S3 Vectors の VPC エンドポイント

仮想プライベートクラウド (VPC) から S3 Vectors にアクセスするために、Amazon S3 は AWS PrivateLink (PrivateLink) を使用したインターフェイス VPC エンドポイントをサポートします。PrivateLink は、インターネットゲートウェイや NAT デバイスを必要とすることなく、VPC と S3 Vectors 間のプライベート接続を提供します。インターフェイスエンドポイントは、VPC 内のサブネットからプライベート IP アドレスが割り当てられた 1 つ以上の Elastic Network Interface (ENI) で表されます。インターフェイスエンドポイントを介した S3 Vectors へのリクエストは、AWS ネットワークに残ります。

AWS Direct Connect または AWS Virtual Private Network (AWS VPN) を通じて、オンプレミスのアプリケーションから VPC 内のインターフェイスエンドポイントにアクセスすることもできます。VPC をオンプレミスネットワークに接続する方法の詳細については、「AWS Direct Connect ユーザーガイド」および「AWS Site-to-Site VPN ユーザーガイド」を参照してください。インターフェイスエンドポイントに関する一般的な情報については、「AWS PrivateLink ユーザーガイド」の「インターフェイス VPC エンドポイントを使用して AWS サービスにアクセスする」を参照してください。

S3 Vectors で PrivateLink を使用する利点

S3 Vectors で PrivateLink を使用すると、いくつかのセキュリティと運用上の利点があります。

VPC エンドポイントの DNS 名と解決

VPC エンドポイントを作成すると、S3 Vectors はエンドポイント固有の 2 つのタイプの DNS 名 (リージョンおよびゾーン) を生成します。

S3 Vectors のインターフェイス VPC エンドポイントのリージョン別およびゾーン別 DNS 名は次のとおりです。

VPC エンドポイントに対してプライベート DNS が有効になっている場合は、パブリックエンドポイント s3vectors.region.api.aws の DNS 名をエンドポイントサービスのプライベート DNS 名として使用することもできます。

インターフェイスエンドポイントの IP アドレス指定

S3 Vectors のリージョン、ゾーン、プライベート DNS エンドポイントは、AWS PrivateLink の IPv4, IPv6、およびデュアルスタック IP タイプをサポートします。詳細については、「AWS PrivateLink ガイド」の「IP アドレスタイプ」と「AWS サービスの DNS レコード IP タイプ」を参照してください。

VPC 内で IPv6 経由で S3 Vectors ベクトルインデックスおよびベクトルバケットにアクセスを試行する前に、以下の点について知っておく必要があります。

S3 Vectors 用のVPC インターフェイスエンドポイントの作成

VPC コンソール、AWS CLI、AWS SDK、または AWS API を使用して、S3 Vectors の VPC インターフェイスエンドポイントを作成できます。

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-12345678 \
    --service-name com.amazonaws.region.s3vectors \
    --vpc-endpoint-type Interface \
    --subnet-ids subnet-12345678 subnet-87654321 \
    --security-group-ids sg-12345678 \
    --ip-address-type dualstack \
    --private-dns-enabled

VPC エンドポイントの作成の詳細については、「VPC ユーザーガイド」の「VPC エンドポイントの作成」を参照してください。

S3 Vectors の VPC エンドポイントポリシー

リソースベースのポリシーと同様に、VPC エンドポイントにエンドポイントポリシーをアタッチして、ベクトルインデックスとベクトルバケットへのアクセスを制御できます。エンドポイントポリシーの詳細については、「AWS PrivateLink ガイド」の「エンドポイントポリシーを使用して VPC エンドポイントへのアクセスを制御する」を参照してください。

例 VPC エンドポイントポリシー

次の VPC エンドポイントポリシーの例では、すべてのプリンシパルのすべての S3 Vectors オペレーションへのアクセスを許可します。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:*"
      ],
      "Resource": "*"
    }
  ]
}

次のVPC エンドポイントポリシーの例では、特定のベクトルバケットへのアクセスを制限します。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:GetVectorBucket",
        "s3vectors:ListIndexes",
        "s3vectors:GetIndex",
        "s3vectors:QueryVectors",
        "s3vectors:GetVectors"
      ],
      "Resource": [
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket/*"
      ]
    }
  ]
}

次の VPC エンドポイントポリシーの例では、aws:CurrentTime 条件キーを使用して営業時間内にのみアクセスを許可します。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3vectors:*",
      "Resource": "*",
      "Condition": {
        "DateGreaterThan": {
          "aws:CurrentTime": "08:00Z"
        },
        "DateLessThan": {
          "aws:CurrentTime": "18:00Z"
        }
      }
    }
  ]
}

VPC エンドポイント用の S3 Vectors クライアントの設定

S3 Vectors で VPC エンドポイントを使用する場合、サービス DNS 名または VPC エンドポイント DNS 名を使用するように S3 Vectors クライアントを設定できます。

VPC エンドポイントのトラブルシューティング

インターフェイス VPC エンドポイントで問題が発生した場合は、次のトラブルシューティング手順を検討してください。

VPC エンドポイントの使用状況のモニタリング

CloudTrail NetworkActivity イベントログを使用して、S3 Vectors VPC エンドポイントの使用状況をモニタリングできます。

S3 Vectors ログ作成の詳細については、「S3 Vectors の AWS CloudTrail を使用したログ記録」を参照してください。