VPC への Amazon AppStream 2.0 接続

ネットワークリソースとインターネットへの AppStream 2.0 接続を有効にするには、ストリーミングインスタンスを次のように設定します。

ネットワークインターフェイス

各 AppStream 2.0 ストリーミングインスタンスには、次のネットワークインターフェイスがあります。

• カスタマーネットワークインターフェイスは、VPC 内だけでなくインターネットでのリソースへの接続を提供し、ストリーミングインスタンスをディレクトリに結合するために使用されます。

• 管理ネットワークインターフェイスは、安全な AppStream 2.0 管理ネットワークに接続されています。これは、ユーザーのデバイスへのストリーミングインスタンスのインタラクティブストリーミング、および AppStream 2.0 によるストリーミングインスタンスの管理を許可するために使用されます。

AppStream 2.0 は、管理ネットワークインターフェイスの IP アドレスをプライベート IP アドレス範囲 198.19.0.0/16 から選択します。この範囲を VPC CIDR に使用すること、あるいは VPC を他の VPC にこの範囲でピア接続することは避けてください。競合が生じて、ストリーミングインスタンスに接続できなくなることがあります。また、ストリーミングインスタンスに添付しているどのネットワークインターフェイスも編集あるいは削除しないでください。これも、ストリーミングインスタンスの未接続を引き起こす場合があります。

管理ネットワークインターフェイス IP アドレス範囲とポート

管理ネットワークインターフェイス IP アドレス範囲は、198.19.0.0/16 です。次のポートは、すべてのストリーミングインスタンスの管理ネットワークインターフェイスで開いている必要があります。

• ポート 8300 のインバウンド TCP。これはストリーミング接続の確立に使用されます。

• ポート 8000 と 8443 のインバウンド TCP。これらは AppStream 2.0 によるストリーミングインスタンスの管理に使用されます。

• ポート 8300 のインバウンド UDP。これは UDP でのストリーミング接続の確立に使用されます。

管理ネットワークインターフェイスでインバウンドの範囲 198.19.0.0/16 に制限します。

通常の状況では、 AppStream 2.0 はストリーミングインスタンス用にこれらのポートを正しく設定します。これらのいずれかのポートをブロックするセキュリティソフトウェアまたはファイアウォールソフトウェアがストリーミングインスタンスにインストールされている場合、ストリーミングインスタンスは適切に機能することもあれば、アクセスできないこともあります。

IPv6 を無効にしないでください。IPv6 を無効にすると、 AppStream 2.0 は正しく機能しません。Windows 用の IPv6 の設定については、「上級ユーザー向けに Windows で IPv6 を構成するためのガイダンス」を参照してください。

注記

AppStream 2.0 は、VPC 内の DNS サーバーに依存して、存在しないローカルドメイン名に対して存在しないドメイン (NXDOMAIN) レスポンスを返します。これにより、 AppStream 2.0 マネージドネットワークインターフェイスが管理サーバーと通信できるようになります。

Simple AD でディレクトリを作成すると、 はユーザーに代わって DNS サーバーとしても機能する 2 つのドメインコントローラー AWS Directory Service を作成します。ドメインコントローラーは NXDOMAIN レスポンスを提供しないため、 AppStream 2.0 では使用できません。

カスタマーネットワークインターフェイスポート

• インターネット接続の場合、すべての接続先に対して次のポートが開いている必要があります。変更された、またはカスタムセキュリティグループを使用している場合、手動で必須ルールを追加する必要があります。詳細については、Amazon VPC ユーザーガイドの Security Group Rules を参照してください。

  • TCP 80（HTTP）

  • TCP 443（HTTPS）

  • UDP 8433

• ストリーミングインスタンスをディレクトリに結合する場合、 AppStream 2.0 VPC とディレクトリコントローラーの間で次のポートが開いている必要があります。

  • TCP/UDP 53 - DNS

  • TCP/UDP 88 - Kerberos 認証

  • UDP 123 – NTP

  • TCP 135 - RPC

  • UDP 137-138 - Netlogon

  • TCP 139 - Netlogon

  • TCP/UDP 389 - LDAP

  • TCP/UDP 445 - SMB

  • TCP 1024-65535 - RPC 用ダイナミックポート

  ポートの完全なリストについては、Microsoft ドキュメンテーション の「Active Directory および Active Directory ドメインサービスのポート要件」を参照してください。

• すべてのストリーミングインスタンスでは、EC2 メタデータサービスへのアクセスができるようにポート 80（HTTP）が IP アドレス 169.254.169.254 に開放されている必要があります。IP アドレス範囲169.254.0.0/16は、管理トラフィックの AppStream 2.0 サービスの使用のために予約されています。この範囲を除外しないと、ストリーミングの問題が発生する可能性があります。