インターフェイス VPC エンドポイント
当社は、Amazon VPC と Amazon Managed Grafana との間でAWS PrivateLinkサポートを提供しています。Amazon VPC エンドポイントの IAM リソースポリシーを添付することで、仮想プライベートクラウド (VPC) のエンドポイントから Amazon Managed Grafana サービスへのアクセスを制御できます。
Amazon Managed Grafana は、2 つの異なる種類の VPC エンドポイントをサポートしています。Amazon Managed Grafana サービスに接続し、Amazon Managed Grafana API にアクセスしてワークスペースを管理できます。または、特定のワークスペースに VPC エンドポイントを作成できます。
インターフェイス Amazon VPC エンドポイントを使った Amazon Managed Grafana の使用
Amazon Managed Grafana でインターフェイス VPC エンドポイントを使用する方法は 2 つあります。VPC エンドポイントを使用して、Amazon EC2 インスタンスなどのAWSリソースが Amazon Managed Grafana API にアクセスしてリソースを管理できるようにするか、Amazon Managed Grafana ワークスペースへのネットワークアクセスを制限する一環として VPC エンドポイントを使用できます。
-
Amazon VPC を使用してAWSリソースをホストしている場合は、
com.amazonaws.
サービス名エンドポイントを使用して、VPC と Amazon Managed Grafana API 間のプライベート接続を確立できます。region
.grafana -
ネットワークアクセスコントロールを使用して Amazon Managed Grafana ワークスペースにセキュリティを追加しようとする場合は、
com.amazonaws.
サービス名エンドポイントを使用して、VPC と Grafana ワークスペースエンドポイントとの間にプライベート接続を確立できます。region
.grafana-workspace
Amazon VPC は、ユーザー定義の仮想ネットワークで AWS リソースを起動するために使用できる AWS のサービス です。VPC を使用すると、IP アドレス範囲、サブネット、ルートテーブル、ネットワークゲートウェイなどのネットワーク設定を制御できます。VPC をお使いの Amazon Managed Grafana API に接続するには、インターフェイス VPC エンドポイントを定義します。このエンドポイントは、インターネットゲートウェイ、ネットワークアドレス変換 (NAT) インスタンス、または VPN 接続を必要とすることなく、Amazon Managed Grafana へのスケーラブルで信頼性の高い接続を提供します。詳細については、「Amazon VPC ユーザーガイド」の「Amazon VPC とは」を参照してください。
インターフェイス VPC エンドポイントは AWS PrivateLink を使用しています。これは、Elastic Network Interface とプライベート IP アドレスを使用して AWS のサービス 間のプライベート通信を可能にする AWS テクノロジーです。詳細については、「新規 – AWS のサービス向けの AWS PrivateLink
Amazon VPC での開始方法の詳細については、「Amazon VPC ユーザーガイド」の「開始方法」を参照してください。
Amazon Managed Grafana にAWS PrivateLink接続するための VPC エンドポイントの作成
次のいずれかのサービス名エンドポイントを使用して、Amazon Managed Grafana へのインターフェイス VPC エンドポイントを作成します。
-
Amazon Managed Grafana API に接続してワークスペースを管理するには、以下を選択します。
com.amazonaws.
.region
.grafana -
Amazon Managed Grafana ワークスペースに接続するには (Grafana API を使用するなど)、以下を選択します。
com.amazonaws.
region
.grafana-workspace
インターフェイス VPC エンドポイントの作成に関する詳細については、「Amazon VPC ユーザーガイド」の「インターフェイスエンドポイントの作成」を参照してください。
Grafana API 呼び出すには、Amazon VPC ユーザーガイド の手順に従って、VPC エンドポイントのプライベート DNS も有効にする必要があります。これにより、*.grafana-workspace.
フォーム内の URL のローカル解決が可能になります。region
.amazonaws.com
ネットワークアクセスコントロールを使用して Grafana ワークスペースへのアクセスを制限する
特定の Grafana ワークスペースへのアクセスに使用できる IP アドレスまたは VPC エンドポイントを制限する場合は、そのワークスペースへのネットワークアクセスコントロールを設定できます。
ワークスペースへのアクセスを許可する VPC エンドポイントに対してエンドポイントのセキュリティグループを設定することで、より詳細なアクセス制限が可能になります。詳細については、「Amazon VPC ドキュメント」の「セキュリティグループの関連付け」と「セキュリティグループのルール」を参照してください。
エンドポイントポリシーを使用して Amazon Managed Grafana API VPC エンドポイントへのアクセスを制御する
(com.amazonaws.
を使用して) Amazon Managed Grafana API に接続されている VPC エンドポイントの場合、VPC エンドポイントポリシーを追加してサービスへのアクセスを制限できます。region
.grafana
注記
(com.amazonaws.
を使用して) ワークスペースに接続されている VPC エンドポイントは、VPC エンドポイントポリシーをサポートしていません。region
.grafana-workspace
VPC エンドポイントポリシーは、エンドポイントの作成時または変更時にエンドポイントに加える IAM リソースポリシーです。エンドポイントの作成時にポリシーをアタッチしない場合、サービスへのフルアクセスを許可するデフォルトのポリシーが Amazon VPC によって自動的にアタッチされます。エンドポイントポリシーは、IAM アイデンティティベースのポリシーやサービス固有のポリシーを上書きしたり置き換えたりするものではありません。これは、エンドポイントから指定されたサービスへのアクセスを制御するための別のポリシーです。
エンドポイントのポリシーは、JSON 形式で記述する必要があります。
詳細については、「Amazon VPC ユーザーガイド」の「VPC エンドポイントによるサービスへのアクセスのコントロール」を参照してください。
Amazon Managed Grafana のエンドポイントポリシーの例を次に示します。このポリシーにより、VPC 経由で Amazon Managed Grafana に接続するユーザーは、Amazon Managed Grafana サービスにデータを送信できます。また、他の Amazon Managed Grafana アクションを実行できなくなります。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "AWSGrafanaPermissions", "Effect": "Allow", "Action": [ "grafana:DescribeWorkspace", "grafana:UpdatePermissions", "grafana:ListPermissions", "grafana:ListWorkspaces" ], "Resource": "arn:aws:grafana:*:*:/workspaces*", "Principal": { "AWS": [ "arn:aws:iam::111122223333:root" ] } } ] }
Grafana の VPC エンドポイントポリシーを編集するには
-
[VPC console]
で Amazon VPC コンソールを開きます。 -
ナビゲーションペインで、[エンドポイント] を選択します。
-
エンドポイントをまだ作成していない場合は、[Create Endpoin] (エンドポイントの作成) を選択します。
-
com.amazonaws.
エンドポイントを選択し、[Policy] (ポリシー) タブを選択します。region
.grafana -
[ポリシーの編集] を選択し、変更を加えます。