aws ec2コマンドでPrivateLinkのエンドポイントサービスを設計する方法｜NLBを介したVPC間プライベートサービス連携の実践手順

この記事のポイント

・aws ec2 create-vpc-endpoint-service-configurationでエンドポイントサービスを作成する
・NLBをバックエンドにすることでマルチAZ冗長のプライベートサービスを実現できる
・コンシューマー側はInterface型エンドポイントを作成するだけでVPC間接続が可能
・VPCピアリングと異なりCIDRアドレスが重複していても接続できる

# VPC IDとCIDRを確認する
aws ec2 describe-vpcs \
  --query 'Vpcs[*].[VpcId,CidrBlock,Tags[?Key==`Name`].Value|[0]]' \
  --output table

# サブネットIDとAZを確認する（プロバイダーVPCのプライベートサブネット）
aws ec2 describe-subnets \
  --filters Name=vpc-id,Values=vpc-0a1b2c3d4e5f6a7b8 \
  --query 'Subnets[*].[SubnetId,AvailabilityZone,CidrBlock,Tags[?Key==`Name`].Value|[0]]' \
  --output table

# 出力例（2つのAZにプライベートサブネットが存在することを確認）
---------------------------------------------------------------
|                       DescribeSubnets                       |
+-----------------------+-------------------+---------------+--+
|  subnet-0a1b2c111111  |  ap-northeast-1a  | 10.0.10.0/24  |  private-1a  |
|  subnet-0a1b2c222222  |  ap-northeast-1c  | 10.0.20.0/24  |  private-1c  |
+-----------------------+-------------------+---------------+--+

# NLBを作成する（ap-northeast-1a と ap-northeast-1c の2つのAZを指定）
aws elbv2 create-load-balancer \
  --name my-service-nlb \
  --type network \
  --subnets subnet-0a1b2c111111 subnet-0a1b2c222222 \
  --scheme internal

# 実行結果（抜粋）
{
    "LoadBalancers": [
        {
            "LoadBalancerArn": "arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:loadbalancer/net/my-service-nlb/1a2b3c4d5e6f0001",
            "DNSName": "my-service-nlb-1234567890.elb.ap-northeast-1.amazonaws.com",
            "Type": "network",
            "Scheme": "internal",
            "State": {
                "Code": "provisioning"
            },
            "AvailabilityZones": [
                {"ZoneName": "ap-northeast-1a", "SubnetId": "subnet-0a1b2c111111"},
                {"ZoneName": "ap-northeast-1c", "SubnetId": "subnet-0a1b2c222222"}
            ]
        }
    ]
}

# ターゲットグループを作成する（TCP/8080）
aws elbv2 create-target-group \
  --name my-service-tg \
  --protocol TCP \
  --port 8080 \
  --vpc-id vpc-0a1b2c3d4e5f6a7b8 \
  --target-type instance

# バックエンドEC2をターゲットグループに登録する
aws elbv2 register-targets \
  --target-group-arn arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:targetgroup/my-service-tg/abcd1234 \
  --targets Id=i-0a1b2c3d4e5f11111 Id=i-0a1b2c3d4e5f22222

# NLBにリスナーを追加する（TCP/443）
aws elbv2 create-listener \
  --load-balancer-arn arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:loadbalancer/net/my-service-nlb/1a2b3c4d5e6f0001 \
  --protocol TCP \
  --port 443 \
  --default-actions Type=forward,TargetGroupArn=arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:targetgroup/my-service-tg/abcd1234

# エンドポイントサービスを作成する
aws ec2 create-vpc-endpoint-service-configuration \
  --network-load-balancer-arns arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:loadbalancer/net/my-service-nlb/1a2b3c4d5e6f0001 \
  --no-acceptance-required

# 実行結果（抜粋）
{
    "ServiceConfiguration": {
        "ServiceType": [{"ServiceType": "Interface"}],
        "ServiceId": "vpce-svc-0a1b2c3d4e5f6a7b8",
        "ServiceName": "com.amazonaws.vpce.ap-northeast-1.vpce-svc-0a1b2c3d4e5f6a7b8",
        "ServiceState": "Available",
        "AvailabilityZones": [
            "ap-northeast-1a",
            "ap-northeast-1c"
        ],
        "AcceptanceRequired": false,
        "NetworkLoadBalancerArns": [
            "arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:loadbalancer/net/my-service-nlb/1a2b3c4d5e6f0001"
        ]
    }
}

# コンシューマーのAWSアカウントIDを許可リストに追加する
aws ec2 modify-vpc-endpoint-service-permissions \
  --service-id vpce-svc-0a1b2c3d4e5f6a7b8 \
  --add-allowed-principals arn:aws:iam::999888777666:root

# 許可リストを確認する
aws ec2 describe-vpc-endpoint-service-permissions \
  --service-id vpce-svc-0a1b2c3d4e5f6a7b8

# 実行結果
{
    "AllowedPrincipals": [
        {
            "PrincipalType": "Account",
            "Principal": "arn:aws:iam::999888777666:root"
        }
    ]
}

# コンシューマー側: エンドポイントを作成する
# （別アカウントのAWS CLI認証情報を設定して実行する）
aws ec2 create-vpc-endpoint \
  --vpc-id vpc-0f1e2d3c4b5a6b7c8 \
  --vpc-endpoint-type Interface \
  --service-name com.amazonaws.vpce.ap-northeast-1.vpce-svc-0a1b2c3d4e5f6a7b8 \
  --subnet-ids subnet-0f1e2d3c4b5a11111 subnet-0f1e2d3c4b5a22222 \
  --security-group-ids sg-0a1b2c3d4e5f12345 \
  --private-dns-enabled

# 実行結果（抜粋）
{
    "VpcEndpoint": {
        "VpcEndpointId": "vpce-01234567890abcdef",
        "VpcEndpointType": "Interface",
        "VpcId": "vpc-0f1e2d3c4b5a6b7c8",
        "ServiceName": "com.amazonaws.vpce.ap-northeast-1.vpce-svc-0a1b2c3d4e5f6a7b8",
        "State": "pending",
        "DnsEntries": [
            {
                "DnsName": "vpce-01234567890abcdef-zz1yy2xx.ap-northeast-1.vpce.amazonaws.com",
                "HostedZoneId": "Z7HUB22UULQXV"
            }
        ],
        "NetworkInterfaceIds": [
            "eni-0a1b2c3d4e5f11111",
            "eni-0a1b2c3d4e5f22222"
        ]
    }
}

# エンドポイント用SGのインバウンドルールを設定する（TCP/443をコンシューマーVPCのCIDRから許可）
aws ec2 authorize-security-group-ingress \
  --group-id sg-0a1b2c3d4e5f12345 \
  --protocol tcp \
  --port 443 \
  --cidr 10.1.0.0/16

# エンドポイントのDNS名を一覧表示する
aws ec2 describe-vpc-endpoints \
  --vpc-endpoint-ids vpce-01234567890abcdef \
  --query 'VpcEndpoints[0].DnsEntries[*].DnsName'

# 出力（AZごとのDNS名も自動生成される）
[
    "vpce-01234567890abcdef-zz1yy2xx.ap-northeast-1.vpce.amazonaws.com",
    "vpce-01234567890abcdef-zz1yy2xx-ap-northeast-1a.ap-northeast-1.vpce.amazonaws.com",
    "vpce-01234567890abcdef-zz1yy2xx-ap-northeast-1c.ap-northeast-1.vpce.amazonaws.com"
]

# エンドポイントのステータスを確認する（available になるまで1～2分かかる）
aws ec2 describe-vpc-endpoints \
  --vpc-endpoint-ids vpce-01234567890abcdef \
  --query 'VpcEndpoints[0].State'

# 出力
"available"

# コンシューマーEC2からDNS名解決を確認する
[ec2-user@ip-10-1-0-50 ~]$ nslookup vpce-01234567890abcdef-zz1yy2xx.ap-northeast-1.vpce.amazonaws.com
Server:         10.1.0.2
Address:        10.1.0.2#53

Non-authoritative answer:
Name:   vpce-01234567890abcdef-zz1yy2xx.ap-northeast-1.vpce.amazonaws.com
Address: 10.1.10.45
Name:   vpce-01234567890abcdef-zz1yy2xx.ap-northeast-1.vpce.amazonaws.com
Address: 10.1.20.67

# DNS解決結果がプライベートIPアドレス（10.x.x.x）であることを確認する
# VPC外のパブリックIPには解決されていない = PrivateLink経由の通信になっている

# curlでサービスのヘルスチェックエンドポイントに接続する
[ec2-user@ip-10-1-0-50 ~]$ curl -v \
  https://vpce-01234567890abcdef-zz1yy2xx.ap-northeast-1.vpce.amazonaws.com/api/health \
  --resolve 'vpce-01234567890abcdef-zz1yy2xx.ap-northeast-1.vpce.amazonaws.com:443:10.1.10.45'

# 接続が成功した場合の出力（抜粋）
*   Trying 10.1.10.45:443...
* Connected to ... (10.1.10.45) port 443
* SSL handshake completed
< HTTP/1.1 200 OK
{"status":"healthy"}

# エンドポイントサービスが提供するAZを確認する（コンシューマー側から実行）
aws ec2 describe-vpc-endpoint-services \
  --service-names com.amazonaws.vpce.ap-northeast-1.vpce-svc-0a1b2c3d4e5f6a7b8 \
  --query 'ServiceDetails[0].AvailabilityZones'

# 出力（プロバイダーがap-northeast-1a・1cで提供していることを確認）
[
    "ap-northeast-1a",
    "ap-northeast-1c"
]

# VPCのDNS属性を確認する
aws ec2 describe-vpc-attribute \
  --vpc-id vpc-0f1e2d3c4b5a6b7c8 \
  --attribute enableDnsHostnames

aws ec2 describe-vpc-attribute \
  --vpc-id vpc-0f1e2d3c4b5a6b7c8 \
  --attribute enableDnsSupport

# enableDnsHostnames の出力（trueであることが必要）
{
    "VpcId": "vpc-0f1e2d3c4b5a6b7c8",
    "EnableDnsHostnames": {
        "Value": true
    }
}

# プロバイダー側: 許可リストを確認する
aws ec2 describe-vpc-endpoint-service-permissions \
  --service-id vpce-svc-0a1b2c3d4e5f6a7b8 \
  --query 'AllowedPrincipals[*].Principal'

# 出力（コンシューマーアカウントのARNが含まれているか確認）
[
    "arn:aws:iam::999888777666:root"
]

# プロバイダー側: 承認待ちの接続要求を確認する
aws ec2 describe-vpc-endpoint-connections \
  --filters Name=vpc-endpoint-service-id,Values=vpce-svc-0a1b2c3d4e5f6a7b8 \
  --query 'VpcEndpointConnections[?VpcEndpointState==`pendingAcceptance`].[VpcEndpointId,VpcEndpointState]'

# 承認操作を実行する
aws ec2 accept-vpc-endpoint-connections \
  --service-id vpce-svc-0a1b2c3d4e5f6a7b8 \
  --vpc-endpoint-ids vpce-01234567890abcdef

# DNS属性を有効化する（コンシューマーVPCで実行）
aws ec2 modify-vpc-attribute \
  --vpc-id vpc-0f1e2d3c4b5a6b7c8 \
  --enable-dns-hostnames

aws ec2 modify-vpc-attribute \
  --vpc-id vpc-0f1e2d3c4b5a6b7c8 \
  --enable-dns-support