【AWS】VPCエンドポイントとは？種類・使い方・S3連携まで完全解説
生徒
「先生、AWSのVPCエンドポイントって何に使うんですか？聞いたことはあるんですが、よく分かっていません…」
先生
「VPCエンドポイントは、インターネットを経由せずにAWSのサービスにアクセスするための機能なんです。セキュリティ向上やコスト削減に役立ちますよ。」
生徒
「インターネットを通らずにS3とかにアクセスできるってことですか？」
先生
「その通り。S3やDynamoDBと連携することが多いですね。では、VPCエンドポイントの仕組みや種類、設定方法を学んでいきましょう！」
1. VPCエンドポイントとは？
VPCエンドポイントとは、AWSのVPC（Virtual Private Cloud）からインターネットを介さずにAWSサービスへアクセスできる仕組みです。 セキュリティの向上とネットワーク通信コストの削減に貢献します。
たとえば、EC2からS3バケットにアクセスする場合、通常はインターネットゲートウェイやNAT Gatewayを通る必要があります。 しかし、VPCエンドポイントを使えば、VPC内から直接アクセス可能になります。
2. VPCエンドポイントの2種類
VPCエンドポイントには以下の2種類があります。
- インターフェース型（Interface Endpoint）： ENI（Elastic Network Interface）を使ってプライベートIPでサービスへ接続
- ゲートウェイ型（Gateway Endpoint）： S3やDynamoDBに特化。ルートテーブルにルートを追加して使用
それぞれ使い方や用途が異なるため、目的に応じて選ぶ必要があります。
3. インターフェース型VPCエンドポイントの使い方
インターフェース型エンドポイントは、CloudWatch Logs、SNS、SSMなど様々なAWSサービスに接続する場合に使用されます。 プライベートなENI（Elastic Network Interface）がVPC内に作成されます。
インターフェース型エンドポイントの作成手順は以下の通りです。
- VPCダッシュボードを開く
- 「エンドポイント」メニューから「エンドポイントの作成」を選択
- サービスカテゴリから「AWSサービス」を選択
- 例：「com.amazonaws.ap-northeast-1.ssm」などを選ぶ
- VPCとサブネット、セキュリティグループを指定
- 作成を完了
4. ゲートウェイ型VPCエンドポイントの使い方（S3連携）
ゲートウェイ型エンドポイントは、S3やDynamoDBのような一部サービスに対して使われます。代表的な用途は、S3へのアクセスをセキュアにすることです。
例えば、EC2からS3にファイルをアップロードしたい場合、ゲートウェイエンドポイントを使えばインターネットを通らずアクセスできます。
設定手順は以下の通りです。
- VPCダッシュボードで「エンドポイント」を選択
- 「エンドポイントの作成」をクリック
- サービス名：com.amazonaws.region.s3
- タイプ：「ゲートウェイ」を選択
- 対象VPCとルートテーブルを指定
- 「エンドポイントの作成」を完了
<RouteTable>
<Route destination="com.amazonaws.ap-northeast-1.s3" target="vpce-xxxxxxxx" />
</RouteTable>
5. VPCエンドポイントを利用するメリット
- セキュリティ強化： インターネットを経由しないので安全
- コスト削減： NAT Gatewayのトラフィック料金が不要に
- 通信の安定性： AWS内部ネットワークを利用するため高速かつ信頼性が高い
- S3バケットポリシーとの連携： 特定のVPCエンドポイントからのみアクセス許可なども可能
6. S3とVPCエンドポイントのアクセス制限設定
ゲートウェイ型VPCエンドポイントを使うことで、S3バケット側でアクセス元を制限することができます。
以下は、特定のVPCエンドポイントからのみアクセスを許可するS3バケットポリシーの例です。
{
"Version": "2012-10-17",
"Statement": [
{
"Principal": "*",
"Effect": "Deny",
"Action": "s3:*",
"Resource": [
"arn:aws:s3:::my-bucket",
"arn:aws:s3:::my-bucket/*"
],
"Condition": {
"StringNotEquals": {
"aws:SourceVpce": "vpce-abc123"
}
}
}
]
}
これにより、他のアクセス手段を遮断し、安全なS3アクセス制御が可能になります。
7. よくある質問と注意点
- Q. インターフェース型とゲートウェイ型、どっちを使えばいい？
→ S3やDynamoDBならゲートウェイ型、それ以外のサービスならインターフェース型を選びます。 - Q. セキュリティグループの設定を忘れて接続できない
→ インターフェース型はENIが作成されるので、セキュリティグループ設定が必要です。 - Q. 料金は発生する？
→ ゲートウェイ型は無料。インターフェース型は通信量とENI分の料金が発生します。
VPCエンドポイントはAWSセキュリティ設計やコスト最適化の鍵となる要素です。
8. まとめ
この記事では、AWSのVPCエンドポイントとは何かという基本的な疑問から、 インターフェース型とゲートウェイ型の違い、S3との連携方法までを初心者向けに丁寧に解説しました。 VPCエンドポイントは、セキュリティ向上・通信コスト削減・ネットワーク構成の柔軟性向上に大きく貢献する重要な機能です。
特にS3へのセキュアなアクセスをVPCから実現できるゲートウェイ型エンドポイントは、多くの構成で使われています。 インターフェース型は、SSMやSNSなど多様なAWSサービスとの接続に利用され、セキュアな内部通信の要になります。
どちらを使うべきかは用途によって異なりますが、共通して言えるのは、インターネットを経由せずにAWSサービスへアクセスできるという点です。 これにより、セキュリティレベルが一段階向上し、ネットワークトラフィックの最適化にもつながります。
以下は、S3へのアクセスをVPCエンドポイント経由に限定するバケットポリシーの例です。 セキュリティを強化したい方はぜひ参考にしてください。
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Principal": "*",
"Action": "s3:*",
"Resource": [
"arn:aws:s3:::my-secure-bucket",
"arn:aws:s3:::my-secure-bucket/*"
],
"Condition": {
"StringNotEquals": {
"aws:SourceVpce": "vpce-1234567890abcdef"
}
}
}
]
}
AWS初心者にとっては、最初は「VPCエンドポイントって何？」と戸惑うかもしれませんが、 今回学んだことをベースに構成を実際に組んでみることで、より深い理解が得られます。 「VPCエンドポイント とは」「AWS S3 エンドポイント 設定」「ゲートウェイ型 インターフェース型 違い」「VPC セキュリティ強化」などの検索キーワードで情報収集する方々にとって、 本記事が手順や設計の参考になれば幸いです。
生徒
「VPCエンドポイントって聞いたときは難しそうでしたけど、使い分けやメリットがよく分かりました！」
先生
「そうですね。特にS3へのアクセスでゲートウェイ型を使えば、セキュリティも通信コストも改善できますよ。」
生徒
「あと、インターフェース型のエンドポイントにはセキュリティグループの設定が必要なんですね。そこも大事なポイントですね。」
先生
「そのとおりです。ENIを使って内部に接続されるため、セキュリティ設定を疎かにしないことが大切です。」
生徒
「次は実際にVPCエンドポイントを作って、S3と接続してみたいと思います！」
先生
「素晴らしい意欲ですね。実際に手を動かすことで、ネットワークの理解は一段と深まりますよ。」
この記事を読んだ人からの質問
