インターフェイスVPCエンドポイント AWS Backup を使用したアクセス (AWS PrivateLink）

インターフェイスVPCエンドポイントを作成することで、仮想プライベートクラウド (VPC) と AWS Backup の間にプライベート接続を確立できます。インターフェイスエンドポイントは、インターネットゲートウェイAWS PrivateLink、NATデバイス、VPN接続、または AWS Direct Connect 接続を使用せずに にアクセスできる AWS Backup APIテクノロジーである を搭載しています。のインスタンスは、エンドポイントと AWS Backup API通信するためにパブリック IP アドレスを必要としVPCません。また、インスタンスでは、使用可能な AWS Backup API および Backup ゲートウェイAPIオペレーションを使用するためにパブリック IP アドレスは必要ありません。

詳細については、「 ガイド」の「 AWS のサービス からアクセス AWS PrivateLinkする」を参照してください。 AWS PrivateLink

Amazon VPCエンドポイントに関する考慮事項

リソースの管理に関連するすべての AWS Backup オペレーションは、 VPCを使用して から利用できます AWS PrivateLink。

VPC エンドポイントポリシーは Backup エンドポイントでサポートされています。デフォルトでは、エンドポイント経由でバックアップオペレーションへのフルアクセスが許可されます。または、セキュリティグループをエンドポイントのネットワークインターフェイスに関連付けて、インターフェイスエンドポイント経由での AWS Backup へのトラフィックを制御することもできます。

エンドポイントの作成 AWS Backup VPC

Amazon VPCコンソールまたは AWS Command Line Interface () AWS Backup を使用して VPCエンドポイントを作成できますAWS CLI。詳細については、「AWS PrivateLink ガイド」の「インターフェイスエンドポイントを作成」を参照してください。

サービス名 AWS Backup を使用するVPCエンドポイントを作成しますcom.amazonaws.region.backup。

中国 (北京) リージョンョンおよび中国 (寧夏) リージョンでは、サービス名は cn.com.amazonaws.region.backup でなければなりません。

バックアップゲートウェイエンドポイントの場合は、com.amazonaws.region.backup-gateway を使用してください。

バックアップゲートウェイのVPCエンドポイントを作成するときは、セキュリティグループで次のTCPポートを許可する必要があります。

• TCP 443

• TCP 1026

• TCP 1027

• TCP 1028

• TCP 1031

• TCP 2222

[プロトコル]	ポート	[Direction] (方向)	ソース	デスティネーション	使用方法
TCP	443 (HTTPS）	アウトバウンド	Backup ゲートウェイ	AWS	Backup Gateway から AWS サービスエンドポイントへの通信用

VPC エンドポイントの使用

エンドポイントDNSのプライベートを有効にすると、 などの AWS リージョンのデフォルトDNS名を使用して、VPCエンドポイント AWS Backup を使用して へのAPIリクエストを行うことができますbackup.us-east-1.amazonaws.com。

ただし、中国 (北京) リージョンおよび中国 (寧夏) リージョン では AWS リージョン、backup.cn-northwest-1.amazonaws.com.cnそれぞれ backup.cn-north-1.amazonaws.com.cnと を使用してVPCエンドポイントでAPIリクエストを行う必要があります。

VPC エンドポイントポリシーの作成

Amazon Backup へのアクセスを制御するエンドポイントポリシーをVPCエンドポイントにアタッチできますAPI。このポリシーでは以下の内容を指定します。

• アクションを実行できるプリンシパル。

• 実行可能なアクション。

• このアクションを実行できるリソース。

重要

のインターフェイスVPCエンドポイントにデフォルト以外のポリシーが適用されると AWS Backup、 から失敗したリクエストなどRequestLimitExceeded、失敗した特定のAPIリクエストが AWS CloudTrail または Amazon にログに記録されない可能性があります CloudWatch。

詳細については、AWS PrivateLink ガイドのControl access to services using endpoint policies (エンドポイントポリシーを使用してサービスへのアクセスをコントロールする)を参照してください。

例: AWS Backup アクションのVPCエンドポイントポリシー

以下は、 のエンドポイントポリシーの例です AWS Backup。エンドポイントにアタッチされると、このポリシーは、すべてのリソースのすべての原則についてリストされた AWS Backup アクションへのアクセスを許可します。

{
  "Statement":[
    {
      "Action":"backup:*",
      "Effect":"Allow",
      "Principal":"*",
      "Resource":"*"
    }
  ]
}  

例: 指定された AWS アカウントからのすべてのアクセスを拒否するVPCエンドポイントポリシー

次のVPCエンドポイントポリシーは、 エンドポイントを使用したリソースへの AWS 123456789012すべてのアクセスを拒否します。このポリシーは、他のアカウントからのすべてのアクションを許可します。

{
  "Id":"Policy1645236617225",
  "Version":"2012-10-17",
  "Statement":[
    {
      "Sid":"Stmt1645236612384",
      "Action":"backup:*",
      "Effect":"Deny",
      "Resource":"*",
      "Principal":{
        "AWS":[
          "123456789012"
        ]
      }
    }
  ]
}

利用可能なAPIレスポンスの詳細については、API「 ガイド」を参照してください。

可用性 AWS Backup は現在、次の AWS リージョンのVPCエンドポイントをサポートしています。

• 米国東部 (オハイオ) リージョン

• 米国東部(バージニア州北部) リージョン

• 米国西部 (オレゴン) リージョン

• US West (N. California) リージョン

• アフリカ（ケープタウン）リージョン

• アジアパシフィック (香港) リージョン

• アジアパシフィック (ムンバイ) リージョン

• アジアパシフィック（大阪）リージョン

• Asia Pacific (Seoul) Region

• アジアパシフィック (シンガポール) リージョン

• アジアパシフィック (シドニー) リージョン

• アジアパシフィック (東京) リージョン

• カナダ (中部) リージョン

• Europe (Frankfurt) Region

• 欧州 (アイルランド) リージョン

• 欧州 (ロンドン) リージョン

• 欧州 (パリ) リージョン

• 欧州 (ストックホルム) リージョン

• 欧州（ミラノ）リージョン

• 中東 (バーレーン) リージョン

• 南米 (サンパウロ) リージョン

• アジアパシフィック (ジャカルタ) リージョン

• アジアパシフィック（大阪）リージョン

• 中国 (北京) リージョン

• 中国 (寧夏) リージョン

• AWS GovCloud （米国東部）

• AWS GovCloud （米国西部）

注記

AWS Backup for VMware は、中国リージョン (中国 (北京) リージョンおよび中国 (寧夏) リージョン) またはアジアパシフィック (ジャカルタ) リージョンでは使用できません。