AWS PrivateLink
サービスへのプライベート接続
interface VPC endpoint（プライベートIPを持つENI）を通じて、AWSサービス、SaaS、他アカウントのサービスに、インターネットを経由せず、peeringやNATなしでアクセスできます。
- コスト$$ ふつう
- 難易度●●●●●
- 未使用でも課金？はい
- AWS マネージド
- 出題試験SAA · SOA · DVA
たとえるならあなたのオフィスとパートナーの倉庫を直結する専用の裏口のようなもので、外の道路に出る必要がありません。
いつ使う？
✓ 使うべき場面
ネットワーク全体を開放せずに、1つのサービスを多数のVPC/アカウントに公開したいとき。
✗ 避けるべき場面
多数のVPC間でネットワーク全体を接続 → Transit Gateway / VPC peering。S3/DynamoDBへのアクセスだけ → 無料のgateway endpoint。
よくある使い方
- NATのないプライベートsubnetからのAWS API（SQS、KMSなど）呼び出し
- endpoint serviceによる顧客へのSaaS提供
- アカウント間での社内サービス共有
料金はいくら？
- 課金方式: interface endpointごと・AZごとの時間料金に、処理データGBが加わります。
多数のendpoint × 多数のAZ × 多数のVPCは、すぐに積み上がります。
「多数の VPC やアカウントから 1 つのサービスへ、インターネットを経由せず、CIDR が重複していても」なら PrivateLink、「ネットワーク全体を接続」なら Transit Gateway またはピアリング、「S3 や DynamoDB へ無料でプライベートアクセス」ならゲートウェイエンドポイントを選びます。
よくある質問
PrivateLink は VPC ピアリングと何が違いますか?
VPC ピアリングは 2 つのネットワークを接続するため、お互いに広い範囲へアクセスでき、CIDR は重複できません。PrivateLink はインターフェイスエンドポイント経由で特定の 1 つのサービスだけを、利用側から提供側への一方向で公開するため、IP レンジが重複していても使え、残りのネットワークは見えません。
ゲートウェイエンドポイントとインターフェイスエンドポイントの違いは?
ゲートウェイエンドポイントは S3 と DynamoDB 専用で、ルートテーブルのエントリで動作し、時間料金はかかりません。インターフェイスエンドポイント (PrivateLink の技術) はサブネット内のプライベート IP を持つ ENI で、多くの AWS サービス、SaaS、自作サービスに使え、時間料金とデータ処理料金がかかります。
自分のサービスを PrivateLink で他の VPC やアカウントに公開するには?
提供側はサービスを Network Load Balancer (または Gateway Load Balancer) の背後に置き、エンドポイントサービスを作成します。利用側はそれを指すインターフェイスエンドポイントを作成し、提供側は接続リクエストを個別に承認できます。ピアリングや NAT なしで多数の顧客に展開できます。
関連サービス
SAA-C03 対策
PrivateLink は次の対策モジュールで扱っています：