AWS Directory Service を使用した API およびインターフェイス Amazon VPC エンドポイント AWS PrivateLink

PDFRSS

を使用して AWS PrivateLink 、VPC と AWS Directory Service と Directory Service Data APIsの間にプライベート接続を作成できます。これにより、インターネットゲートウェイ、NAT デバイス、VPN 接続、または AWS Direct Connect 接続を使用せずに、VPC 内にあるように、 および AWS Directory Service Directory Service Data APIs にアクセスできます。Amazon VPC のインスタンスは、 AWS Directory Service および Directory Service Data APIs にアクセスするためにパブリック IP アドレスを必要としません。

プライベート接続を確立するには、 AWS PrivateLink を使用するインターフェイス Amazon VPC エンドポイントを作成します。インターフェイスエンドポイントに対して有効にする各サブネットにエンドポイントネットワークインターフェイスを作成します。これらはリクエスタマネージド型のネットワークインターフェイスであり、 AWS Directory Service および AWS Directory Service Data 宛てのトラフィックのエントリポイントとして機能します。

詳細については、「 AWS PrivateLink ガイド」の「 AWS のサービス からアクセス AWS PrivateLinkする」を参照してください。

AWS Directory Service および Directory Service Data に関する考慮事項

AWS Directory Service および Directory Service Data を使用すると、インターフェイスエンドポイントを介して API アクションを呼び出すことができます。インターフェイスエンドポイントを作成する前に考慮すべき前提条件については、「 AWS PrivateLink ガイド」の「インターフェイス Amazon VPC エンドポイント AWS のサービス を使用して にアクセスする」を参照してください。

AWS Directory Service および Directory Service Data Availability

AWS Directory Service は、以下のインターフェイスエンドポイントをサポートしています AWS リージョン。

• 米国東部 (バージニア北部)

• AWS GovCloud (米国東部）

• AWS GovCloud (米国西部）

Directory Service Data は、利用可能なすべての AWS リージョン でインターフェイスエンドポイントをサポートします。 AWS Directory Service と Directory Service Data AWS リージョン をサポートする の詳細については、「 のリージョンの可用性 AWS Directory Service」を参照してください。

AWS Directory Service および Directory Service Data 用のインターフェイス Amazon VPC エンドポイントを作成する

Amazon VPC コンソールまたは AWS Command Line Interface () を使用して、 AWS Directory Service および Directory Service Data APIsのインターフェイスエンドポイントを作成できますAWS CLI。

例: AWS Directory Service

次のサービス名を使用して、 AWS Directory Service APIsのインターフェイスエンドポイントを作成します。

com.amazonaws.region.ds

例: Directory Service データ

以下のサービス名を使用して、Directory Service Data API のインターフェイスエンドポイントを作成します:

com.amazonaws.region.ds-data

インターフェイスエンドポイントの作成の詳細については、「 AWS PrivateLink ガイド」の「インターフェイス Amazon VPC エンドポイント AWS のサービス を使用して にアクセスする」を参照してください。

インターフェイスの Amazon VPC エンドポイントの Amazon VPC エンドポイントポリシーを作成する

エンドポイントポリシーは、インターフェイスエンドポイントに付加できる IAM リソースポリシーです。

注記

エンドポイントポリシーをインターフェイスエンドポイントに付加しない場合、 AWS PrivateLink はユーザーに代わってデフォルトのエンドポイントポリシーをインターフェイスエンドポイントに付加します。詳細については、「AWS PrivateLink の概念」を参照してください。

エンドポイントポリシーは以下の情報を指定します。

• アクションを実行できるプリンシパル (AWS アカウント、IAM ユーザー、IAM ロール)

• 実行可能なアクション

• このアクションを実行できるリソース

詳細については[AWS PrivateLink Guide] (ガイド) の[Control access to services using endpoint policies] (エンドポイントポリシーを使用してサービスへのアクセスをコントロール) を参照してください。

Amazon VPC から API へのアクセスをコントロールするには、カスタムエンドポイントポリシーをインターフェイスエンドポイントに付加します。

例: AWS Directory Service API アクションの Amazon VPC エンドポイントポリシー

以下は、カスタムエンドポイントポリシーの例です。このポリシーをインターフェイスエンドポイントにアタッチすると、すべてのリソースのすべてのプリンシパルに対して、リストされている AWS Directory Service アクションへのアクセスが許可されます。

action-1、action-2、action-3 を、ポリシーに含める AWS Directory Service APIs に必要なアクセス許可に置き換えます。詳細なリストについては、「AWS Directory Service API アクセス許可: アクション、リソース、および条件リファレンス」を参照してください

{
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "ds:action-1",
            "ds:action-2",
            "ds:action-3"
         ],
         "Resource":"*"
      }
   ]
}

例: Directory Service Data API アクションの Amazon VPC エンドポイントポリシー

以下は、カスタムエンドポイントポリシーの例です。インターフェイスエンドポイントに付加されると、このポリシーは、すべてのリソースですべてのプリンシパルに、リストされている Directory Service Data アクションへのアクセス権限を付与します。

action-1、action-2、action-3 を、ポリシーに含める Directory Service Data API に必要なアクセス許可に置き換えます。詳細なリストについては、「AWS Directory Service API アクセス許可: アクション、リソース、および条件リファレンス」を参照してください

{
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "ds-data:action-1",
            "ds-data:action-2",
            "ds-data:action-3"
         ],
         "Resource":"*"
      }
   ]
}