AWS Private CA VPC エンドポイント (AWS PrivateLink）

インターフェイス VPC エンドポイントを設定 AWS Private CA することで、VPC と の間にプライベート接続を作成できます。インターフェイスエンドポイントはAWS PrivateLink、 AWS Private CA API オペレーションにプライベートにアクセスするためのテクノロジーである を利用しています。 は、VPC と Amazon ネットワーク間のすべてのネットワークトラフィックを AWS PrivateLink ルーティングし AWS Private CA 、オープンインターネットでの露出を回避します。各 VPC エンドポイントは、VPC サブネット内の 1 つ以上の Elastic Network Interface とプライベート IP アドレスで表されます。

インターフェイス VPC エンドポイントは、インターネットゲートウェイ、NAT デバイス、VPN 接続、または AWS Direct Connect 接続 AWS Private CA なしで、VPC を直接 に接続します。VPC のインスタンスは、パブリック IP アドレスがなくても AWS Private CA API と通信できます。

VPC AWS Private CA 経由で を使用するには、VPC 内のインスタンスから接続する必要があります。または、 AWS Virtual Private Network （AWS VPN) または を使用して、プライベートネットワークを VPC に接続することもできます AWS Direct Connect。詳細については AWS VPN、「Amazon VPC ユーザーガイド」の「VPN 接続」を参照してください。詳細については AWS Direct Connect、「 AWS Direct Connect ユーザーガイド」の「接続の作成」を参照してください。

AWS Private CA は を使用する必要はありませんが AWS PrivateLink、追加のセキュリティレイヤーとしてお勧めします。 AWS PrivateLink および VPC エンドポイントの詳細については、「 を介した サービスへのアクセス AWS PrivateLink」を参照してください。

AWS Private CA VPC エンドポイントに関する考慮事項

のインターフェイス VPC エンドポイントを設定する前に AWS Private CA、次の考慮事項に注意してください。

AWS Private CA API は現在、以下の VPC エンドポイントをサポートしています AWS リージョン。

AWS Private CA用の VPC エンドポイントの作成

AWS Private CA サービスの VPC エンドポイントは、https://console.aws.amazon.com/vpc/ の VPC コンソールまたは を使用して作成できます AWS Command Line Interface。詳細については、「Amazon VPC ユーザーガイド」の「インターフェイスエンドポイントの作成」の手順を参照してください。 は、VPC 内のすべての API オペレーションの呼び出し AWS Private CA をサポートしています。

エンドポイントのプライベート DNS ホスト名を有効にすると、デフォルトの AWS Private CA エンドポイントはお客様の VPC エンドポイントに解決されます。デフォルトのサービスエンドポイントの詳しい一覧については、「サービスエンドポイントとクォータ」を参照してください。

プライベート DNS ホスト名を有効にしていない場合、Amazon VPC は次の形式で使用できる DNS エンドポイント名を提供します。

vpc-endpoint-id.acm-pca.region.vpce.amazonaws.com

詳細については、「Amazon AWS Private CA VPC ユーザーガイド」の「VPC エンドポイント (AWS PrivateLink）」を参照してください。

AWS Private CA用の VPC エンドポイントポリシーを作成する

の Amazon VPC エンドポイントのポリシーを作成して AWS Private CA 、以下を指定できます。

詳細については、Amazon VPC ユーザーガイドの「VPC エンドポイントによるサービスのアクセスコントロール」を参照してください。

例 – AWS Private CA アクションの VPC エンドポイントポリシー

エンドポイントにアタッチされると、次のポリシーにより、すべてのプリンシパルに AWS Private CA アクション IssueCertificate、、DescribeCertificateAuthority、GetCertificateGetCertificateAuthorityCertificate、ListPermissions、および へのアクセスが許可されますListTags。各スタンザのリソースはプライベート CA です。最初のスタンザは、指定されたプライベート CA と証明書テンプレートを使用して、エンドエンティティ証明書の作成を許可します。使用するテンプレートを制御しない場合、Condition セクションは必要ありません。ただし、これを削除すると、すべてのプリンシパルが CA 認定とエンドエンティティ証明書を交付できるようになります。

{
      "Statement":[
         {
            "Principal":"*",
            "Effect":"Allow",
            "Action":[
               "acm-pca:IssueCertificate"
            ],
            "Resource":[
               "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
            ],
            "Condition":{
               "StringEquals":{
                  "acm-pca:TemplateArn":"arn:aws:acm-pca:::template/EndEntityCertificate/V1"
               }
            }
         },
         {
            "Principal":"*",
            "Effect":"Allow",
            "Action":[
               "acm-pca:DescribeCertificateAuthority",
               "acm-pca:GetCertificate",
               "acm-pca:GetCertificateAuthorityCertificate",
               "acm-pca:ListPermissions",
               "acm-pca:ListTags"
            ],
            "Resource":[
               "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566"
            ]
         }
      ]
   }