Amazon S3 トラフィックがゲートウェイ Amazon Virtual Private Cloud (Amazon VPC) エンドポイントまたはインターフェイス Amazon VPC エンドポイントを経由しているかどうかを確認する方法を教えてください。

解決策

ゲートウェイ VPC エンドポイント経由のトラフィックフローを確認する

ゲートウェイ VPC エンドポイント経由のトラフィックフローを確認するには、TCP ベースの traceroute を使用するか、Amazon S3 サーバーのアクセスログを構成します。

TCP ベースの traceroute を使用する

注: 次のコマンドにおいて、example-region-code を目的の AWS リージョンに置き換えてください。

次のコマンドを実行します。

HTTP

sudo traceroute -T -p 80 s3.example-region-code.amazonaws.com

HTTPS

sudo traceroute -T -p 443 s3.example-region-code.amazonaws.com

ゲートウェイエンドポイントを使用しないトラフィックフローでの出力例:

traceroute to s3.us-east-1.amazonaws.com (16.182.42.160), 30 hops max, 60 byte packets
 1  * * *
 2  240.4.88.37 (240.4.88.37)  0.645 ms 240.4.88.43 (240.4.88.43)  0.529 ms 240.4.88.36 (240.4.88.36)  0.521 ms
 3  240.4.88.49 (240.4.88.49)  0.513 ms 240.4.88.48 (240.4.88.48)  0.505 ms 240.4.88.51 (240.4.88.51)  0.496 ms
 4  240.4.88.90 (240.4.88.90)  0.488 ms 240.4.88.85 (240.4.88.85)  0.588 ms 240.4.88.92 (240.4.88.92)  0.580 ms
 5  * * *
 6  s3-1.amazonaws.com (16.182.42.160)  0.504 ms  0.444 ms  0.675 ms

注: インターネット経由のトラフィックフローの traceroute 結果は、ゲートウェイエンドポイントを使用しないトラフィックフローと類似した内容になります。

ゲートウェイエンドポイントを使用するトラフィックフローでの出力例:

traceroute to s3.us-east-1.amazonaws.com (52.217.224.112), 30 hops max, 60 byte packets
 1  * * *
 2  * * *
 3  * * *
 4  * * *
 5  * * *
 6  s3-1.amazonaws.com (52.217.224.112)  0.610 ms  0.692 ms  0.640 ms

注: ゲートウェイエンドポイントが含まれる traceroute 出力では、ラストホップのみが表示されます。ポート 80 と 443 では、類似した traceroute 結果が得られます。

Amazon S3 サーバーのアクセスログを構成する

リクエストのソースを特定するには、Amazon S3 サーバーのアクセスログを有効にします。

インターフェイス VPC エンドポイント経由のトラフィックフローを確認する

Amazon S3 エンドポイントを経由するトラフィックフローを確認するには、Amazon S3 に接続する送信元リソースの IP アドレスを参照します。インターフェイス Amazon VPC エンドポイントの設定時、AWS は、サブネット内のプライベート IP アドレスで Elastic ネットワークインターフェイスをデプロイします。このデプロイは、Amazon VPC 内のリソースと、AWS Direct Connect または AWS Site-to-Site VPN 経由で Amazon VPC に接続するオンプレミスリソースから行われる Amazon S3 バケットとの通信を許可します。また、一元型 VPC エンドポイントアーキテクチャパターンを使用する際の、他の Amazon VPC に配置されたリソースとの通信が許可されます。

S3 エンドポイントでプライベート DNS が有効かどうかを確認します。プライベート DNS が有効な場合、S3 エンドポイントはプライベートエンドポイントの IP アドレスに解決されます。

プライベート DNS は、インバウンドエンドポイントでのみ有効化することもできます。このオプションを有効にした場合、オンプレミスから行われる Amazon S3 への DNS クエリは、S3 インターフェイスエンドポイントのプライベート IP アドレスに解決されます。VPC 内から行われる Amazon S3 DNS クエリは、この場合もゲートウェイ Amazon VPC エンドポイントを使用し、Amazon S3 のパブリック IP アドレスに解決されます。

注: S3 インターフェイスエンドポイントで [DNS 名有効] を選択した場合、AWS はデフォルトで [インバウンドエンドポイントでのみプライベート DNS を有効化] を有効にします。

Amazon VPC エンドポイントの使用状況を監視するには、Amazon CloudWatch で ActiveConnections、BytesProcessed の各メトリクスを使用します。詳細については、「エンドポイント のメトリクスとディメンション」を参照してください。

関連情報

インターフェイス VPC エンドポイントを使用して Amazon S3 バケットに接続する際の接続に関する問題をトラブルシューティングする方法を教えてください

ゲートウェイ Amazon VPC エンドポイントの接続に関する問題をトラブルシューティングする方法を教えてください

インターフェイス VPC エンドポイントを使用して AWS サービスにアクセスする

Amazon S3 における VPC エンドポイント戦略の選定