PrivateLink:仕組み

サービスプロバイダー

サービスの所有者として、サービスプロバイダーは Alibaba Cloud のリソースを使用して エンドポイントサービス を構築し、サービスコンシューマーに提供します。サービスコンシューマーは、エンドポイントサービスに関連付けられたエンドポイントを介してサービスにアクセスします。

• サービスリソース：エンドポイントサービスは、複数のアベイラビリティーゾーンにデプロイされたロードバランサーをサービスリソースとして使用できます。サポートされているサービスリソースタイプは、Network Load Balancer (NLB)、Application Load Balancer (ALB)、Classic Load Balancer (CLB)、Gateway Load Balancer (GWLB) です。

• エンドポイントサービス名：これは、エンドポイントサービスの一意の識別子です。サービスコンシューマーは、エンドポイントを作成する際にこの名前を使用してターゲットサービスを指定します。

• サービスホワイトリスト：デフォルトでは、エンドポイントサービスはすべてのサービスコンシューマーに表示されません。サービスプロバイダーが別の Alibaba Cloud アカウントの VPC にエンドポイントサービスへのアクセスを許可したい場合は、そのアカウント ID をサービスホワイトリストに追加する必要があります。

  エンドポイントサービスが作成されると、サービスプロバイダーのアカウントは自動的にサービスホワイトリストに追加されます。

• エンドポイントサービスのステータス：Creating、Modifying、Available、または Deleting。

サービスコンシューマー

サービスコンシューマーは、VPC またはオンプレミスデータセンターからエンドポイントサービスにアクセスするために エンドポイント を作成します。

• エンドポイントタイプ：サービスコンシューマーは、アクセスしたいエンドポイントサービスに基づいて、特定のタイプのエンドポイントを作成します。

  ゲートウェイエンドポイント は PrivateLink に依存しません。これは、VPC が特定のクラウドサービスにアクセスするための仮想ゲートウェイとして機能し、予約済みアドレス空間 100.64.0.0/10 とエンドポイントポリシーを使用することで、より安全なアクセスが可能になります。現在、Object Storage Service (OSS) は、ゲートウェイエンドポイントをサポートする唯一のクラウドサービスです。

  • インターフェイスエンドポイント：インターフェイスエンドポイントは、サービスリソースが NLB、CLB、または ALB インスタンスであるエンドポイントサービスへのアクセスに使用されます。

  • Gateway Load Balancer エンドポイント：Gateway Load Balancer エンドポイントは、サービスリソースとして GWLB インスタンスを使用するエンドポイントサービスへのアクセスに使用されます。Gateway Load Balancer エンドポイントは、VPC ルートテーブルのネクストホップとしてトラフィックを転送するように設定できます。

  • リバースエンドポイント：サービスプロバイダーがサービスコンシューマーの VPC 内のクラウドサービスへのアクセスを開始できるようにします。サービスコンシューマーは、リバースエンドポイントにセキュリティグループを設定することで、アクセス範囲を制限できます。リバースエンドポイントは、Alibaba Cloud サービスのエンドポイントサービスにのみ接続できます。

• エンドポイントアベイラビリティーゾーン：サービスコンシューマーがエンドポイントを作成すると、PrivateLink は指定されたエンドポイントアベイラビリティーゾーンに Elastic Network Interface (ENI) を作成し、サービスのローカルエントリポイントとして機能させます。

• エンドポイントポリシー：Alibaba Cloud サービスへのアクセスにインターフェイスエンドポイントを使用する場合にのみ、エンドポイントポリシーを設定できます。デフォルトでは、有効な Alibaba Cloud アカウントの認証情報を持つ VPC 内のすべてのユーザーまたはサービスは、対応するサービスの任意のリソースにアクセスできます。

• エンドポイントのステータス：Creating、Modifying、Available、または Deleting。

エンドポイント接続

サービスコンシューマーがエンドポイントを作成すると、サービスプロバイダーのエンドポイントサービスは接続リクエストを受け取ります。サービスプロバイダーがリクエストを承諾すると、エンドポイントとエンドポイントサービスの間にエンドポイント接続が確立されます。

エンドポイント接続は、Connecting、Connected、Disconnecting、Disconnected、Modifying、Deleting、または Service Deleted のいずれかのステータスになります。

接続が Disconnected 状態になる理由は次のとおりです。

• エンドポイントサービスで自動接続承諾が設定されていません。エンドポイントが作成された後、そのステータスは Disconnected になります。

• エンドポイントサービスがエンドポイントからの接続リクエストを拒否したか、サービスがまだ接続を承認していません。

• エンドポイントに支払い遅延があります。

• エンドポイントサービスに支払い遅延があります。

エンドポイントサービスドメイン名

サービスコンシューマーがインターフェイスエンドポイントを作成すると、Alibaba Cloud はサービスに接続するためのリージョンおよびゾーンのサービスドメイン名を生成します。

• エンドポイントサービスドメイン名：endpoint_id.endpoint_service_id.service_region.privatelink.aliyuncs.com

  • endpoint_id：エンドポイントの ID。エンドポイントの作成後に自動的に生成されます。

  • endpoint_service_id：エンドポイントサービスの ID。

  • service_region：サービスが配置されているリージョンの ID (例：cn-hangzhou)。

  • privatelink.aliyuncs.com：固定のドメインサフィックス。

• ゾーンドメイン名：endpoint_id-endpoint_zone.endpoint_service_id.service_region.privatelink.aliyuncs.com

  • endpoint_zone：エンドポイントアベイラビリティーゾーンの ID (例：cn-hangzhou-j)。

  • -：エンドポイント ID とアベイラビリティーゾーン ID を区切るハイフン。

VPC 内で Alibaba Cloud サービスにアクセスする場合、通常は特定のサービスドメイン名を使用します。サービスが カスタムサービスドメイン名 で設定されている場合は、作成するインターフェイスエンドポイントでそれを有効にできます。これにより、アプリケーションのサービスアドレスを変更することなく、引き続きそのドメイン名を使用して PrivateLink 経由でサービスにアクセスできます。

カスタムサービスドメイン名は、インターフェイスエンドポイントが配置されている VPC 内でのみ有効です。このドメイン名をプライベート IP アドレスに解決できるのは、この VPC のみです。他の VPC やオンプレミスデータセンターは、エンドポイントの VPC に接続し、DNS 解決を設定した後に、カスタムサービスドメイン名を使用してサービスにアクセスできます。

IPバージョン

サービスプロバイダーは、IPv4 またはデュアルスタックを使用してサービスコンシューマーにエンドポイントサービスを提供できます。

• デュアルスタックは、エンドポイントサービスに関連付けられているすべてのサービスリソースがデュアルスタックをサポートしている場合にのみ選択できます。

• エンドポイントサービスがデュアルスタックをサポートしている場合、サービスコンシューマーはデュアルスタックエンドポイントを作成できます。これにより、クライアントは IPv4 と IPv6 の両方を使用してサービスにアクセスできます。

1. サービスプロバイダーは、複数のアベイラビリティーゾーンにまたがってエンドポイントサービスのサービスリソースを設定します。

   • サービスリソースが NLB または ALB インスタンスの場合、複数のアベイラビリティーゾーンにまたがるインスタンスを追加します。

   • サービスリソースが CLB インスタンスの場合、プライマリアベイラビリティーゾーンが異なる複数のインスタンスを追加します。

2. インターフェイスエンドポイントを作成する際、サービスコンシューマーは少なくとも 2 つのアベイラビリティーゾーンで vSwitch を選択します。

3. サービスコンシューマーは、エンドポイントドメイン名を使用してサービスにアクセスします。Alibaba Cloud は、フルマネージド型のヘルスチェックを提供し、1 つのアベイラビリティーゾーンで障害が発生した場合に他のアベイラビリティーゾーンに迅速にフェイルオーバーします。

   • システムは、異なるエンドポイントアベイラビリティーゾーンにある ENI の IP アドレスの正常性を継続的に監視します。システムが異常を検出した場合、サービスの中断やデータ損失を防ぐために、対応する DNS レコードを削除します。

   • 問題が解決すると、システムは自動的に DNS レコードを復元します。

弾力的なパフォーマンス

PrivateLink は、弾力的な自動スケーリングをサポートしています。

• アベイラビリティーゾーンレベルでの自動スケーリングを提供します。各アベイラビリティーゾーンの各エンドポイントがサポートする帯域幅は、ビジネスの成長に伴って自動的に増加します。

• エンドポイントのタイプとサービスリソースのタイプに基づいて、特定の弾力性制限を提供します。

• 弾力的な帯域幅メトリックは、エンドポイントのアベイラビリティーゾーンにある ENI の容量のみを反映します。 実際のフルリンク容量は、バックエンドのサービスリソースタイプとアプリケーションの処理能力に依存します。

より高いスループットが必要な場合は、アカウントマネージャーにお問い合わせください。

弾力的な帯域幅とスロットリング

• 弾力的な帯域幅：アベイラビリティーゾーンレベルでのシステムの自動スケーリング機能。手動設定なしで、各アベイラビリティーゾーン内でエンドポイントがサポートできる最大帯域幅を表します。

• スロットリング：バックエンドのサービスリソースの過負荷を防ぐために、サービスプロバイダーがエンドポイント接続に対して設定するトラフィック制御ポリシーです。サービスプロバイダーは、異なるエンドポイント接続に対して異なるスロットリング値を設定できます。

  • 継承メカニズム：サービスプロバイダーがエンドポイント接続のスロットリング値を設定すると、各アベイラビリティーゾーンのエンドポイントの ENI はこの値を自動的に継承して適用することで、正確なトラフィック制御が可能になります。

  • 確認方法：

    • GetVpcEndpointAttribute API を呼び出し、レスポンスの Bandwidth 情報を確認します。

    • エンドポイント詳細ページで、[基本情報] セクションの 制限速度 を確認します。

単一フローのパフォーマンス制限

パフォーマンスと安定性を確保するため、PrivateLink は各エンドポイントアベイラビリティーゾーン内で分散型の高信頼性クラスターアーキテクチャを使用します。トラフィックはクラスター内の複数のデバイスに均等に分散されて転送されます。その結果、単一フローの帯域幅は単一デバイスのパフォーマンスによって制限されます。弾力的な帯域幅メトリックとスロットリング値は、複数のフローが使用されている場合にのみ最大制限に達することができます。

さらに、PrivateLink はエンドツーエンドのプライベートネットワーク接続です。実際のフルリンク容量は、バックエンドのサービスリソースタイプとアプリケーションの処理能力にも依存します。また、スロットリングポリシーは各デバイスで独立して適用されるため、実際のスロットリング値が設定された制限を超える場合があります。ビジネス要件に基づいてストレステストを実施し、モニタリングを設定することを推奨します。パフォーマンスが最大メトリックを超えると、ビジネストラフィックでパケット損失が発生する可能性があります。