VPC エンドポイント
Amazon S3 VPC エンドポイント
多くの Amazon WorkSpaces Applications デプロイでは、ホームフォルダとアプリケーション設定を通じてユーザーの状態を永続化します。これらの Amazon Simple Storage Service
-
WorkSpaces Applications ネットワークアクセス要件に合わせてコストが最適化されている
-
オンプレミスリソースから Amazon S3 バケットにアクセスする必要がない
-
カスタムポリシードキュメントを使用して、アクセスを WorkSpaces Applications インスタンスからのみに制限できる
VPC エンドポイントゲートウェイを作成したら、カスタムポリシーを作成してプライベート化された接続を保護するのがベストプラクティスです。カスタムポリシーは WorkSpaces Applications サービスの Identity and Access Management ロールの Amazon リソースネーム (ARN) から開始します。ユーザー状態の保持に必要な S3 アクションを明示的に指定します。
注記
Resources セクションの以下の例では、ステートホームフォルダのパスを最初に指定し、次にアプリケーション設定パスを指定しています。
例
Amazon WorkSpaces Applications API インターフェイス VPC エンドポイント
Amazon WorkSpaces Applications への API コマンドと CLI コマンドが VPC から発信される設計シナリオでは、インターフェイス VPC エンドポイントを介してこれらのプログラム呼び出しをプライベート化します。
Amazon WorkSpaces Applications ストリーミングインターフェイス VPC エンドポイント
Amazon WorkSpaces Applications のストリーミングトラフィックをインターフェイス VPC エンドポイント経由でルーティングすることは可能ですが、この設定は注意して使用してください。パブリックインターネット経由のデフォルトのストリーミング動作は、Amazon WorkSpaces Applications ストリーミングトラフィックの最も効率的でパフォーマンスの高い配信方法です。
Amazon WorkSpaces Applications ストリーミングインターフェイス VPC エンドポイント
前の図に示したように、パブリックインターネットは Amazon WorkSpaces Applications ストリーミングゲートウェイへの最も効率的なパスです。カスタマーマネージド VPC とネットワークを介したルーティングは、複雑になり、レイテンシーが増加します。また、Direct Connect を介したデータ転送料金も加算されます。
注記
VPC エンドポイントではストリーミングのみがサポートされており、認証は引き続きパブリックインターネット上で行う必要があります。SAML シングルサインオン (SSO) ID プロバイダー (IdP) などの前提条件のアクセスは、依然としてパブリックインターネット経由でのみアクセスできる必要があります。
