インターフェイスエンドポイントを使用した CloudFormation へのアクセス (AWS PrivateLink)

AWS PrivateLink を使用して、VPC と CloudFormation の間にプライベート接続を作成できます。インターネットゲートウェイ、NATデバイス、VPN接続、またはDirect Connect接続を使用せずに、VPC内にあるかのようにCloudFormationにアクセスすることができます。VPC のインスタンスは、パブリック IP アドレスがなくても CloudFormation にアクセスできます。

このプライベート接続を確立するには、AWS PrivateLink を利用したインターフェイスエンドポイントを作成します。インターフェイスエンドポイントに対して有効にする各サブネットにエンドポイントネットワークインターフェイスを作成します。これらは、CloudFormation 宛てのトラフィックのエントリポイントとして機能するリクエスタ管理型ネットワークインターフェイスです。

CloudFormation は、インターフェイスエンドポイントを介してすべての API アクションの呼び出しをサポートしています。

CloudFormation VPC エンドポイントに関する考慮事項

インターフェイスエンドポイントを設定する前に、まず、「 AWS PrivateLinkガイド」の「インターフェイス VPC エンドポイントを使用した AWS サービスへのアクセス」で説明されている前提条件を満たしていることを確認してください。

CloudFormation のインターフェイス VPC エンドポイントの作成

CloudFormation 用の VPC エンドポイントは、Amazon VPC コンソールまたは AWS Command Line Interface (AWS CLI) を使用して作成できます。詳細については、「AWS PrivateLink ガイド」の「Create a VPC endpoint」を参照してください。

以下のサービス名を使用して、CloudFormation 用のインターフェース・エンドポイントを作成します。：

インターフェイスエンドポイントのプライベート DNS を有効にすると、リージョンのデフォルト DNS 名を使用して、CloudFormation への API リクエストを実行できます。例えば、cloudformation.us-east-1.amazonaws.com。

FIPS 固有のエンドポイントがサポートされている AWS リージョン では、次のサービス名を使用して CloudFormation のインターフェイスエンドポイントを作成することも可能です。

CloudFormation エンドポイントの完全なリストについては、「Amazon Web Services 全般のリファレンス」の「CloudFormation endpoints and quotas」を参照してください。

CloudFormation 用の VPC エンドポイントポリシーの作成

エンドポイントポリシーは、インターフェイスエンドポイントにアタッチできる IAM リソースです。デフォルトのエンドポイントポリシーでは、インターフェイスエンドポイントを介した CloudFormation へのフルアクセスが許可されています。VPC から CloudFormationに許可されるアクセスを制御するには、カスタム・エンドポイント・ポリシーをインターフェースのエンドポイントにアタッチします。

詳細については、『AWS PrivateLink ガイド』の「Control access to VPC endpoints using endpoint policies (エンドポイントポリシーを使用して VPC エンドポイントへのアクセスをコントロールする)」を参照してください。

例: CloudFormation アクション用の VPC エンドポイントポリシー

以下は、CloudFormation 用のエンドポイントポリシーの例です。エンドポイントにアタッチされると、このポリシーは、すべてのリソースですべてのプリンシパルに、リストされている CloudFormation アクションへのアクセス権を付与します。次の例では、VPC エンドポイントを経由してスタックを作成するアクセス許可をすべてのユーザーに拒否し、CloudFormation サービスの他のすべてのアクションへのフルアクセスを許可します。

{
  "Statement": [
    {
      "Action": "cloudformation:*", 
      "Effect": "Allow", 
      "Principal": "*", 
      "Resource": "*"
    },
    {
      "Action": "cloudformation:CreateStack", 
      "Effect": "Deny", 
      "Principal": "*", 
      "Resource": "*"
    }
  ]
}