VPC とサブネットへのパブリックアクセスをブロックする
VPC Block Public Access (BPA) は、AWS アカウント全体にわたって VPC リソースへのパブリックインターネットアクセスを防止する一元的なセキュリティ機能です。これにより、セキュリティ要件への準拠が保証されるとともに特定の例外や監査機能に対する柔軟性が提供されます。
VPC BPA 機能には次のモードがあります:
-
[双方向]: このリージョンのインターネットゲートウェイとエグレスのみのインターネットゲートウェイとの間のすべてのトラフィック (除外された VPC とサブネットを除く) がブロックされます。
-
[イングレスのみ]: このリージョンの VPC に対するすべてのインターネットトラフィック (除外される VPC またはサブネットを除く) がブロックされます。NAT ゲートウェイとエグレスのみのインターネットゲートウェイとの間のトラフィックのみが許可されます。なぜなら、これらのゲートウェイはアウトバウンド接続の確立のみを許可するからです。
また、ブロックしないトラフィックのために、この機能で「除外」を作成することもできます。除外は、単一の VPC またはサブネットに適用できるモードであり、アカウントの VPC BPA モードから除外し、双方向または Egress-Only のアクセスを許可します。
除外では、次のいずれかのモードを使用できます:
-
[双方向]: 除外された VPC とサブネットとの間のすべてのインターネットトラフィックが許可されます。
-
[エグレスのみ]: 除外された VPCとサブネットからのアウトバウンドインターネットトラフィックが許可されます。除外された VPC とサブネットに対するインバウンドインターネットトラフィックはブロックされます。これは、VPC BPA が [双方向] に設定されている場合にのみ適用されます。
