インターフェイスエンドポイント (AWS PrivateLink) を使用して Amazon Lookout for Vision にアクセスする

AWS PrivateLinkを使用して、VPC と Amazon Lookout for Vision との間でプライベート接続を作成できます。インターネットゲートウェイ、VPN 接続、AWS Direct Connect接続のいずれかを使用せずに、VPC 内にあるかのように Lookout for Vision にアクセスできます。VPC のインスタンスは、パブリック IP アドレスがなくても DeteLookout for Vision にアクセスできます。

このプライベート接続を確立するには、AWS PrivateLink を利用したインターフェイスエンドポイントを作成します。インターフェイスエンドポイントに対して有効にする各サブネットにエンドポイントネットワークインターフェイスを作成します。これらは Lookout for Vision に送信されるトラフィックのエントリポイントとして機能する、リクエスタ管理型のネットワークインターフェイスです。

詳細については、「AWS PrivateLink Guide (AWS PrivateLink ガイド)」の「Access an AWS のサービス using an interface VPC endpoint (インターフェイス VPC エンドポイントを使用して にアクセスする)」を参照してください。

Lookout for Vision VPC エンドポイントに関する考慮事項

Lookout for Vision のインターフェースエンドポイントを設定する前に、AWS PrivateLinkガイドの「考慮事項」を確認してください。

Lookout for Vision は、インターフェイスエンドポイント経由での API アクションのすべてを呼び出すことをサポートしています。

VPC エンドポイントポリシーは、Vision の DeteLookout for Vision ではサポートされていません。デフォルトでは、インターフェイスエンドポイント経由での Lookout for Vision へのフルアクセスが許可されています。または、セキュリティグループをエンドポイントのネットワークインターフェイスに関連付けて、インターフェイスエンドポイントを介した Lookout for Vision へのトラフィックを制御することもできます。

Lookout for Vision 用のインターフェイス VPC エンドポイントの作成

Amazon VPC コンソールまたはAWS Command Line Interface (AWS CLI) を使用して、Lookout for Vision のインターフェイスエンドポイントを作成できます。詳細については、「AWS PrivateLink ガイド」の「インターフェイスエンドポイントの作成」を参照してください。

以下のサービス名を使用して、Lookout for Vision のインターフェイスエンドポイントを作成します。

com.amazonaws.region.lookoutvision

インターフェイスエンドポイントのプライベート DNS を有効にすると、デフォルトのリージョナル DNS 名を使用して Lookout for Vision に API リクエストを実行できます。例えば、lookoutvision.us-east-1.amazonaws.com。

Lookout for Vision 用の VPC エンドポイントポリシーの作成

エンドポイントポリシーは、インターフェイスエンドポイントにアタッチできる IAM リソースです。デフォルトのエンドポイントポリシーでは、インターフェイスエンドポイント経由での Lookout for Vision へのフルアクセスが許可されています。VPC から Lookout for Vision へのアクセス許可をコントロールするには、カスタムエンドポイントポリシーをインターフェイスエンドポイントに添付します。

エンドポイントポリシーは、以下の情報を指定します。

• アクションを実行できるプリンシパル (AWS アカウント、IAM ユーザー、IAM ロール)。

• 実行可能なアクション。

• このアクションを実行できるリソース。

詳細については、「AWS PrivateLink ガイド」の「Control access to services using endpoint policies (エンドポイントポリシーを使用してサービスへのアクセスをコントロールする)」を参照してください。

例: Lookout for Vision アクションの VPC エンドポイントポリシー

Lookout for Vision のカスタムエンドポイントポリシーの例を次に示します。このポリシーをインターフェイスエンドポイントに添付すると、VPC インターフェースエンドポイントにアクセスできるすべてのユーザーが、myModelプロジェクトに関連付けられた Lookout for VisionDetectAnomalies モデルの APImyProject オペレーションを呼び出すことを許可するように指定されます。

{
   "Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "lookoutvision:DetectAnomalies"
         ],
         "Resource": "arn:aws:lookoutvision:us-west-2:123456789012:model/myProject/myModel"
      }
   ]
}