ゲートウェイ型 VPC エンドポイントが S3・DynamoDB だけな理由を考察してみた
はじめに
こんにちは。クラスメソッドオペレーションズの目取眞です。
AWS の VPC エンドポイントについて調べていたところ、「ゲートウェイ型」と「インターフェース型」の代表的な 2 種類があり、ゲートウェイ型を使えるサービスが S3 と DynamoDB の 2 つだけ という点が気になりました。
「なぜこの 2 つだけ特別扱いなのか？」「そもそも両者の仕組みは何が違うのか？」という疑問を調べてまとめてみたので、同じように気になった方の参考になれば幸いです。
本記事では、AWS サービスへのプライベートアクセスでよく比較されるゲートウェイ型 VPC エンドポイントとインターフェース型 VPC エンドポイントに絞って説明します。なお、VPC エンドポイント全体としては Gateway Load Balancer エンドポイントやリソースエンドポイントなど他のタイプも存在します。
1. AWS の VPC エンドポイントのうち代表的な 2 種類
VPC 内のリソースが、インターネットを経由せずに VPC 外の AWS サービスと通信するための仕組みが VPC エンドポイントです。代表的なのは次の 2 タイプです。
| タイプ | 対象サービス | 料金 | 実現方式 |
|---|---|---|---|
| ゲートウェイ型 | S3・DynamoDB のみ | 無料 | ルートテーブルにルートを追加 |
| インターフェース型 | S3・DynamoDB を含む AWS の多数のサービスおよび SaaS | 有料（エンドポイント単位＋データ量） | ENI を作成 |
2. なぜゲートウェイ型は PrivateLink を使わずに済むのか
ここが最初に疑問だったポイントです。両者の目的の違いを整理すると理解しやすくなりました。
-
ゲートウェイ型：VPC の中に新しい入り口を作るのではなく、既存のルートテーブルに新しいルートを付け加えるだけ。 DNS を書き換える方式ではなく、S3・DynamoDB のパブリック IP アドレス範囲宛ての通信を、ルートテーブルで VPC エンドポイントへ向ける方式。そのため、通信はインターネットを経由せず AWS 内部ネットワークを通る。
-
インターフェース型：VPC の外にあるサービスを、あたかも VPC の中にあるかのように見せたい仕組み。そのために ENI を作り、プライベート IP アドレスでアクセスできるようにする必要があり、この「VPC 内外を安全にトンネリングする」役割を担うのが、AWS が提供するプライベート接続サービスである PrivateLink。なお、プライベート DNS の利用可否や挙動はサービスごとに異なる。
つまりゲートウェイ型は「VPC 内に仮想的な接続口を作る」のではなく「ルートテーブルにルートを追加する」だけなので、PrivateLink という技術自体が不要になります。
3. なぜ S3・DynamoDB だけが対象になったのか（考察）
| 観点 | 内容 |
|---|---|
| サービスの位置づけ | S3・DynamoDB は AWS の中でも歴史が古く、他の多くのサービスの基盤としても使われる利用頻度の高いサービス。 |
| 通信コストの課題 | NAT ゲートウェイ経由でアクセスすると、データ処理料金（GB 単位）が発生する。特に S3・DynamoDB は大容量データ転送や高頻度アクセスが多く、コストインパクトが大きい。 |
| 実装のシンプルさ | ルートテーブル方式はサービスごとに専用の AWS マネージドプレフィックスリスト管理が必要で、汎用的にどんなサービスにも展開しやすい仕組みではない。 |
この 3 点から、実装をシンプルに保てる範囲で「最も利用量が多く、コストメリットが出やすい 2 サービス」に絞って、無料・低コストで提供できるゲートウェイ型が先に用意された、という流れだったと考えられます。
なお、S3 のゲートウェイエンドポイントは 2015 年 5 月にリリースされていますが、それ以前は、プライベートサブネットから S3・DynamoDB にアクセスするには、NAT インスタンスを経由してインターネット経由でアクセスするしかありませんでした。無料で使える直接ルートが用意されたことで、通信コストを抑える選択肢が生まれたと言えそうです。
一方でその他の多数のサービスは、後発のインターフェース型が汎用的な接続方式としてカバーする形になりました。
4. 後からインターフェース型にも対応した
実は S3・DynamoDB は「ゲートウェイ型専用」だった時期があり、後からインターフェース型にも対応しています。
| サービス | インターフェース型対応時期 |
|---|---|
| S3 | 2021 年 2 月 |
| DynamoDB | 2024 年 3 月 |
これにより、オンプレミスネットワークや他リージョンの VPC、Transit Gateway 経由でも S3・DynamoDB にプライベート接続できるようになりました。ゲートウェイ型では対応できなかったユースケースを、インターフェース型が補完している形です。
まとめ
| 疑問 | 答え |
|---|---|
| ゲートウェイ型はなぜ PrivateLink 不要？ | ENI を作らず、ルートテーブルにルートを追加するだけの仕組みだから。 |
| なぜ S3・DynamoDB だけ対象？ | 利用頻度・データ転送量が特に大きく、コストメリットが出やすかったからだと考えられる。（考察） |
| 他のサービスは使えないの？ | 不可。その他のサービスは有料のインターフェース型でカバー。 |
| 今は S3・DynamoDB もインターフェース型を使える？ | 可。（S3 は 2021 年 2 月、DynamoDB は 2024 年 3 月より対応） |
「無料だから」「対象が 2 つだけだから」と丸暗記していた部分が、仕組みの違いから納得感を持って理解できました。なお、選べるのはあくまで S3・DynamoDB の場合だけで、それ以外のサービスは最初からインターフェース型一択です。その上で S3・DynamoDB についてゲートウェイ型とインターフェース型のどちらを使うか迷ったときは、「同じ VPC 内のリソースからのアクセスだけで完結するか、それともオンプレミスや他リージョン、Transit Gateway 経由でのアクセスも必要か」を確認するとよいでしょう。
参考リンク
- ゲートウェイエンドポイント（S3・DynamoDB 個別ページへのリンクを含む）- Amazon Virtual Private Cloud
- テクニカルインストラクターと学ぶインターフェース型とゲートウェイ型の VPC エンドポイント - builders.flash
- AWS PrivateLink の概要 - AWS PrivateLink
- New – VPC Endpoint for Amazon S3（2015 年 5 月公式発表）- AWS News Blog
- AWS PrivateLink for Amazon S3 is Now Generally Available（2021 年 2 月公式発表）- AWS News Blog
- Amazon DynamoDB now supports AWS PrivateLink（2024 年 3 月公式発表）- AWS What's New
クラスメソッドオペレーションズ株式会社について
クラスメソッドグループのオペレーション企業です。
運用・保守開発・サポート・情シス・バックオフィスの専門チームが、 IT・AI をフル活用した「しくみ」を通じて、お客様の業務代行から課題解決や高付加価値サービスまでを提供するエキスパート集団です。
当社は様々な職種でメンバーを募集しています。
「オペレーション・エクセレンス」と「らしく働く、らしく生きる」を共に実現するカルチャー・しくみ・働き方にご興味がある方は、クラスメソッドオペレーションズ株式会社 コーポレートサイトをぜひご覧ください。
※2026 年 1 月 アノテーション㈱から社名変更しました。
