はじめに
目的
本資料はAWSの「エンドポイント」について分かりやすく整理したものです。クラウドでサービスにアクセスするときに出てくる「エンドポイント」が何を指すのか、どのように使い分けるかを丁寧に説明します。実務で遭遇する典型例（たとえばS3やDynamoDB、API Gatewayの接続）を交えて解説します。
対象読者
クラウド入門者から中級者を想定しています。ネットワークやAWSの基本語は知っているが、エンドポイントの違いや使いどころに自信がない方に向けています。専門用語は最小限にとどめ、具体例で補足します。
本資料の構成と使い方
全8章で構成します。最初に基本概念を押さえ、その後リージョンやVPC、API Gatewayそれぞれのエンドポイントの仕組みと活用方法を順に説明します。各章は独立して読み進められるようにし、実際の設定や設計に役立つ視点を提供します。
読み方のヒント
実務に即した理解のため、まず自分の用途（例えば外部と通信するのか、VPC内で完結させるのか）を考えてください。本資料を通じて、適切なエンドポイント選びと安全な接続設計ができるようになります。
AWSエンドポイントの基本概念
エンドポイントとは
AWSのエンドポイントは、サービスに接続するための入り口（URL）です。たとえば「s3.ap-northeast-1.amazonaws.com」のような形式で表され、AWS SDKやAWS CLIからこのURLを指定して操作します。エンドポイントは通信先を一意に指し、HTTPSで安全にやり取りします。
全機能型と分割型の違い
エンドポイントは大きく二つに分かれます。全機能型はサービスの主要機能を一つのエンドポイントで提供します（例：オブジェクト操作やメタデータ取得をまとめて扱えるS3の一部機能）。分割型は機能ごとに別のエンドポイントを用意します。たとえば認証専用、データ転送専用、といった使い分けです。用途に応じてアクセス先を切り替えられる点が利点です。
実際の利用と注意点
アプリからは通常、リージョンを指定してSDKを初期化すると自動で適切なエンドポイントを使います。CLIでは–endpoint-urlで明示できます。エンドポイントはパブリック経由とVPC内部で使うプライベート経由があり、プライベート接続は後ほど詳しく説明します。接続先は近いリージョンを選べば遅延が減り、法令や社内規則に合わせた配置も可能です。しかしエンドポイントごとに提供機能が違う点は常に確認してください。
次章への案内
次はリージョンエンドポイントの構造について、より具体的に見ていきます。
リージョンエンドポイントの構造
概要
リージョンエンドポイントは、AWSが地域ごとにサービスを提供するためのアクセス先です。URLに地域（リージョン）を含めることで、どの地理的領域のサービスを使うかを指定します。
URLの構成要素
- サービス名：ec2、s3、rdsなど
- リージョンコード：ap-northeast-1、us-west-2など
- ドメイン：amazonaws.com（中国や政府向けでは異なります）
形式の例：
– https://ec2.ap-northeast-1.amazonaws.com
– S3の仮想ホスト形式：https://my-bucket.s3.ap-northeast-1.amazonaws.com
リージョンコードの規則
リージョンコードは短く地名と番号で構成されます。例えば“ap-northeast-1”は東京リージョン、“eu-west-1”はアイルランドです。
例外と注意点
一部のサービスはグローバルエンドポイント（例：iam.amazonaws.com）を使います。中国（amazonaws.com.cn）やGovCloudなどではドメインや形式が変わります。
DNSとセキュリティ
エンドポイントはDNSで解決します。通信は通常HTTPSで暗号化します。証明書やリージョン間の遅延を確認すると安心です。
実務でのポイント
- SDKやCLIは自動で正しいリージョンのエンドポイントを選びます。
- 明示的にリージョンを指定すると、想定外の地域利用を防げます。
VPCエンドポイントの概要と役割
概要
VPCエンドポイントは、VPC（仮想プライベートクラウド）内のリソースがAWSの各種サービスにインターネットを経由せずにアクセスできる仕組みです。プライベートな通信経路を提供することで、セキュリティと可用性を高めます。
役割とメリット
- セキュリティ向上: トラフィックがインターネットへ出ないため、外部の攻撃面を減らせます。
- ネットワークの単純化: インターネットゲートウェイやNATを経由しないため、設定が簡潔になります。
- コスト削減: データ転送でNATやIGWを経由する際の追加費用を抑えられます。
簡単な仕組み
VPCエンドポイントを作成すると、指定したサブネット内にネットワークインターフェイス（ENI）が作成される場合が多く、そこを経由してサービスへ接続します。サービスによってはルートテーブルを使う方式もあります。各エンドポイントにはアクセス制御用のポリシーを設定できます。
利用上の注意点
- 全てのサービスが同じ仕組みを使うわけではない点に注意してください。
- アクセス制御やセキュリティグループの設定を忘れると期待通りに動かないことがあります。
具体例
社内のサーバーからS3やSecrets Managerへ安全にアクセスしたい場合に使います。ネットワークを公開せずにAWSサービスを利用できる点が大きな利点です。
VPCエンドポイントの2つの主要タイプ
インターフェイスエンドポイント（AWS PrivateLink）
インターフェイスエンドポイントは、AWS PrivateLinkを使ってサービスへプライベートに接続します。各サブネットにENI（Elastic Network Interface）を作成し、そのプライベートIP経由でサービスと通信します。多くのAWSサービスやパートナーのSaaSに対応し、セキュリティグループで通信を絞れます。例：EC2からSecrets Managerや外部の監視サービスへ、安全にアクセスしたい場合に適します。
ゲートウェイエンドポイント
ゲートウェイエンドポイントはAmazon S3とDynamoDBに限定されます。ルートテーブルにエントリを追加して、対象サービスへのトラフィックをVPC内で完結させます。ENIを使わないためスケールを気にせず高スループットで利用できます。例：VPC内のサーバーからS3へバックアップを送る際、インターネット経由を回避できます。
Gateway Load Balancerエンドポイント（補足）
Gateway Load Balancerエンドポイントは、トラフィックをパケット検査やIDS/IPSなどのセキュリティアプライアンスに渡す用途で使います。第三者のネットワークアプライアンスと連携する場合に有効です。
選び方の目安
- S3/DynamoDBならゲートウェイエンドポイント
- それ以外のAWSサービスやSaaSはインターフェイスエンドポイント
- トラフィック検査が必要ならGateway Load Balancerエンドポイント
以上を元に、用途と制御方法で選んでください。
API Gatewayのエンドポイント体系
概要
API Gatewayは「管理用」と「実行用」の2種類のエンドポイントを持ちます。管理用はAPIの作成や設定に使い、実行用は実際のAPI呼び出しに使います。実行用のみVPCエンドポイント（PrivateLink）でVPC内から直接アクセスできます。
コントロールプレーン（管理用）
コントロールプレーンはAWS管理用のAPIで、コンソールやCLI、SDKからAPI定義を操作します。通常はインターネット経由でアクセスし、VPCエンドポイントで隠すことはできません。
データプレーン（実行用）
データプレーンはAPI呼び出しを受け付けます。RegionalやEdge-Optimized、Privateの形式があります。Private APIを作成すると、VPCのインターフェイスエンドポイントを使い、プライベートIP経由で安全に呼び出せます。
具体例
- Private APIを作成
- VPCにInterface VPC Endpoint（com.amazonaws.apigateway）を作成
- サブネット内からプライベートDNSでAPIにアクセスします。
注意点
- 管理操作は別経路なので、APIの構成変更時はインターネット経由の認証設定も確認してください。
- Private APIはVPC接続が必要です。
VPCエンドポイントの利用方法
利用前の準備
VPCエンドポイントを作る前に、対象のVPC、サブネット、ルートテーブル、セキュリティグループを確認します。例えば、プライベートサブネットからS3へアクセスしたい場合は、S3用のポリシーやルートの設定を準備します。
作成手順（画面操作）
- AWSコンソールのVPCメニューを開きます。
- 「エンドポイントの作成」を選びます。
- 接続したいサービス名を検索して選択します（例：com.amazonaws.ap-northeast-1.s3）。
- どのVPCとサブネットに紐付けるか指定します。プライベートサブネットを指定するとインターネットを経由せずに通信します。
- 必要に応じてエンドポイントポリシーを設定し、作成ボタンを押します。
セキュリティとルーティングの設定
エンドポイントを作成したら、関連するルートテーブルにエンドポイントの宛先を追加します。インスタンス側のセキュリティグループで必要な送受信ポートを許可してください。特定のサービスだけ許可する場合は、エンドポイントポリシーでアクセス範囲を絞ります。
具体例
- S3へアクセス：ゲートウェイ型エンドポイントを作成し、ルートテーブルに対してS3へのルートを追加します。これでプライベートサブネットから直接S3へ接続できます。
- Secrets ManagerやECR：インターフェース型を選び、サブネットとセキュリティグループを紐付けます。
注意点
エンドポイントはリージョン単位で作成します。サービス名やサブネットの指定ミスがよくあるため、作成後に通信確認を行ってください。
ネットワークアーキテクチャでの活用
概要
複数アカウント構成では、ネットワーク専用アカウントにVPCエンドポイントを集約し、Route 53のPrivate Hosted Zone（以降PHZ）を共有する設計が実用的です。こうすることでエンドポイント数を抑え、コストや運用負荷を下げられます。
実践例（3アカウント構成）
- ネットワークアカウントでVPCを用意し、必要なVPCエンドポイント（S3のGatewayや各種Interface）を作成します。
- 同アカウントでPHZを作り、サービス名とエンドポイントのプライベートIPやCNAMEを登録します。
- PHZを共有（Resource Access Manager等）し、各アプリ／データベースアカウントのVPCをPHZに関連付けます。
- 各アカウントは自分のVPCからDNSでサービスに到達できます。アプリはネットワークVPC経由でサービスへアクセスします。
利点
- コスト削減: 複数VPCに個別エンドポイントを作るより安くなります。
- 運用の一元化: エンドポイント設定や証明書管理を集中できます。
- 監査と可視化: ネットワーク側でトラフィックやログをまとめて扱えます。
注意点
- DNS共有時は名前衝突に注意し、レコード命名ルールを決めてください。
- アクセス制御はエンドポイントポリシーやセキュリティグループで厳格に管理してください。
- 障害時の切り分けや冗長化を設計に入れておくと安心です。
