SaaS プロバイダーが API サービスを複数の企業顧客（各社は自社 AWS アカウントを持つ）に提供しています。顧客のセキュリティポリシーにより「トラフィックをインターネット経由にしてはならない」という要件があります

Question

SaaS プロバイダーが API サービスを複数の企業顧客（各社は自社 AWS アカウントを持つ）に提供しています。顧客のセキュリティポリシーにより「トラフィックをインターネット経由にしてはならない」という要件があります。IP アドレスの重複が発生しても対応可能で、かつ SaaS 側の管理コストが最も低いアーキテクチャはどれですか？

Accepted Answer

正解: SaaS プロバイダーの API を NLB の背後に配置し、AWS PrivateLink エンドポイントサービスを作成して顧客が Interface VPC Endpoint を作成することで接続できるようにする。AWS PrivateLink を使うと、サービスプロバイダーは NLB を通じてエンドポイントサービスを公開でき、顧客は自 VPC に Interface VPC Endpoint を作成するだけで接続できます。トラフィックは AWS バックボーンネットワーク内に留まりインターネットを経由しません。

選択肢Aの「SaaS プロバイダーの VPC と各顧客の VPC 間に VPC ピアリング」はVPC ピアリングは CIDR 重複を許容しません。

選択肢Cの「AWS Transit Gateway」はTransit Gateway は双方向通信になるため SaaS プロバイダー側のリスクが増します。

選択肢Dの「AWS Direct Connect ホスト型接続」は構成が複雑であり管理コストが増します。

Answer

SaaS プロバイダーの VPC と各顧客の VPC 間に個別の VPC ピアリング接続を設定し、プライベートネットワーク経由で API にアクセスさせる — VPC ピアリングは CIDR の重複を許容しないため、複数の顧客が同じアドレス空間を使用している場合に接続できません。IP アドレス重複への対応という要件を満たせません。

Answer

AWS Transit Gateway を使用して全顧客 VPC を SaaS プロバイダーの VPC にスポーク接続し、ルーティングテーブルでトラフィックを制御する — Transit Gateway は接続した VPC 間で双方向通信が可能になるため、顧客 VPC 同士がアクセスできるリスクがあります。また、顧客数が増えるほど管理コストが増大します。

Answer

SaaS プロバイダーが AWS Direct Connect ホスト型接続を各顧客に個別にプロビジョニングし、専用物理回線で API にアクセスさせる — Direct Connect ホスト型接続は物理的な専用回線のプロビジョニングが必要で、顧客ごとに専用回線を用意するコストと手間が大きく、管理コストが最も高くなります。

解説

解説