AWS PrivateLink（エーダブリューエス プライベートリンク）は、Amazon.comがAmazon Web Services（AWS）の一部として提供する、ネットワーク接続サービスである。利用者のAmazon Virtual Private Cloud（VPC）から、AWSのサービスや他のAWS利用者が提供するサービスへ、インターネットを経由せずプライベートIPアドレスで接続できるようにする。2017年11月8日に提供が始まった。

概要 VPCは、AWS上に作る論理的に分離された仮想ネットワークである。VPC内からAWSのサービスを呼び出す標準的な方法はインターネット向けに公開された窓口を使うもので、インターネットへの経路を持たないサブネットからはインターネットゲートウェイやNATデバイスが別に必要だった。AWS PrivateLinkを使うと、インターネットゲートウェイやNATデバイス、パブリックIPアドレス、AWS Direct Connect接続、Site-to-Site VPN接続のいずれも使わずに、目的のサービスやリソースへ接続できる。

接続には「VPCエンドポイント」と呼ばれる接続口を作る。PrivateLinkのエンドポイント（インターフェイスエンドポイント）は、利用者が指定したサブネットの中にネットワークインターフェイスを作り、プライベートIPアドレスを割り当てる。そのため、VPCの外にあるサービスがVPCの内側にあるかのように見える。AWSは提供開始時に、それ以前のVPCエンドポイントはVPCの外側にとどまっていたのに対し、PrivateLinkではエンドポイントがVPCの内部に作られると説明している。

Amazon Simple Storage Service（S3）とAmazon DynamoDB向けの「ゲートウェイエンドポイント」もVPCエンドポイントの一種だが、AWSはこれをPrivateLinkを使わない方式として区別している。対象はS3とDynamoDBの2つに限られ、追加料金はかからない。両サービスはゲートウェイ型・インターフェイス型のどちらでも利用できる。

料金は、エンドポイントを用意している時間に応じた時間単位の料金と、エンドポイントが処理したデータ量に応じた料金の合計である。

仕組み PrivateLinkの接続は、サービスを提供する側（プロバイダー）と利用する側（コンシューマー）の組み合わせで成り立つ。プロバイダーはAWS自身のほか、AWSのパートナーや他のAWSアカウントで、サービスはAWS上のリソースでもオンプレミス環境のサーバーでもよい。

自分のサービスを他の利用者へ公開する場合、プロバイダーはサービスをNetwork Load Balancerの背後に置き、「エンドポイントサービス」として登録する。エンドポイントサービスは既定では誰も利用できず、接続を許可するAWSのプリンシパル（アカウントや利用者）を明示的に追加する必要がある。コンシューマーは、そのエンドポイントサービスを指定して自分のVPCにエンドポイントを作る。AWSは、低レイテンシと高い可用性のために2つ以上のアベイラビリティーゾーンでサービスを提供することを推奨している。

接続はサービスやリソース単位で行われ、ネットワークどうしを相互に接続するVPCピアリングやAWS Transit Gatewayとは性質が異なる。@ITの解説では、あるVPCから別のVPCにある特定のサービスだけに接続する機能で、ネットワークのセグメント単位で通信が許されるわけではないとされている。

主な機能 インターフェイスエンドポイント PrivateLinkの基本となる方式。VPCのサブネット内にネットワークインターフェイスとプライベートIPアドレスを作り、AWSのサービス、他のAWSアカウントのエンドポイントサービス、SaaS（インターネット経由で提供されるソフトウェア）などへ接続する。2022年5月からはIPv6にも対応している。 リソースエンドポイント データベースやAmazon EC2インスタンス、IPアドレスなど、別のVPCやオンプレミス環境にある個々のリソースへ直接接続する方式。ロードバランサーを用意する必要がない。 エンドポイントポリシー VPCエンドポイントに付けるIAMのリソースベースのポリシー。そのエンドポイントを通じてどのプリンシパルがどの操作を行えるかを制御する。 プライベートDNS名 2020年1月に追加。エンドポイントサービスの提供者が独自のドメイン名を割り当てて公開し、コンシューマーはアプリケーションを変更せずにその名前で接続できる。 リージョン間接続 2024年11月に追加。それまで同一リージョン内に限られていた接続先を、同じAWSパーティション（リージョンをまとめた区分）内の別リージョンのエンドポイントサービスにも広げた。

歴史 2017年11月8日、AWSは2015年に導入したVPCエンドポイントの新しい世代としてAWS PrivateLinkを発表した。当初の対象はAmazon Kinesis、AWS Service Catalog、Amazon EC2、EC2 Systems Manager、Elastic Load Balancingの各APIであった。

同月28日、AWSは利用者自身のサービスを公開する機能を追加した。TCPの通信を受け付けるサービスをNetwork Load Balancerの背後に置き、直接またはAWS Marketplaceを通じて他のAWS利用者へ提供でき、接続の申し込みは提供者が承認または拒否する。SiliconANGLEはre:Invent 2017での発表として、AWS上でサービスを開発する事業者がVPCをインターネットにさらさずに自社サービスへのプライベートな接続口を提供できるようになったと報じた。

その後、PrivateLinkに対応するAWSのサービスが順次増え、2018年12月にはAmazon Simple Queue Service（SQS）が対応した。2021年2月にはS3向けのインターフェイスエンドポイントが一般提供された。それ以前はオンプレミス環境からS3のゲートウェイエンドポイントを使えず、プライベートIPアドレスを持つプロキシサーバーを経由させる方法が使われていた。

AWS以外の事業者が自社のSaaSを顧客のVPCへ接続する手段としても使われており、日本では2022年12月にスリーシェイクがクラウドETL（データの抽出・変換・書き出し）サービスにPrivateLink経由の接続機能を追加している。DatadogやNew Relicなどのオブザーバビリティサービスも、2026年時点で、利用者のVPC内から各社へ監視データを送る経路としてPrivateLinkのエンドポイントを提供している。

関連項目 Amazon Virtual Private Cloud AWS Transit Gateway AWS Direct Connect AWS VPN Elastic Load Balancing 仮想プライベートクラウド

脚注

外部リンク AWS PrivateLink（公式サイト・日本語） AWS PrivateLink（公式サイト・英語） AWS PrivateLinkとは（ユーザーガイド・日本語）