privateなAmazon Workspacesの環境からS3へのアクセス方法

Question

Amazon Workspacesの環境についてです。

現在、VPC内にRDS,Amazon OpenSearch Serviceを作成しており、
これらにアクセスする為の環境として同VPC内にworkspacesを作成しています。
但し、privateな環境で外部との通信は行っていない環境です。

そこで質問なのですが、
RDSにアクセスするためのDBクライアントの導入を行いたいのですが、
AWS初学者のため良い方法が思いつかず困っており、アドバイス頂きたいです。

考えたこととしてはS3にDBクライアントのインストーラーを格納し、
workspacesから参照&インストールを考えましたが、どうやって外部通信が遮断されている状態で、
VPC外に存在しているS3を参照してよいか分からず…。
その他にもWorkDocs経由でクライアント追加を考えましたが、外部通信が出来てない為利用不可でした。

他にも良い方法があるかもしれませんが、インストーラー等のファイルをやり取りするだけなので、
低コストで運用が出来る方法があればご教授頂きたいです。よろしくお願いします。

Answer 1

プライベートサブネット内からAWSの各サービスにアクセスするには、プライベートサブネットの内部から各サービスのエンドポイントに対する通信経路を確保する必要があります。

主な方法は下記の２つです

• NATを使ってプライベートサブネットの内部からインターネットに対するリクエストを通す

NATを自分で作ってもいいですが、NAT Gatewayというサービスがあります。ただ、安くはないのでご注意を。
逆にインターネットからプライベートサブネットへのリクエストは通りません。

• VPCエンドポイントを使う

こちらが一般的ですね。やや古いですが以下の記事などをご参照ください。
【新機能】S3がVPCのプライベートサブネットからアクセス可能になりました！
他にも検索すると同様の記事がたくさん出てくるはずです。

S3を使わない方法だと、EFSとかに格納してマウントする、なんてのもアリですね。
そもそもの話として、workspacesをプライベートサブネットに置かない、という方法も考えられますけど。

Comments

[Laskarina]

教えて頂いたVPCエンドポイント作成し、パブリックアクセスを許可したバケットから無事にファイルダウンロード出来ました。

アドバイス頂き本当に助かりましたありがとうございます。

[yu_1985]

そもそもですが、このためだけに高額なWorkspacesを使う必要もあまりない気がしていて
単にOpenSearchにアクセスしたいのであればパブリックサブネットにプロキシを立てれば十分だと思います。
この辺は実は過去にQiitaに記事を書いたのでよかったら参考にしてみてください。
古い記事なのでいまだともう少しいい方法があるかもしれません。プロキシの構築はnginxでなくても出来ますしね。
https://qiita.com/yutaro1985/items/4d3126ba142bf66ab1d1

プライベートサブネット内のRDSにアクセスするのもパブリックサブネットに置いたインスタンスを経由すればいいだけかなと思います。
この辺はローカルのクライアントからポートフォワードでつなぐ手順が調べればたくさん出てくるので興味があれば調べてみてください。