View a markdown version of this page

Amazon Chime SDK 用AWS PrivateLink - Amazon Chime SDK
考慮事項インターフェイスエンドポイントの作成プライベート DNSVPC エンドポイントポリシーの作成

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Chime SDK 用AWS PrivateLink

AWS PrivateLink を使用すると、インターフェイス仮想プライベートクラウド (VPC) エンドポイントを作成して、VPC から直接 Amazon Chime SDK Voice、Amazon Chime SDK Meetings、Amazon Chime SDK Messaging、Amazon Chime SDK Identity、Amazon Chime SDK Media Pipelines APIsにアクセスできます。インターフェイスエンドポイントを使用する場合、VPC とこれらのサービス間のトラフィックは AWS ネットワーク内にとどまり、パブリックインターネットを経由しません。

インターフェイスエンドポイントは AWS PrivateLink を利用しており、プライベート IP アドレスを使用して Amazon Chime SDK APIsへのプライベート接続を可能にします。インターネットゲートウェイ、NAT デバイス、VPN 接続、または AWS Direct Connect 接続は必要ありません。 AWS PrivateLink の詳細については、AWS 「 PrivateLink ガイド」を参照してください。

考慮事項

  • インターフェイスエンドポイントは API リクエストのみをルーティングします。次のタイプのトラフィックは PrivateLink をサポートしていません。

    • PSTN オーディオストリームとメディアストリーム (Amazon Chime SDK Voice)

    • Voice Connector の SIP シグナリングとメディア (Amazon Chime SDK Voice)

    • 音声やビデオを含む会議メディア (Amazon Chime SDK 会議)

    • リアルタイムメッセージング用の WebSocket 接続 (Amazon Chime SDK Messaging)

    • 会議メディアキャプチャとライブストリーミング (Amazon Chime SDK Media Pipelines)

  • Voice Connector との間の SIP トラフィックは、直接 IP 接続を使用し、インターフェイスエンドポイントを経由しません。

  • インターフェイスエンドポイントを使用すると、VPC からのすべての API コールがエンドポイントを通過します。これは、音声コネクタの作成 AWS CLI、会議の開始、メッセージの送信、メディアパイプラインの管理などの AWS SDK または で行われた呼び出しに適用されます。

  • インターフェイスエンドポイントは、IPv4 トラフィックと IPv6 (デュアルスタック) トラフィックの両方をサポートします。

  • インターフェイスエンドポイントは VPC エンドポイントポリシーをサポートします。エンドポイントポリシーを使用して、エンドポイントを使用できるプリンシパルと実行できる API アクションを制御できます。

  • PrivateLink 経由の FIPS エンドポイントは、次のリージョンで使用できます。

    リージョン 音声 会議 メッセージング アイデンティティ メディアパイプライン
    米国東部 (バージニア北部) はい はい はい はい あり
    米国西部 (オレゴン) はい はい あり
    カナダ (中部) はい はい はい
    AWS GovCloud (米国東部) はい
    AWS GovCloud (米国西部) はい

  • In AWS GovCloud (米国) リージョン、インターフェイスエンドポイントはデフォルトで FIPS を使用し、IAM ポリシーはaws-us-govパーティションを使用します。

インターフェイスエンドポイントの作成

Amazon VPC コンソールまたは を使用して、Amazon Chime SDK サービスのインターフェイスエンドポイントを作成できます AWS Command Line Interface。エンドポイントの作成の詳細については、AWS 「 PrivateLink ガイド」の「VPC エンドポイントの作成」を参照してください。

次のいずれかのサービス名を使用してインターフェイスエンドポイントを作成します。

com.amazonaws.region.chime-sdk-voice
com.amazonaws.region.meetings-chime
com.amazonaws.region.messaging-chime
com.amazonaws.region.identity-chime
com.amazonaws.region.media-pipelines-chime

次の例では AWS CLI 、 を使用して Amazon Chime SDK ミーティングのインターフェイスエンドポイントを作成します。別のサービスのエンドポイントを作成するには、それに応じてサービス名を置き換えます (com.amazonaws.us-east-1.chime-sdk-voiceVoice の場合など）。

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-1a2b3c4d \
    --vpc-endpoint-type Interface \
    --service-name com.amazonaws.us-east-1.meetings-chime \
    --subnet-ids subnet-abababab \
    --security-group-ids sg-1a2b3c4d

プライベート DNS

プライベート DNS を有効にしてインターフェイスエンドポイントを作成する場合、次のエンドポイント DNS 名を使用して Amazon Chime SDK サービスに API リクエストを行うことができます。

Amazon Chime SDK Voice

  • voice-chime.region.amazonaws.com

  • voice-chime.region.api.aws

Amazon Chime SDK 会議

  • meetings-chime.region.amazonaws.com

  • meetings-chime.region.api.aws

Amazon Chime SDK メッセージング

  • messaging-chime.region.amazonaws.com

  • messaging-chime.region.api.aws

Amazon Chime SDK Identity

  • identity-chime.region.amazonaws.com

  • identity-chime.region.api.aws

Amazon Chime SDK メディアパイプライン

  • media-pipelines-chime.region.amazonaws.com

  • media-pipelines-chime.region.api.aws

プライベート DNS を有効にすると、アプリケーションコードや SDK 設定を変更する必要はありません。標準の Amazon Chime SDK エンドポイントへのリクエストは、インターフェイスエンドポイントを介して自動的にルーティングされます。

プライベート DNS の詳細については、「 PrivateLink ガイド」の「プライベート DNSAWS PrivateLink」を参照してください。

FIPS エンドポイント

Amazon Chime SDK Voice FIPS エンドポイントは、米国東部 (バージニア北部）、米国西部 (オレゴン）、カナダ (中部) で利用できます。

  • voice-chime-fips.region.amazonaws.com

  • voice-chime-fips.region.api.aws

Amazon Chime SDK Meetings FIPS エンドポイントは、米国東部 (バージニア北部）、米国西部 (オレゴン）、カナダ (中部）、 AWS GovCloud (米国東部）、 AWS GovCloud (米国西部) で利用できます。

  • meetings-chime-fips.region.amazonaws.com

  • meetings-chime-fips.region.api.aws

Amazon Chime SDK Messaging FIPS エンドポイントは、米国東部 (バージニア北部) で利用できます。

  • messaging-chime-fips.region.amazonaws.com

  • messaging-chime-fips.region.api.aws

Amazon Chime SDK Identity FIPS エンドポイントは、米国東部 (バージニア北部) で利用できます。

  • identity-chime-fips.region.amazonaws.com

  • identity-chime-fips.region.api.aws

Amazon Chime SDK Media Pipelines FIPS エンドポイントは、米国東部 (バージニア北部）、米国西部 (オレゴン）、カナダ (中部) で利用できます。

  • media-pipelines-chime-fips.region.amazonaws.com

  • media-pipelines-chime-fips.region.api.aws

VPC エンドポイントポリシーの作成

VPC エンドポイントポリシーをアタッチして、エンドポイントを介した Amazon Chime SDK APIsへのアクセスを制御できます。本ポリシーでは、以下を規定します。

  • アクションを実行できるプリンシパル

  • 実行可能なアクション

  • アクションを実行できるリソース

エンドポイントポリシーの詳細については、AWS 「 PrivateLink ガイド」の「VPC エンドポイントポリシー」を参照してください。

例エンドポイントを特定のアクションに制限する

次のエンドポイントポリシーは、すべてのプリンシパルがエンドポイントを介して GetVoiceConnectorおよび ListVoiceConnectors (音声)CreateMeeting、 GetMeeting (会議）、CreateMediaCapturePipelineおよび ListMediaPipelines (メディアパイプライン) を呼び出すことを許可しますが、他のすべてのアクションは拒否します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "chime:GetVoiceConnector",
                "chime:ListVoiceConnectors",
                "chime:CreateMeeting",
                "chime:GetMeeting",
                "chime:CreateMediaCapturePipeline",
                "chime:ListMediaPipelines"
            ],
            "Resource": "*"
        }
    ]
}
例特定の VPC エンドポイントへのアクセスを制限する

次の IAM ポリシーは、リクエストが特定の VPC エンドポイントから発信されない限り、Amazon Chime SDK APIs へのアクセスを拒否します。aws:sourceVpce 条件キーを使用してアクセスを制限します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "chime:*",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:sourceVpce": "vpce-1a2b3c4d"
                }
            }
        }
    ]
}