AWS PrivateLinkによるiDoperation Cloud利用
- 印刷する
AWS PrivateLinkによるiDoperation Cloud利用
- 印刷する
記事の要約
この要約は役に立ちましたか?
ご意見ありがとうございます
お客様がお持ちのAWS環境内にあるEC2などの端末からPrivateLink接続でiDoperation Cloudへ接続する場合、本トピックを実施してください。
iDoperation PAM Cloud（iDoperation RAGを含む）およびiDoperation SC Cloudで利用可能です。
PrivateLink利用時の制限事項
インターネット通信を利用するPAM AgentおよびEPMの利用は不可となります。
ポータルへのサインイン時の通信はインターネット接続が必須となります。
接続方式
・クロスアカウントでの「PrivateLink」を用いて接続する。
・PrivateLink接続されたVPC間のトラフィックは、パブリックインターネットを経由しない。
（引用元：https://docs.aws.amazon.com/ja_jp/vpc/latest/privatelink/concepts.html）
接続までの概要
お客様は、PrivateLinkとの接続のご要望と、VPCエンドポイントを作成するAWS環境の＜AWSアカウントID＞を、テクニカルサポートへ連絡してください。
テクニカルサポートより、PrivateLinkの作成に必要な『PrivateLink設定情報』と『レコード情報』を連絡いたします。
お客様は、AWSマネジメントコンソールでログインし、エンドポイントの作成をしてください。その後、テクニカルサポートがお客様からの接続要求を確認し承認します。
テクニカルサポートでは『利用までの作業の流れ』に従って、お客様環境のネットワーク情報を基にお客様の環境へ接続するために必要となる設定を行います。
利用までの作業の流れ
No | 実施者 | 作業概要 | 説明 |
1 | お客様 | PrivateLinkの利用要望と、接続予定のAWSアカウントID情報を連絡 | PrivateLinkを利用したい旨と、VPCエンドポイントを作成するAWS環境の＜AWSアカウントID＞をテクニカルサポートへ連絡してください。 |
2 | お客様 | 切り替え日時のスケジュールを調整 | テクニカルサポートと切り替え日時のスケジュールを調整してください。 |
3 | テクニカルサポート | iDoperationのネットワークの切り替え | テクニカルサポートでiDoperationのネットワーク切り替えを実施します。 |
4 | お客様 | 『設定手順』-『VPCエンドポイントの作成』に従い、インターフェースVPCエンドポイントを作成 | 連絡されたエンドポイントサービス名を指定し、お客様のVPC内にインターフェースVPCエンドポイントを作成します。あわせて、エンドポイントに関連付けるセキュリティグループで必要な通信を許可してください。 |
5 | テクニカルサポート | エンドポイント接続の承認と作業完了を連絡 | お客様からの接続要求（エンドポイント接続リクエスト）を確認し、承認します。承認が完了し、接続ステータスが「Available」になったらお客様に連絡します。 |
6 | お客様 | PrivateLinkの接続確認とサービスの確認 | お客様環境のエンドポイントのステータスが「使用可能」になることを確認し、PrivateLink経由での疎通を確認してください。 |
設定手順
お客様が実施する、「エンドポイントの作成」手順を説明します。
AWSマネジメントコンソールで設定を行います。
VPCエンドポイントの作成
1．AWSマネジメントコンソールでVPCサービスを開きます。
2．左ペインの「エンドポイント」をクリックします。
3．「エンドポイントの作成」をクリックします。
4．名前タグを入力します(例：endpoint-to-idoperation)。
5．タイプは「NLB と GWLB を使用するエンドポイントサービス」を選択します。
6．サービス名の欄に、テクニカルサポートから連絡されたエンドポイントサービス名(例：com.amazonaws.vpce.ap-northeast-1.vpce-svc-******)を入力し、「サービスの検証」をクリックします。
サービスが確認できると「サービス名が検証されました。」と表示されます。
7．「VPC」で、エンドポイントを作成するVPCを選択します。
8．「サブネット」で、通信を行うアベイラビリティーゾーンのサブネットにチェックとサブネットIDを選択します。
9．「セキュリティグループ」で、通信を許可するセキュリティグループを選択(または新規作成)します。
インバウンドルールで、iDoperation Cloud側との通信に必要なポート(例：443など)を許可してください。
10．設定内容を確認し、「エンドポイントの作成」をクリックします。
作成後、エンドポイントのステータスが「承諾の保留中」になっていることを確認し、テクニカルサポートへご連絡ください。
ご連絡をいただき次第、テクニカルサポートにてエンドポイント接続リクエストを承諾いたします。
承認後、エンドポイントのステータスが「使用可能」になっていることを確認してください。
PrivateLink設定情報
テクニカルサポートより以下の設定値を連絡します。
No | 情報名 | 値 | 説明 |
| 1 | サインオンURL | https://テナントID.idoperation.com | iDoperation Cloudへの接続URLです。 |
| 2 | レコード名 | テナントID.idoperation.com | Route53に登録するレコード名です。 |
| 3 | レコード名 | auth.テナントID.idoperation.com | Route53に登録するレコード名です。 |
4 | エンドポイントサービス名 | com.amazonaws.vpce.<region>.vpce-svc-****** | VPCエンドポイント作成時に指定するサービス名です。 |
| 5 | Cognitoエイリアスターゲット | ******.cloudfront.net | Route53に登録するCognitoエイリアスターゲットです。 |
6 | AZ ID | apne1-az*(ap-northeast-1a) | iDoperation Cloud側のエンドポイントサービスのAZ IDです。 |
7 | AZ ID | apne1-az*(ap-northeast-1c) | iDoperation Cloud側のエンドポイントサービスのAZ IDです。 |
※緑文字の箇所は、お客様の環境により異なる値です。
レコード情報
お客様のVPCエンドポイントを作成するAWS環境のRoute53サービスに「idoperation.com」のプライベートホストゾーンを作成し、以下のレコードの設定を追加してください。
No | レコード | タイプ | TTL | 値 | 説明 |
1 | テナントID.idoperation.com | A | 3600 | vpce-******-******.vpce-svc-******. <region>.vpce.amazonaws.com. | ルーティング先のVPCエンドポイントのエイリアス |
2 | auth.テナントID.idoperation.com | CNAME | 3600 | ******.cloudfront.net | ルーティング先のCognitoのエイリアスターゲット(*1) |
※緑文字の箇所は、お客様の環境により異なる値です。
(*1) iDoperation IAMのエイリアスのドメイン名に対してインターネット通信の許可をしてください。
PrivateLink接続の解除
PrivateLink接続の解除をする場合は、テクニカルサポートに連絡ください。接続解除のスケジュールを調整します。
PrivateLink接続の解除作業の実施者と流れ
No | 実施者 | 手順 | 説明 |
1 | お客様 | PrivateLink接続の解除要望を連絡 | お客様は、PrivateLink接続の解除をしたい旨をテクニカルサポートへ連絡してください。 |
2 | お客様 | 切り戻し日時のスケジュールを調整 | テクニカルサポートと切り戻し日時のスケジュールを調整してください。 |
3 | テクニカルサポート | iDoperationのネットワーク切り替え | テクニカルサポートで、iDoperationのネットワーク切り替えを実施します。 |
4 | テクニカルサポート | テクニカルサポートがお客様にネットワーク切り替え完了を連絡 | テクニカルサポートよりお客様へ切り替え完了の連絡をします。 |
5 | お客様 | お客様AWS環境のRoute53のレコード情報を削除 | お客様は、お客様AWS環境のRoute53に、PrivateLinkで設定したレコード情報の設定値を削除してください。 |
6 | お客様 | お客様環境のエンドポイント削除 | お客様は、お客様環境へとPrivateLinkで設定したエンドポイントを削除してください。 |
7 | お客様 | PrivateLink接続解除後の確認 | お客様は、PrivateLink経由で接続できなくなること、インターネット接続や他のPrivate AccessでiDoperationへ接続できることを確認してください。 |
8 | お客様 | PrivateLink接続解除の確認結果をテクニカルサポートへ連絡 | お客様よりテクニカルサポートへサービス確認の結果を連絡してください。 |