。
- タイプ：Alibaba Cloud サービス を選択します。
- 利用可能なサービス：エンドポイントサービス名に基づいて、アクセスする Alibaba Cloud サービスを選択します。
  利用可能：Alibaba Cloud サービスがリージョンにデプロイされており、サービス利用者が対応する Alibaba Cloud サービスに接続する権限を持っていることを意味します。
- ネットワーク設定：
  - 高いサービス可用性を確保するため、少なくとも 2 つのアベイラビリティゾーンで vSwitch を選択することを推奨します。エンドポイントのアベイラビリティゾーンにある ENI に、vSwitch から IP アドレスを指定できます。指定しない場合、システムが自動的に割り当てます。
    ENI に vSwitch のシステム予約 IP アドレスを指定することはできません。
  - IP バージョン：Alibaba Cloud サービスがデュアルスタックをサポートしている場合、デュアルスタックを選択でき、クライアントは IPv4 と IPv6 の両方のアドレスを使用してサービスにアクセスできます。それ以外の場合は、IPv4 のみ選択できます。
- セキュリティグループ：インターフェイスエンドポイントに関連付けられ、すべてのエンドポイントアベイラビリティゾーンにわたる ENI へのインバウンドトラフィックを制御します。
- 詳細設定：
  - カスタムドメイン名の有効化：Alibaba Cloud サービスがカスタムサービスドメイン名によるアクセスをサポートしている場合、サービス利用者はこのオプションを有効にして、カスタムドメイン名を使用して Alibaba Cloud サービスにアクセスできます。
  - ゾーンアフィニティの利用可否：Alibaba Cloud サービスが同一 AZ 優先をサポートしている場合、サービス利用者は同一 AZ 優先を有効/無効にできます。
    - 有効にすると、サービス利用者はインターフェイスエンドポイントが配置されているアベイラビリティゾーンからエンドポイントドメイン名を使用してサービスにアクセスします。Cloud Resolution DNS システムは、対応するエンドポイントアベイラビリティゾーンの ENI の IP を優先的に返し、ローカリティベースのアクセスを可能にします。
    - インターフェイスエンドポイントが配置されているアベイラビリティゾーン以外からアクセスする場合、または同一 AZ 優先が無効になっている場合、Cloud Resolution DNS システムは、すべてのエンドポイントアベイラビリティゾーンにわたる利用可能なすべての ENI の IP を返します。
  - エンドポイントポリシー：デフォルトエンドポイントポリシーを維持します。これにより、フルアクセスが許可されます。カスタムエンドポイントポリシーを設定できるかどうかは、アクセス先の Alibaba Cloud サービスによって決まります。

作成後、同じ VPC 内の ECS インスタンスを使用して、次のコマンドを実行して接続性をテストできます。

ping <エンドポイントのアベイラビリティゾーンにある Elastic Network Interface の IP>
# インスタンス詳細ページの [アベイラビリティゾーンと ENI] タブで Elastic Network Interface の IP アドレスを確認できます
# HTTP/HTTPS サービスの場合、サービスポートに直接アクセスすることを推奨します
curl -sI http://<エンドポイントドメイン名>
# インスタンス一覧ページでエンドポイントドメイン名を確認できます
# エンドポイントが配置されている VPC が HTTP または HTTPS を介してサービスにアクセスするには、セキュリティグループのインバウンドルールで HTTP (80) および HTTPS (443) ポートを開放する必要があります。
# HTTPS を使用してアクセスできるかどうかは、対応するサービスによって決まります。

API

CreateVpcEndpoint を呼び出してインターフェイスエンドポイントを作成します。

インターフェイスエンドポイントの高可用性の設定

インターフェイスエンドポイントが複数のアベイラビリティゾーンで設定され、ユーザーがエンドポイントドメイン名を使用して Alibaba Cloud サービスにアクセスする場合、Alibaba Cloud はフルマネージドの可用性プローブ機能を提供し、AZ 障害発生時に他のアベイラビリティゾーンへの迅速なフェイルオーバーを保証します：

フェイルオーバー：システムは、異なるエンドポイントアベイラビリティゾーンにわたる ENI の IP の可用性をリアルタイムでプローブします。例外が検出された場合、対応する DNS レコードが削除され、障害が発生したアベイラビリティゾーンへのトラフィックの流れを防ぎます。
復旧：障害が解決した後、システムは対応する DNS レコードを自動的に再度追加します。

コンソール

複数のアベイラビリティゾーンの設定

インターフェイスエンドポイントを作成する際、少なくとも 2 つのアベイラビリティゾーンで vSwitch を選択します。
作成後、ターゲットのインターフェイスエンドポイント ID をクリックします。ゾーンと ENI タブで、ゾーンの追加 をクリックします。
ターゲットのアベイラビリティゾーンの操作列にある削除をクリックして、サービスから対応するアベイラビリティゾーンを削除します。

設定後、ゾーンと ENI タブで、対応する ゾーンドメイン と、エンドポイントアベイラビリティゾーンの ENI の IP アドレス を確認できます。

高いサービス可用性を確保するため、エンドポイントドメイン名を使用してサービスにアクセスしてください。エンドポイントドメイン は、インターフェイスエンドポイント一覧ページで確認できます。

API

AddZoneToVpcEndpoint を呼び出して、エンドポイントにアベイラビリティゾーンを追加します。
RemoveZoneFromVpcEndpoint を呼び出して、エンドポイントからアベイラビリティゾーンを削除します。

同一 AZ のローカリティベースのアクセス

Alibaba Cloud サービスが同一 AZ 優先をサポートしている場合、サービス利用者は同一 AZ 優先を有効/無効にできます。有効にすると：

有効にすると、サービス利用者はインターフェイスエンドポイントが配置されているアベイラビリティゾーンからエンドポイントドメイン名を使用してサービスにアクセスします。Cloud Resolution DNS システムは、対応するエンドポイントアベイラビリティゾーンの ENI の IP を優先的に返し、ローカリティベースのアクセスを可能にします。
インターフェイスエンドポイントが配置されているアベイラビリティゾーン以外からアクセスする場合、または同一 AZ 優先が無効になっている場合、Cloud Resolution DNS システムは、すべてのエンドポイントアベイラビリティゾーンにわたる利用可能なすべての ENI の IP を返します。

Alibaba Cloud サービスの同一 AZ 優先のサポートが変更された場合：

Alibaba Cloud サービスが同一 AZ 優先をサポートから非サポートに変更した場合：
- インターフェイスエンドポイントを作成する際、サービス利用者は同一 AZ 優先を有効にできません。
- 既存のインターフェイスエンドポイントの場合：
  - 同一 AZ 優先が無効：現在の状態に影響はありませんが、有効にすることはできません。
  - 同一 AZ 優先が有効：現在の状態に影響はなく、無効にすることができます。
Alibaba Cloud サービスが非サポートから同一 AZ 優先をサポートに変更した場合：
- インターフェイスエンドポイントを作成する際、サービス利用者は同一 AZ 優先を有効/無効にできます。
- 既存のインターフェイスエンドポイントの場合：現在の状態に影響はなく、同一 AZ 優先を有効/無効にできます。

コンソール

同一 AZ 優先の有効化/無効化

インターフェイスエンドポイントを作成する際、ゾーンアフィニティの利用可否 を設定します。
作成後、ターゲットのインターフェイスエンドポイント ID をクリックします。[基本情報] タブで、ゾーンアフィニティの利用可否 の右側にある 有効化/無効化 を調整します。

API

作成時：CreateVpcEndpoint を呼び出し、ZoneAffinityEnabled を設定します。
作成後：UpdateVpcEndpointAttribute を呼び出して ZoneAffinityEnabled を調整します。

セキュアな PrivateLink

PrivateLink は、セキュリティグループ、ネットワーク ACL、エンドポイントポリシーの 3 段階のアクセス制御を提供します。これらは個別に使用することも、組み合わせて使用することもでき、きめ細やかなセキュリティ管理を実現します。

セキュリティグループ：すべてのエンドポイントアベイラビリティゾーンにわたる ENI に適用され、VPC 内のリソースからインターフェイスエンドポイントへのトラフィックを制御します。
- インターフェイスエンドポイントの作成時に、カスタムセキュリティグループを選択する必要があります。作成後、セキュリティグループの追加や削除が可能ですが、少なくとも 1 つのセキュリティグループは保持する必要があります。
- インターフェイスエンドポイントを作成すると、PrivateLink はデフォルトでマネージドセキュリティグループを作成します。アウトバウンドルールはデフォルトですべてのトラフィックを許可します。これには、任意の IPv4/IPv6 アドレスへのすべてのトラフィックを許可する優先度 1 のルールが含まれます。
  - マネージドセキュリティグループは、ECS コンソール - セキュリティグループページで表示できます。
  - マネージドセキュリティグループは変更または削除できませんが、セキュリティグループのクォータ q_security-groups (アカウントが所有できるセキュリティグループの最大数) を消費します。
- カスタムセキュリティグループに優先度 1 のアウトバウンド拒否ルールを追加すると、同じ優先度の拒否ルールが許可ルールよりも優先されるため、サービスにアクセスできなくなる可能性があります。アウトバウンド拒否ルールは慎重に設定してください。
ネットワーク ACL：エンドポイントアベイラビリティゾーンの ENI が配置されている vSwitch との間で送受信されるトラフィックを制御します。
エンドポイントポリシー：インターフェイスエンドポイントを使用して Alibaba Cloud サービスにアクセスする場合、エンドポイントポリシーを設定できます。
- インターフェイスエンドポイント経由のアクセスをサポートする Alibaba Cloud サービスはすべて、デフォルトのエンドポイントポリシーの設定をサポートしており、インターフェイスエンドポイントへのフルアクセスを許可します。
- 現在、カスタムエンドポイントポリシーを設定して特定のユーザーの特定のリソースへのアクセスを制限できるのは、Object Storage Service (OSS) と PAI - AI WorkSpace のみです。

コンソール

セキュリティグループの設定

インターフェイスエンドポイントを設定する際、関連付けるセキュリティグループを指定します。作成後、セキュリティグループを追加/削除できます。

セキュリティグループの追加：ターゲットのエンドポイント詳細ページで、セキュリティグループ タブで セキュリティグループに参加 をクリックします。
セキュリティグループの削除：参加しているセキュリティグループの操作列にある削除をクリックします。

参加しているセキュリティグループのルールに準拠したクライアントトラフィックのみが、インターフェイスエンドポイントを介して Alibaba Cloud サービスにアクセスできます。以下のセキュリティグループルールの設定を参照できます：

インバウンド：指定された IP アドレスからのアクセスを許可するルールのみを追加します。指定された IP 以外からのクライアントは、エンドポイントを介して Alibaba Cloud サービスにアクセスできません。
アウトバウンド：デフォルトですべてのアクセスが許可されています。つまり、セキュリティグループ内の ECS インスタンスは外部リソースにアクセスできます。

ネットワーク ACL の設定

VPC コンソール - ネットワーク ACL ページに移動します。ページ上部でターゲットリージョンを選択した後、ネットワーク ACL の作成 をクリックします。
VPC を設定し、インターフェイスエンドポイントが属する VPC を選択します。
インスタンス ID または操作列の管理をクリックして、バインド済みリソース タブに移動します。vSwitch と関連付ける をクリックし、インターフェイスエンドポイントが属するターゲット vSwitch を選択して、OK をクリックします。関連付けられた vSwitch は、ネットワーク ACL ルールに従ってインバウンドおよびアウトバウンドトラフィックを制御します。
制御を解除するには、バインド後、同じタブでターゲット vSwitch の操作列にある バインド解除 をクリックします。
ターゲットのネットワーク ACL の インバウンドルール/アウトバウンドルール タブで、インバウンドルールの管理/アウトバウンドルールの管理 をクリックします。プロトコルタイプ、IP バージョン、送信元 IP アドレス/送信先 IP アドレス、および ソースポートの範囲 に基づいてネットワーク ACL ルールに一致した後、システムは指定された アクション をトラフィックに適用し、対応するトラフィックを許可/拒否します。

エンドポイントポリシーの設定

Alibaba Cloud サービスにアクセスする際にエンドポイントポリシーを設定できます。作成後、ターゲットのインターフェイスエンドポイント詳細ページの [エンドポイントポリシー] タブで編集をクリックして変更します。

API

AttachSecurityGroupToVpcEndpoint を呼び出して、エンドポイントをセキュリティグループに追加します。
DetachSecurityGroupFromVpcEndpoint を呼び出して、エンドポイントをセキュリティグループから削除します。
CreateVpcEndpoint または UpdateVpcEndpointAttribute を呼び出す際に、PolicyDocument を渡してエンドポイントポリシーを設定します。

カスタムサービスドメイン名を使用したアクセス

VPC 内で Alibaba Cloud サービスにアクセスする場合、通常は特定のサービスドメイン名を使用します。サービスにカスタムサービスドメイン名が設定されている場合、作成したインターフェイスエンドポイントでカスタムサービスドメイン名を有効にできます。有効にすると、アプリケーションのサービスアドレスを変更することなく、プライベートネットワーク経由で PrivateLink を介してサービスにアクセスし続けることができます。

カスタムサービスドメイン名の範囲は、インターフェイスエンドポイントが配置されている VPC です。インターフェイスエンドポイントが配置されている VPC のみがプライベート IP を解決できます。他の VPC やオンプレミスデータセンターが、インターフェイスエンドポイントが配置されている VPC との接続を確立し、DNS 解決を設定した後、カスタムサービスドメイン名を使用してサービスにアクセスできます。

同じカスタムサービスドメイン名を、同じ VPC 内の複数のインターフェイスエンドポイントで同時に有効にすることはできません。最初に有効にしたインターフェイスエンドポイントが有効になり、他のインターフェイスエンドポイントは有効にできません。

Alibaba Cloud サービスがエンドポイントサービス用にカスタムサービスドメイン名を設定および検証した後にのみ、ユーザーはインターフェイスエンドポイントでカスタムサービスドメイン名を有効にできます。

カスタムサービスドメイン名は、PrivateLink がホストする PrivateZone によって解決されます。

インターフェイスエンドポイントでカスタムサービスドメイン名を有効にする

インターフェイスエンドポイントを作成する際、カスタムドメイン名の有効化 をはいに設定します。
作成後、インターフェイスエンドポイント詳細ページの エンドポイントサービスドメイン名 エリアで、カスタムドメイン名 スイッチをオンにします。
不要になった場合は、ここでオフにすることができます。

カスタムサービスドメイン名を使用したサービスへのアクセス

同一 VPC アクセス：インターフェイスエンドポイントが配置されている VPC 内では、追加設定なしで直接カスタムサービスドメイン名を使用してサービスにアクセスできます。
VPC 間アクセス：
1. ネットワーク接続：VPC 相互接続ソリューションを参照し、VPC ピアリングまたは Cloud Enterprise Network (CEN) を選択して VPC を接続します。
2. DNS 解決の設定：
  1. Private DNS コンソールに移動します。Add Zone をクリックし、カスタムサービスドメイン名を設定し、ドメイン名の範囲を Alibaba Cloud VPC イントラネットに設定し、ターゲット VPC を選択します。
  2. ドメイン名 ID をクリックします。Settings タブで、Add Record を選択し、ドメインプレフィックス @ とレコード値をデフォルトサービスドメイン名に設定した CNAME レコードを追加します。
オンプレミスデータセンターへのアクセス
1. ネットワーク接続：VPC とオンプレミス IDC の接続ソリューションを参照し、Express Connect または VPN ゲートウェイを選択してオンプレミスデータセンターに接続します。
2. DNS 解決の設定：
  1. Private DNS コンソールに移動します。インバウンドエンドポイントを追加する をクリックし、Inbound VPC をインターフェイスエンドポイントが配置されている VPC として設定します。高可用性を確保するため、インバウンドトラフィックサービス IP アドレスには少なくとも 2 つのアベイラビリティゾーンを選択します。
  2. オンプレミスデータセンターにフォワーダーゾーンを設定します。
    このドキュメントでは BIND を例として使用します。オンプレミス IDC が別の DNS システムを使用している場合は、そのドキュメントを参照して条件付き転送を設定してください。設定の原則は同じです：特定のドメイン名の DNS 解決リクエストを、VPC PrivateZone インバウンドエンドポイントのサービス IP アドレスに転送します。
    1. BIND ファイルを設定します。
      BIND 設定ファイルの場所はオペレーティングシステムによって異なります。一般的なパスは /etc/named.conf と /etc/bind/named.conf です。
```
// 例：pai-dlc サービスへのアクセス。ゾーンは対応するカスタムサービスドメイン名として設定されます
zone "pai-dlc-vpc.cn-beijing.aliyuncs.com" IN {
       type forward;
       forwarders {
           10.0.0.173; // インバウンドトラフィックサービス IP アドレスに置き換えてください
           10.0.1.109;
       };
   };
```
    2. BIND サービスを再起動して設定を適用します。
      BIND サービスを再起動するコマンドはオペレーティングシステムによって異なります。一般的なコマンドは systemctl restart named です。

切断

Alibaba Cloud サービスへのアクセスが不要になった場合、サービス利用者はインターフェイスエンドポイントを削除できます。削除すると、サービスへのエンドポイント接続が終了し、元に戻すことはできません。慎重に進めてください。

コンソール

ターゲットのインターフェイスエンドポイントの操作列で、削除をクリックします。削除後、インターフェイスエンドポイントが属する VPC は、PrivateLink を介して対応する Alibaba Cloud サービスにアクセスできなくなります。削除中に、このエンドポイントのゾーンも削除する を選択して、エンドポイントアベイラビリティゾーンの ENI も削除できます。

API

DeleteVpcEndpoint を呼び出してインターフェイスエンドポイントを削除します。

エンドポイント作成時にマネージド保護が有効になっていた場合 (ProtectedEnabled パラメーターが true に設定されている場合、STS 呼び出しでのみ有効)、作成時に使用した STS ID のみ削除または変更操作を実行できます。削除するには、作成時に使用したのと同じ STS ID を使用して DeleteVpcEndpoint API を呼び出します。

インターフェイスエンドポイントを使用したリージョン間での Alibaba Cloud サービスへのアクセス

インターフェイスエンドポイントを作成し、リージョン間エンドポイントを有効にすることで、PrivateLink を介してリージョンを越えて Alibaba Cloud サービスに接続できます。

現在、リージョン間接続をサポートする Alibaba Cloud サービスには、Bailian - Alibaba Cloud 大規模言語モデルプラットフォームが含まれます。他の Alibaba Cloud サービスも継続的に追加されています。他の Alibaba Cloud サービスにリージョン間で接続するには、チケットを送信するか、アカウントマネージャーにお問い合わせください。

サービス利用者がリージョン間エンドポイントを有効にし、サービスリージョンを選択すると、システムはそのリージョンで利用可能な Alibaba Cloud サービスを自動的に表示します。
利用可能：Alibaba Cloud サービスが選択されたサービスリージョンにデプロイされており、サポートされているリージョンにはエンドポイントが配置されているリージョンが含まれます。
エンドポイント作成時に対応するサービスを選択できない場合は、サービスプロバイダーに連絡して、ご利用のアカウントがサービスホワイトリストに追加されていることを確認してください。
サービス利用者はエンドポイントドメイン名を使用してサービスにアクセスできます。リージョンを越えて Alibaba Cloud サービスに接続する場合、システムはエンドポイントゾーンドメイン名を生成しなくなり、アプリケーションが PrivateLink のフルマネージドの可用性プローブ機能を活用して、AZ 障害発生時に他のアベイラビリティゾーンへの迅速なフェイルオーバーを保証します。
高可用性を実現するため、少なくとも 2 つのアベイラビリティゾーンにインターフェイスエンドポイントを作成することを推奨します。

Alibaba Cloud サービスにカスタムサービスドメイン名が設定されている場合、ユーザーはインターフェイスエンドポイントのカスタムサービスドメイン名を有効にして、カスタムサービスドメイン名を使用して対応する Alibaba Cloud サービスにアクセスできます。

コンソール

エンドポイント - エンドポイントの作成ページに移動します。
インターフェイスエンドポイントを設定します：
- リージョン：Alibaba Cloud サービスへのアクセスエントリが配置されているリージョンを選択します。
- タイプ：Alibaba Cloud サービス を選択します。
- サービス設定：クロスリージョンエンドポイントの有効化 チェックボックスをオンにし、サービスリージョン を選択します。
  中国本土と中国本土以外のリージョン間で接続するためにリージョン間エンドポイントを有効にする場合、まず企業本人確認を完了する必要があります。
  中国本土と中国本土以外のリージョン間で接続するためにリージョン間エンドポイントを有効にする場合、越境データ転送コンプライアンス誓約を読み、前述のコンプライアンスコミットメントを確認し、同意するを選択します。
- 利用可能なサービス：サービスリージョンでサポートされている Alibaba Cloud サービスのリストから、エンドポイントサービス名でターゲットサービスを選択します。
- クロスリージョン帯域幅設定：
  - 課金方式：CDT 課金。リージョン間トラフィック料金は、Cloud Data Transfer (CDT) によって一律に課金されます。完全な課金項目については、「リージョン間接続」をご参照ください。
  - 帯域幅：
    - 中国本土内のリージョン間の相互接続の場合、デフォルトの最大リージョン間帯域幅は 1000 Mbps で、クォータ pvl_quota_cross_region_ep_max_bandwidth_payg_china を介して調整できます。
    - 中国本土以外のリージョン間の相互接続の場合、デフォルトの最大リージョン間帯域幅は 100 Mbps で、クォータ pvl_quota_cross_region_ep_max_bandwidth_payg_oversea を介して調整できます。
    - 中国本土と中国本土以外のリージョン間の相互接続の場合、デフォルトの最大リージョン間帯域幅は 100 Mbps で、クォータ pvl_quota_cross_region_ep_max_bandwidth_payg_cross_border を介して調整できます。
- その他の設定については、「インターフェイスエンドポイントの作成/削除」をご参照ください。

API

CreateVpcEndpoint を呼び出してインターフェイスエンドポイントを作成します。

Alibaba Cloud サービスによるリバースエンドポイントを使用したユーザー認可リソースへのアクセス

ユーザーの権限付与後、Alibaba Cloud サービスはリバースエンドポイントを使用して、プライベートネットワーク経由でユーザーの VPC 内の指定されたリソースに安全にアクセスできます。ユーザーは、セキュリティグループとネットワーク ACL を通じて、Alibaba Cloud サービスがアクセス可能なリソースの範囲をさらに制御できます。

セキュリティグループは、すべてのエンドポイントアベイラビリティゾーンにわたる ENI に適用され、リバースエンドポイントから VPC 内のリソースへのトラフィックを制御します。
リバースエンドポイントを作成すると、PrivateLink はデフォルトでマネージドセキュリティグループを作成します。インバウンドルールはデフォルトですべてのトラフィックを許可します。これには、任意の IPv4/IPv6 アドレスからのすべてのトラフィックを許可する優先度 1 のルールが含まれます。
- マネージドセキュリティグループは、ECS コンソール - セキュリティグループページで表示できます。
- マネージドセキュリティグループは変更または削除できませんが、セキュリティグループのクォータ q_security-groups (アカウントが所有できるセキュリティグループの最大数) を消費します。

サポート範囲：リバースエンドポイント経由のアクセスをサポートする Alibaba Cloud サービス。

PrivateLink サービスが有効化されていること、およびターゲットリージョンにVPC と vSwitch およびセキュリティグループが作成されていることを確認してください。

リバースエンドポイントはデュアルスタックアクセスをサポートしていません。

コンソール

リバースエンドポイントの作成

エンドポイント - エンドポイントの作成ページに移動します。
リバースエンドポイントを設定します：
- 基本設定：
  - リージョン：Alibaba Cloud サービスがアクセスするリソースが配置されているリージョンを選択します。
  - タイプ：リバースエンドポイントを選択します。
  - 名前と説明：クラウドリソースを統一的に識別します。
- タイプ：Alibaba Cloud サービス を選択します。
- 利用可能なサービス：エンドポイントサービス名に基づいて、アクセスする Alibaba Cloud サービスを選択します。
- ネットワーク設定：高いサービス可用性を確保するため、少なくとも 2 つのアベイラビリティゾーンで vSwitch を選択することを推奨します。エンドポイントのアベイラビリティゾーンにある ENI に、vSwitch から IP アドレスを指定できます。指定しない場合、システムが自動的に割り当てます。
- セキュリティグループ：すべてのエンドポイントアベイラビリティゾーンにわたる ENI に適用されます。リバースエンドポイントは、Alibaba Cloud サービスがユーザーリソースに能動的にアクセスすることのみを許可します。

リバースエンドポイントの削除

ターゲットのリバースエンドポイントの操作列で、削除をクリックします。削除後、対応する Alibaba Cloud サービスは、リバースエンドポイントを介してユーザーの VPC 内の指定されたリソースにアクセスできなくなります。

API

CreateVpcEndpoint を呼び出してリバースエンドポイントを作成します。
DeleteVpcEndpoint を呼び出してリバースエンドポイントを削除します。

詳細情報

ゲートウェイエンドポイントとの違い

ゲートウェイエンドポイントは PrivateLink に依存せず、限られた数の Alibaba Cloud サービスへのアクセスのみをサポートします。

機能	ゲートウェイエンドポイント	PrivateLink
利用シーン	エンドポイントポリシーと OSS バケットポリシーを併用して、不正アクセスのリスクを低減し、双方向認証を実装します：送信元制御：VPC は指定されたバケットにのみアクセスできます。宛先制御：OSS バケットは指定された VPC からのみアクセス可能です。	VPC から Alibaba Cloud サービスへのプライベートアクセスのための標準ソリューション。ゲートウェイエンドポイントよりも多くのサービスタイプと高度な機能をサポートします。
サポートされるサービスタイプ	現在、OSS のみをサポートしています。	多くの Alibaba Cloud サービスおよびユーザー作成サービス (ISV が提供するサービスを含む) をサポートします。
VPC セキュリティ機能	エンドポイントポリシーのみをサポートします。	セキュリティグループ、ネットワーク ACL、およびエンドポイントポリシーをサポートします。
ネットワーク機能	複雑なネットワークをサポートしません。Alibaba Cloud サービスの CIDR ブロック (100.x.x.x/8) と競合する可能性があります。	複雑なネットワークをサポートします。VPC ピアリング、CEN、Express Connect、および VPN ゲートウェイと互換性があり、リージョン間およびハイブリッドクラウド接続に対応します。
運用保守機能	なし	監査とトラブルシューティングのためのフローログをサポートします。
料金	無料です。	インスタンス料金とデータ転送料金が含まれます。ユーザー作成サービスの場合、消費者またはプロバイダーが支払うかを選択します。