EventBridge APIs への接続

プライベート HTTPS エンドポイントへの接続を作成して、パブリックインターネットを経由することなくVPCs またはオンプレミスのリソースへの安全なpoint-to-pointネットワークアクセスを提供できます。例えば、Amazon Elastic Load Balancer の背後にある HTTPS ベースのアプリケーションにアクセスするための接続を作成できます。

EventBridge は、VPC Lattice で作成されたリソース設定を利用して、プライベート HTTPS エンドポイントへの接続を作成します。リソース設定は、リソースを識別し、そのリソースにアクセスする方法とユーザーを指定する論理オブジェクトです。EventBridge でプライベート API への接続を作成するには、プライベート API のリソース設定を指定します。詳細については、「Amazon VPC Lattice ユーザーガイド」の「VPC Lattice のリソース設定」を参照してください。

その後、EventBridge はEventBridge がプライベート API にアクセスできるようにするリソースの関連付けを作成します。詳細については、「Amazon VPC Lattice ユーザーガイド」の「リソースの関連付けを管理する」を参照してください。

EventBridge はリソースの関連付けを管理している間、認証情報を使用して関連付けを作成するため、リソースの関連付けオペレーションを可視化できます。

他の AWS アカウントのプライベート APIs にアクセスする接続を作成できます。詳細については、「クロスアカウントプライベート APIs」を参照してください。

プライベート APIs に接続するためのアクセス許可

次のポリシー例には、プライベート API への接続を作成するために必要な最小限のアクセス許可が含まれています。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "vpc-lattice:CreateServiceNetworkResourceAssociation",
                "vpc-lattice:GetResourceConfiguration",
                "vpc-lattice:AssociateViaAWSService-EventsAndStates",
                "events:CreateConnection"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        }
    ]
}

次のポリシー例には、プライベート API への接続を更新するために必要な最小限のアクセス許可が含まれています。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "vpc-lattice:CreateServiceNetworkResourceAssociation",
                "vpc-lattice:GetResourceConfiguration",               
                "vpc-lattice:AssociateViaAWSService-EventsAndStates",
                "events:UpdateConnection"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        }
    ]
}

プライベート APIs への接続の作成のモニタリング

プライベート API への接続を作成すると、次のログが生成されます。

接続が作成されたアカウントで、 AWS CloudTrail はCreateServiceNetworkResourceAssociationイベントを記録します。

このログでは、sourceIPAddress、、 userAgentserviceNetworkIdentifierは EventBridge サービスプリンシパル に設定されますevents.amazonaws.com。

{
  "eventTime": "2024-11-21T00:00:00Z",
  "eventSource": "vpc-lattice.amazonaws.com",
  "eventName": "CreateServiceNetworkResourceAssociation",
  "awsRegion": "region",
  "sourceIPAddress": "events.amazonaws.com", 
  "userAgent": "events.amazonaws.com",
  "requestParameters": {
    "x-amzn-vpc-lattice-association-source-arn": "***",
    "x-amzn-vpc-lattice-service-network-identifier": "***",
    "clientToken": "token",
    "serviceNetworkIdentifier": "events.amazonaws.com",
    "resourceConfigurationIdentifier": "arn:partition:vpc-lattice:region:account-id:resourceconfiguration/resource-configuration-id",
    "tags": {
        "ManagedByServiceAWSEventBridge": "account-id:connection-name"
    }
}

プライベート API を含むアカウントで、 はCreateServiceNetworkResourceAssociationByShareeイベントを AWS CloudTrail ログに記録します。

このログには以下が含まれます。

• callerAccountId: 接続が作成された AWS アカウント

• accountId: プライベート API を含む AWS アカウント。

• resource-configuration-arn: プライベート API の VPC Lattice リソース設定。

{
  "eventTime": "2024-11-21T06:31:42Z",
  "eventSource": "vpc-lattice.amazonaws.com",
  "eventName": "CreateServiceNetworkResourceAssociationBySharee",
  "awsRegion": "region",
  "sourceIPAddress": "vpc-lattice.amazonaws.com",
  "userAgent": "user-agent",
  "additionalEventData": {
      "callerAccountId": "consumer-account-id"
  },
  "resources": [
      {
          "accountId": "provider-account-id",
          "type": "AWS::VpcLattice::ServiceNetworkResourceAssociation",
          "ARN": "resource-configuration-arn"
      }
  ]
}

プライベート APIs へのクロスアカウント接続の場合、接続を含むアカウントは、プライベート API の呼び出しに対して AWS CloudTrail または VPC Lattice ログを受信しません。

接続のサービスネットワークリソースの関連付けの管理

接続するプライベート API の VPC Lattice リソース設定を指定すると、EventBridge は、VPC Lattice リソース設定と EventBridge サービスが所有する VPC Lattice サービスネットワークとの間にリソース関連付けを作成して接続を有効にします。EventBridge はリソースの関連付けを管理している間、認証情報を使用して関連付けを作成するため、リソースの関連付けを可視化できます。つまり、リソースの関連付けを一覧表示して記述できます。

describe-connection を使用して、リソース設定の Amazon リソースネーム (ARNs) とリソースの関連付けを含む接続の説明を返します。

EventBridge によって作成されたリソースの関連付けを削除することはできません。接続を削除すると、EventBridge は対応するリソースの関連付けを削除します。

詳細については、「Amazon VPC Lattice ユーザーガイド」の「リソースの関連付けを管理する」を参照してください。

オンプレミスのプライベート APIs への接続

AWS PrivateLink および VPC Lattice を介した VPC リソースへのアクセスを使用して、オンプレミスのプライベート APIs に接続できます。そのためには、VPC とオンプレミス環境間のネットワークルートを設定する必要があります。たとえば、 AWS Direct Connectまたは AWS Site-to-Site VPN を使用して、このようなルートを確立できます。