インターフェイスエンドポイントを使用して AWS Control Tower にアクセスする (AWS PrivateLink)

AWS PrivateLink を使用して、VPC と AWS Control Tower の間にプライベート接続を作成できます。インターネットゲートウェイ、NAT デバイス、VPN 接続、または Direct Connect 接続を使用せずに、VPC 内にあるかのように AWS Control Tower にアクセスできます。VPC のインスタンスは、パブリック IP アドレスがなくても AWS Control Tower にアクセスできます。

このプライベート接続を確立するには、AWS PrivateLink を利用したインターフェイスエンドポイントを作成します。インターフェイスエンドポイントに対して有効にする各サブネットにエンドポイントネットワークインターフェイスを作成します。これらは、AWS Control Tower 宛てのトラフィックのエントリポイントとして機能するリクエスタ管理型ネットワークインターフェイスです。

詳細については、『AWS PrivateLink ガイド』の「AWS のサービス でアクセスする」を参照してください。

AWS Control Tower に関する考慮事項

AWS Control Tower のインターフェイスエンドポイントを設定する前に、「AWS PrivateLink ガイド」の「考慮事項」を確認してください。

AWS Control Tower は、インターフェイスエンドポイントを介してすべての API アクションの呼び出しをサポートしています。

AWS Control Tower のインターフェイスエンドポイントを作成する

Amazon VPC コンソールまたは AWS Command Line Interface (AWS CLI) を使用して、AWS Control Tower 用のインターフェイスエンドポイントを作成できます。詳細については、「AWS PrivateLink ガイド」の「インターフェイスエンドポイントを作成」を参照してください。

以下のサービス名を使用して、AWS Control Tower のインターフェイスエンドポイントを作成します。

com.amazonaws.region.controltower
com.amazonaws.region.controltower-fips

インターフェイスエンドポイントのプライベート DNS を有効にすると、リージョンのデフォルト DNS 名を使用して、AWS Control Tower への API リクエストを実行できます。例えば、controltower.us-east-1.amazonaws.com。

インターフェイスエンドポイントのエンドポイントポリシーを作成する

エンドポイントポリシーは、インターフェイスエンドポイントにアタッチできる IAM リソースです。デフォルトのエンドポイントポリシーでは、インターフェイスエンドポイント経由での AWS Control Tower へのフルアクセスが許可されています。VPC から AWS Control Tower に許可されるアクセスを制御するには、カスタム・エンドポイント・ポリシーをインターフェースのエンドポイントにアタッチします。

詳細については、AWS PrivateLink ガイドのControl access to services using endpoint policies (エンドポイントポリシーを使用してサービスへのアクセスをコントロールする)を参照してください。

例: AWS Control Tower アクション用の VPC エンドポイントポリシー

以下は、カスタムエンドポイントポリシーの例です。インターフェイスエンドポイントにアタッチされると、このポリシーは、すべてのリソースですべてのプリンシパルに、リストされている AWS Control Tower アクションへのアクセス権を付与します。

{
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "controltower:ListEnabledControls",
            "controltower:ListLandingZones"
         ],
         "Resource":"*"
      }
   ]
}