AWS PrivateLink のプロバイダー側とコンシューマー側の両方を AWS CDK で実装して接続してみた

			
			import * as cdk from "aws-cdk-lib";
import * as ec2 from "aws-cdk-lib/aws-ec2";
import * as elbv2 from "aws-cdk-lib/aws-elasticloadbalancingv2";
import * as elbv2_targets from "aws-cdk-lib/aws-elasticloadbalancingv2-targets";
import * as iam from "aws-cdk-lib/aws-iam";
import { Construct } from "constructs";

const CONSUMER_ACCOUNT_ID = process.env.CONSUMER_ACCOUNT_ID;

export class PrivateLinkProviderConstruct extends Construct {
  constructor(scope: Construct, id: string) {
    super(scope, id);

    /**
     * VPC の作成
     */
    const vpc = new ec2.Vpc(this, "VPC", {
      subnetConfiguration: [
        // ALB への接続を PrivateLink 経由のみ許可する想定で、プライベートサブネットのみを作成
        {
          name: "PrivateIsolated",
          subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
        },
      ],
      maxAzs: 2, // 検証用のため最小構成を指定。ALB 作成には 2つの AZ が必要
      natGateways: 0, // 本検証では使用しないため、NAT Gateway を 0 にする
      restrictDefaultSecurityGroup: true, // アクセス権限最小化のため、デフォルトのセキュリティグループを制限
    });

    // -----------------------------------------------
    // ↓ コンシューマー側からのアクセス確認用の実装
    // -----------------------------------------------

    /**
     * ALB の作成
     */
    const alb = new elbv2.ApplicationLoadBalancer(
      this,
      "ApplicationLoadBalancer",
      {
        vpc,
        vpcSubnets: {
          subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
        },
      }
    );

    /**
     * ALB 用リスナーの作成
     *
     * TODO: 証明書を設定して HTTPS 化することを推奨
     */
    alb.addListener("AlbListener", {
      port: 80,
      defaultAction: elbv2.ListenerAction.fixedResponse(200, {
        messageBody: "Hello from ALB!",
      }),
    });

    // -----------------------------------------------
    // ↓ PrivateLink のプロバイダー側に必要な実装
    // -----------------------------------------------

    /**
     * NLB の作成
     */
    const nlb = new elbv2.NetworkLoadBalancer(this, "NetworkLoadBalancer", {
      vpc,
      internetFacing: false,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
      },
    });

    /**
     * NLB 用のターゲットグループ作成
     */
    const nlbTargetGroup = new elbv2.NetworkTargetGroup(
      this,
      "NlbTargetGroup",
      {
        port: 80,
        vpc,
      }
    );

    /**
     * NLB 用のターゲットとして ALB を追加
     */
    nlbTargetGroup.addTarget(
      new elbv2_targets.AlbListenerTarget(alb.listeners[0])
    );

    /**
     * NLB リスナーの作成
     */
    nlb.addListener("NlbListener", {
      port: 80,
      defaultTargetGroups: [nlbTargetGroup],
    });

    /**
     * VPC Endpoint Service の作成（PrivateLink プロバイダー）
     */
    const vpcEndpointService = new ec2.VpcEndpointService(
      this,
      "VpcEndpointService",
      {
        vpcEndpointServiceLoadBalancers: [nlb],
        acceptanceRequired: false, // 接続リクエストの自動承諾の無効化
        allowedPrincipals: [
          new iam.ArnPrincipal(`arn:aws:iam::${CONSUMER_ACCOUNT_ID}:root`),
        ],
      }
    );

    /**
     * VPC エンドポイントサービス名の出力
     */
    new cdk.CfnOutput(this, "ProviderVpcEndpointServiceName", {
      value: vpcEndpointService.vpcEndpointServiceName,
    });

    /**
     * TODO: 証明書を利用した VPC エンドポイントサービスのプライベート DNS 名の設定および HTTPS 化
     * @see https://docs.aws.amazon.com/ja_jp/vpc/latest/privatelink/manage-dns-names.html
     */
  }
}

		

			
			NLB → VPC エンドポイントサービス → ALB → ALB リスナー → ALB ターゲットグループ → ALB ターゲット（EC2 など）

		

			
			import * as cdk from "aws-cdk-lib";
import * as ec2 from "aws-cdk-lib/aws-ec2";
import * as logs from "aws-cdk-lib/aws-logs";
import * as lambda_nodejs from "aws-cdk-lib/aws-lambda-nodejs";
import { Construct } from "constructs";

const PROVIDER_VPC_ENDPOINT_SERVICE_NAME =
  process.env.PROVIDER_VPC_ENDPOINT_SERVICE_NAME || "";

export class PrivateLinkConsumerConstruct extends Construct {
  constructor(scope: Construct, id: string) {
    super(scope, id);

    /**
     * VPC の作成
     */
    const vpc = new ec2.Vpc(this, "VPC", {
      subnetConfiguration: [
        // VPC エンドポイントを経由した通信のみを行う想定で、プライベートサブネットのみを作成
        {
          name: "PrivateIsolated",
          subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
        },
      ],
      maxAzs: 1, // 検証用のため最小構成を指定。ALB 作成には 2つの AZ が必要
      natGateways: 0, // 本検証では使用しないため、NAT Gateway を 0 にする
      restrictDefaultSecurityGroup: true, // アクセス権限最小化のため、デフォルトのセキュリティグループを制限
    });

    // -----------------------------------------------
    // ↓ PrivateLink のコンシューマー側に必要な実装
    // -----------------------------------------------

    /**
     * VPC Endpoint 用のセキュリティグループ
     *
     * MEMO: 接続先を VPC Endpoint のみに制限するために明示的に作成している。（明示的に作成しない場合は allowAllOutbound が既定で有効化される）
     */
    const vpcEndpointSecurityGroup = new ec2.SecurityGroup(
      this,
      "VpcEndpointSecurityGroup",
      {
        vpc,
        allowAllOutbound: false,
      }
    );

    /**
     * VPC Endpoint の作成
     */
    const vpcEndpoint = new ec2.InterfaceVpcEndpoint(
      this,
      "PrivateLinkEndpoint",
      {
        vpc,
        service: new ec2.InterfaceVpcEndpointService(
          PROVIDER_VPC_ENDPOINT_SERVICE_NAME
        ),
        subnets: {
          subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
        },
        securityGroups: [vpcEndpointSecurityGroup],
        open: false, // VPC 内からこのエンドポイントへの全てのトラフィックが既定で許可される設定の無効化
        /**
         * プロバイダー側で VPC エンドポイントサービスのプライベート DNS 名を設定した場合に有効化する
         * @see https://docs.aws.amazon.com/ja_jp/vpc/latest/privatelink/manage-dns-names.html
         */
        // privateDnsEnabled: true,
      }
    );

    // -----------------------------------------------
    // ↓ プロバイダー側リソースへのアクセス確認用の実装
    // -----------------------------------------------

    /**
     * Lambda 用のセキュリティグループ
     *
     * MEMO: 接続先を VPC Endpoint のみに制限するために明示的に作成している。（明示的に作成しない場合は allowAllOutbound が既定で有効化される）
     */
    const lambdaSecurityGroup = new ec2.SecurityGroup(
      this,
      "LambdaSecurityGroup",
      {
        vpc,
        allowAllOutbound: false,
      }
    );

    /**
     * VPC エンドポイントの DNS 名取得
     */
    const firstDnsEntry = cdk.Fn.select(0, vpcEndpoint.vpcEndpointDnsEntries);
    const consumerVpcDnsName = cdk.Fn.select(
      1,
      cdk.Fn.split(":", firstDnsEntry)
    );

    /**
     * PrivateLink 接続テスト用 Lambda 関数
     */
    new lambda_nodejs.NodejsFunction(this, "PrivateLinkTestLambda", {
      entry: "handler.ts",
      logGroup: new logs.LogGroup(this, "LogGroup", {
        removalPolicy: cdk.RemovalPolicy.DESTROY,
      }),
      vpc,
      vpcSubnets: {
        subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
      },
      securityGroups: [lambdaSecurityGroup],
      environment: {
        CONSUMER_VPC_ENDPOINT_DNS_NAME: consumerVpcDnsName,
      },
    });

    /**
     * lambdaFunction から VPC Endpoint への 80 ポートでのアクセスを許可
     */
    vpcEndpoint.connections.allowFrom(lambdaSecurityGroup, ec2.Port.tcp(80));
  }
}

		

			
			接続元(今回は Lambda 関数) → VPC エンドポイント → PrivateLink → プロバイダー側リソース

		

			
			$ aws lambda invoke \
  --function-name ${FUNCTION_NAME} response.json
{
    "StatusCode": 200,
    "ExecutedVersion": "$LATEST"
}
$ cat response.json
"Hello from ALB!"

		

			
			/**
 * VPC Endpoint の作成
 */
const vpcEndpoint = new ec2.InterfaceVpcEndpoint(this, "PrivateLinkEndpoint", {
  vpc,
  service: new ec2.InterfaceVpcEndpointService(
    PROVIDER_VPC_ENDPOINT_SERVICE_NAME
  ),
  subnets: {
    subnetType: ec2.SubnetType.PRIVATE_ISOLATED,
  },
  securityGroups: [vpcEndpointSecurityGroup],
  open: false,
  privateDnsEnabled: true, // ← false もしくは指定しない必要がある
});