Amazon OpenSearch Ingestion パイプラインの VPC アクセスの設定

インターフェイス VPC エンドポイントを使用して Amazon OpenSearch Ingestion パイプラインにアクセスできます。VPC は、自分の AWS アカウント 専用の仮想ネットワークです。VPC は、AWS クラウドの他の仮想ネットワークから論理的に切り離されています。VPC エンドポイントを介してパイプラインにアクセスすることで、インターネットゲートウェイや NAT デバイス、または VPN 接続を使わなくても、OpenSearch Ingestion と VPC の他のサービスとの間に安全な通信を確立できます。すべてのトラフィックは AWS クラウド内で安全に保持されます。

OpenSearch Ingestion がこのプライベート接続を確立するには、AWS PrivateLink を利用したインターフェイスエンドポイントを作成します。パイプライン作成中に指定した各サブネットでエンドポイントネットワークインターフェイスを作成します。これらは OpenSearch Ingestion パイプラインに送信されるトラフィックのエントリポイントとして機能する、リクエスタマネージド型のネットワークインターフェイスです。また、インターフェイスエンドポイントを自分で作成および管理することもできます。

VPC を使用すれば、データを、パブリックインターネット経由ではなく VPC の境界内の OpenSearch Ingestion パイプラインを通して流すことができます。VPC 内にないパイプラインは、一般向けのエンドポイントとインターネットを経由してデータを送受信します。

VPC アクセスを持つパイプラインは、パブリックまたは VPC OpenSearch Service ドメイン、およびパブリックまたは VPC OpenSearch Serverless コレクションに書き込むことができます。

考慮事項

パイプラインの VPC アクセスを設定する際は、以下の点に注意してください。

制限

VPC 内のパイプラインには、次の制限事項があります。

前提条件

VPC アクセス内のパイプラインをプロビジョニングするには、まず次の手順を行います。

パイプラインの VPC アクセスを設定する

パイプラインの VPC アクセスは、OpenSearch Service コンソールから、または AWS CLI を使用して許可します。

aws osis create-pipeline \
  --pipeline-name vpc-pipeline \
  --min-units 4 \
  --max-units 10 \
  --vpc-options SecurityGroupIds={sg-12345678,sg-9012345},SubnetIds=subnet-1212234567834asdf \
  --pipeline-configuration-body "file://pipeline-config.yaml"

セルフマネージド VPC エンドポイント

パイプラインを作成するときは、エンドポイント管理を使用して、セルフマネージドエンドポイントまたはサービスマネージドエンドポイントを使用してパイプラインを作成できます。エンドポイント管理はオプションで、デフォルトでは OpenSearch Ingestion によって管理されるエンドポイントに設定されます。

AWS マネジメントコンソールでセルフマネージド VPC エンドポイントを使用してパイプラインを作成するには、「Creating pipelines with the OpenSearch Service console」を参照してください。AWS CLI でセルフマネージド VPC エンドポイントを使用してパイプラインを作成するには、create-pipeline コマンドで --vpc-options パラメータを使用できます。

--vpc-options SubnetIds=subnet-abcdef01234567890,VpcEndpointManagement=CUSTOMER

エンドポイントサービスを指定すると、パイプラインへのエンドポイントを自分で作成できます。エンドポイントサービスを検索するには、get-pipeline コマンドを使用します。このコマンドは、次のようなレスポンスを返します。

"vpcEndpointService" : "com.amazonaws.osis.us-east-1.pipeline-id-1234567890abcdef1234567890",
"vpcEndpoints" : [ 
  {
    "vpcId" : "vpc-1234567890abcdef0",
    "vpcOptions" : {
      "subnetIds" : [ "subnet-abcdef01234567890", "subnet-021345abcdef6789" ],
      "vpcEndpointManagement" : "CUSTOMER"
    }
  }

レスポンスの vpcEndpointService を使用して、AWS マネジメントコンソールまたは AWS CLI で VPC エンドポイントを作成します。

セルフマネージド VPC エンドポイントを使用する場合は、VPC で DNS 属性 enableDnsSupport と enableDnsHostnames を有効にする必要があります。セルフマネージドエンドポイントを持つパイプラインを停止して再起動する場合は、アカウントで VPC エンドポイントを再作成する必要があります。

VPC アクセス用のサービスにリンクされたロール

サービスにリンクされたロールは、サービスに権限を委任する一意のタイプの IAM ロールであり、ユーザーに代わってリソースを作成して管理できます。サービスマネージド VPC エンドポイントを選択する場合、OpenSearch Ingestion には、VPC にアクセスし、パイプラインのエンドポイントを作成し、VPC のサブネットにネットワークインターフェースを配置するために、AWSServiceRoleForAmazonOpenSearchIngestionService という、サービスにリンクされたロールが必要です。

セルフマネージド VPC エンドポイントを選択した場合、OpenSearch Ingestion には AWSServiceRoleForOpensearchIngestionSelfManagedVpce という、サービスにリンクされたロールが必要です。これらのロール、そのアクセス許可と、その削除方法の詳細については、「サービスにリンクされたロールを使用した OpenSearch Ingestion パイプラインの作成」を参照してください。

Ingestion パイプラインを作成すると、OpenSearch Ingestion がロールを自動的に作成します。この自動作成が成功するには、アカウントに最初のパイプラインを作成するユーザーが、iam:CreateServiceLinkedRole アクションに対するアクセス許可を持っている必要があります。詳細については、「IAM User Guide」の「Service-linked role permissions」を参照してください。作成が完了すると、AWS Identity and Access Management (IAM) コンソールでこのロールを確認できます。