VPC Endpoint / PrivateLink ハンズオン

「VPC」→「エンドポイント」→「エンドポイントを作成」 をクリックします。

「エンドポイントを作成」をクリックします。

選択したルートテーブルを開くと、送信先に pl-xxxxxx（S3 のプレフィックスリスト）、ターゲットに vpce-xxxxxx のルートが自動追加されています。これで S3 宛トラフィックがエンドポイント経由になります。

EC2 コンソールから対象インスタンスを選び 「接続」→「Session Manager」 で接続します（この時点では NAT 経由。ステップ 3 で NAT なしでも接続できるようにします）。

プライベートルートテーブルから NAT への 0.0.0.0/0 ルートを削除します。その状態でも上記の aws s3 ls は成功しますが、curl https://example.com はタイムアウトします。S3 だけがエンドポイント経由で到達できている証拠です。

Session Manager には以下 3 つの Interface Endpoint が必要です。それぞれ「エンドポイントを作成」で作成します。

NAT ルートを外したまま、EC2 に Session Manager で接続できることを確認します。エンドポイントが効いていれば、インターネットに一切出ずに接続できます。

サービス名 com.amazonaws.ap-northeast-1.secretsmanager で Interface Endpoint を作成します（プライベート DNS 有効、同じプライベートサブネット・SG）。

エンドポイントの「ポリシー」タブで、特定のシークレットだけ許可するように制限できます。VPC からアクセスできる範囲をエンドポイント単位で最小化できます。

{
  "Statement": [{
    "Effect": "Allow",
    "Principal": "*",
    "Action": "secretsmanager:GetSecretValue",
    "Resource": "arn:aws:secretsmanager:ap-northeast-1:<AccountId>:secret:handson/*"
  }]
}

sg-endpoint を作成し、インバウンドルールで EC2 の SG からの HTTPS（443）だけを許可します。

各 Interface Endpoint にこの SG を割り当てます。

EC2 の SG を一時的にソースから外すと、エンドポイント経由の API がタイムアウトすることを確認します（443 が届かなくなるため）。確認後は元に戻します。