115-AWS SAP AWS 「理論・実践・一問道場」VPCエンドポイント

type

status

date

slug

summary

理論

1. VPCエンドポイント

VPCエンドポイントは、VPC内のリソースからインターネットを経由せずに、AWSサービスにアクセスするための専用のネットワーク接続です。これにより、インターネット経由の通信に比べてセキュリティが向上し、データ転送コストも削減されます。

インターフェイスVPCエンドポイント: Amazon Kinesis、Amazon S3、AWS Secrets Managerなどのサービスへのアクセスに使用されます。これを設定することで、サービス間の通信がインターネット経由ではなく、プライベートネットワーク内で完結します。これにより、NATゲートウェイを介したインターネットトラフィックを削減できます。

2. NATゲートウェイ

NAT（Network Address Translation）ゲートウェイは、プライベートサブネットにあるインスタンスがインターネットにアクセスするためのリソースです。NATゲートウェイを使用すると、プライベートサブネット内のインスタンスは外部と通信できますが、その代償としてインターネット接続に関連するデータ転送コスト（NatGateway-Bytes）が発生します。

コストが高くなる原因: NATゲートウェイは、インターネット接続のために使用する帯域幅に応じてコストが発生します。特に大量のデータ転送が行われる場合、コストが急増する可能性があります。

3. Cost Explorerとコスト管理

AWSのCost Explorerは、AWSリソースのコストを視覚化し、分析するためのツールです。特定のカテゴリやリソースごとにコストを追跡できるため、無駄なコストを見つけて最適化するのに役立ちます。例えば、NatGateway-Bytesという項目が高い場合、インターネット経由のトラフィックを減らす方法を考える必要があります。

4. セキュリティグループとトラフィック制御

セキュリティグループは、インスタンスにアクセスするためのルールを設定する仮想ファイアウォールです。VPC内で発生する不要なトラフィックをブロックすることができるため、コスト削減やセキュリティ向上に貢献します。VPC Flow LogsやAmazon Detectiveを活用して、不要なトラフィックを検出し、適切にセキュリティグループで制御することができます。

まとめ

VPCインターフェイスエンドポイントを利用することで、Kinesis Data StreamsなどのAWSサービスにアクセスする際のインターネット経由のトラフィックを削減でき、NATゲートウェイを介したデータ転送に関連するコストを削減できます。これにより、コスト最適化とセキュリティの向上を同時に達成できます。

実践

略

一問道場

問題 #115 トピック 1

あるチームは、企業全体の行動データを収集し、ルーティングしています。企業は、パブリックサブネット、プライベートサブネット、およびインターネットゲートウェイを備えたMulti-AZ VPC環境を運用しています。各パブリックサブネットにはNATゲートウェイも含まれています。企業のアプリケーションのほとんどは、Amazon Kinesis Data Streamsから読み取り、書き込みを行います。ほとんどのワークロードはプライベートサブネットで実行されています。

ソリューションアーキテクトはインフラをレビューしており、コスト削減とアプリケーションの機能維持が求められています。ソリューションアーキテクトはCost Explorerを使用して、EC2-Otherカテゴリのコストが常に高いことに気付きました。さらに調査した結果、NatGateway-Bytesの料金がEC2-Otherカテゴリのコストを増加させていることが分かりました。

ソリューションアーキテクトはこの要件を満たすために何をすべきですか？

A. VPCフローログを有効にし、Amazon Athenaを使用して、削除可能なトラフィックをログで分析します。セキュリティグループが高コストの原因となっているトラフィックをブロックしていることを確認します。

B. Kinesis Data StreamsのインターフェースVPCエンドポイントをVPCに追加し、アプリケーションがインターフェースVPCエンドポイントを使用するために必要なIAM権限を持っていることを確認します。

C. VPCフローログとAmazon Detectiveを有効にし、Detectiveの調査結果を確認してKinesis Data Streamsに関連しないトラフィックを特定します。そのトラフィックをブロックするためにセキュリティグループを構成します。

D. Kinesis Data StreamsのインターフェースVPCエンドポイントをVPCに追加し、VPCエンドポイントポリシーがアプリケーションからのトラフィックを許可することを確認します。

解説

この問題に対する最適な解決策は B です。

理由:

B. Kinesis Data Streams用にVPCインターフェイスエンドポイントを追加する VPCインターフェイスエンドポイントを使用することで、Kinesis Data Streamsへのアクセスがインターネット経由でなく、VPC内で完結します。このため、NATゲートウェイを通じて発生するデータ転送量が削減され、NatGateway-Bytes のコストが下がります。これが最も効率的なコスト削減方法です。

他の選択肢（A, C, D）は、トラフィックの調査やセキュリティグループの設定に関連していますが、直接的にNATゲートウェイのコスト削減にはつながりません。