Amazon Lattice VPC とは

リソース設定は、単一のリソースまたはリソースのグループを表す論理オブジェクトです。リソースには、IP アドレス、ドメイン名ターゲット、または Amazon RDS データベースを使用できます。

リソースゲートウェイは、VPCリソースが存在する への進入ポイントです。

特定のタスクや機能を提供する、独立してデプロイ可能な単位のソフトウェアです。サービスは、アカウントまたは仮想プライベートクラウド () 内のEC2インスタンスまたはECS/EKS/Fargateコンテナで、または Lambda 関数として実行できますVPC。Lattice VPC サービスには、ターゲットグループ、リスナー、ルールのコンポーネントがあります。

アプリケーションまたはサービスを実行するリソース (ターゲットとも呼ばれる) のコレクションです。これらは Elastic Load Balancing が提供するターゲットグループと似ていますが、互換性はありません。サポートされているターゲットタイプには、EC2インスタンス、IP アドレス、Lambda 関数、Application Load Balancer、Amazon ECSタスク、Kubernetes ポッドなどがあります。

接続リクエストをチェックし、ターゲットグループのターゲットにルーティングするプロセスです。リスナーにはプロトコルとポート番号を設定します。

VPC Lattice ターゲットグループのターゲットにリクエストを転送するリスナーのデフォルトコンポーネント。各ルールは優先度、1 つ以上のアクション、および 1 つ以上の条件で構成されています。ルールは、リスナーによるクライアントリクエストのルーティング方法を決定します。

サービスとリソース設定の集合の論理境界。クライアントVPCは、サービスネットワークに関連付けられている 内に存在できます。同じサービスネットワークに関連付けられているクライアントとサービスは、権限があれば、相互に通信できます。

次の図では、 VPCと のサービスは同じサービスネットワークに関連付けられているため、クライアントは両方のサービスと通信できます。

() を通じて所有または共有されているすべての VPC Lattice サービスの中央レジストリ AWS Resource Access Manager AWS RAM。

サービスへのアクセスを定義するために使用できる、きめ細やかな認可ポリシーです。個別の認証ポリシーを個々のサービスまたはサービスネットワークにアタッチできます。例えば、EC2インスタンスの Auto Scaling グループで実行されている支払いサービスが、 で実行されている請求サービスとやり取りする方法に関するポリシーを作成できます AWS Lambda。

認証ポリシーはリソース設定ではサポートされていません。サービスネットワークの認証ポリシーは、サービスネットワークのリソース設定には適用されません。

サービスネットワークVPCsに関連付けられている のすべてのクライアントとサービスは、同じサービスネットワーク内の他のサービスと通信できます。 は client-to-service、Lattice エンドポイントを介して と VPC service-to-serviceトラフィックをDNSルーティングします。クライアントがサービスにリクエストを送信する場合、サービスDNSの名前を使用します。Route 53 Resolver はトラフィックを Lattice VPC に送信し、Lattice は送信先サービスを識別します。

Client-to-service と client-to-resource の接続は、ネットワークインフラストラクチャ内で確立されます AWS 。VPC をサービスネットワークに関連付けると、 内の任意のクライアントは、必要なアクセス権があれば、サービスネットワーク内の サービスとリソースに (リソース設定を通じて) 接続VPCできます。

VPC エンドポイント ( を使用) VPCを使用して、 からサービスネットワークへの接続を有効にできます AWS PrivateLink。サービスネットワークタイプのVPCエンドポイントを使用すると、Direct Connect および 経由でオンプレミスネットワークからサービスネットワーク内のサービスとリソースへのアクセスを有効にできますVPN。VPC ピアリングを通過するトラフィック、またはVPCエンドポイント経由でリソースやサービスにアクセス AWS Transit Gateway できるトラフィック。

VPC Lattice は、サービスネットワークを通過する各リクエストとレスポンスのメトリクスとログを生成し、アプリケーションのモニタリングとトラブルシューティングに役立ちます。デフォルトでは、メトリクスはサービス所有者アカウントに発行されます。サービス所有者とリソース所有者は、ログ記録を有効にし、サービスネットワークVPCsに接続されている のクライアントからサービスとリソースaccess/requests to their services and resources. Service network owners can also turn on logging on the service network, to log all access/requestsへのすべてのクライアントのログを受け取ることができます。

VPC Lattice は、 Amazon CloudWatch ロググループ、Firehose 配信ストリーム、Amazon S3 バケットなどのサービスのモニタリングとトラブルシューティングに役立つツールと連携します。

VPC Lattice は、ネットワークの複数のレイヤーで防御戦略を実装するために使用できるフレームワークを提供します。最初のレイヤーは、サービス、リソース設定、VPC関連付け、およびサービスネットワークタイプのVPCエンドポイントの組み合わせです。VPC とサービス関連付け、またはサービスネットワークタイプのVPCエンドポイントがないと、クライアントは サービスにアクセスできません。同様に、 VPCとリソース設定、サービス関連付け、またはサービスネットワークタイプのVPCエンドポイントがないと、クライアントはリソースにアクセスできません。

2 番目のレイヤーでは、ユーザーは VPCとサービスネットワーク間の関連付けにセキュリティグループをアタッチできます。3 番目と 4 番目のレイヤーは認証ポリシーで、サービスネットワークレベルおよびサービスレベルで個別に適用できます。