仮想プライベート・エンドポイント・ゲートウェイの計画

仮想プライベート・エンドポイント・ゲートウェイを作成する前に、以下の点を確認してください。

VPEの作成と構成の制限

  • 1つのVPC内に作成できるVPEは、1つのサービスにつき1つだけです。
  • VPEゲートウェイには、VPCゾーンごとに1つのIPアドレスのみをバインドできます。
  • VPEゲートウェイにバインドされた予約IPアドレスは、 Network ACL (NACL)ルールが許可している限り、同じVPC内の他のゾーンからトラフィックを受け取ることができます。

セキュリティー・グループ

  • VPEを作成する際には、最大5つのセキュリティグループをアタッチできます。 VPE の作成時にセキュリティー・グループを指定しない場合、VPC のデフォルトのセキュリティー・グループが使用されます。

    セキュリティー・グループを 1 つも選択しない場合は、新規に作成する VPE でのトラフィックの中断が最小限になるように、デフォルトのセキュリティー・グループ・ルールを更新することをお勧めします。

  • セキュリティグループは、プロビジョニング前またはプロビジョニング中（コンソール内）に作成できます。

    • セキュリティー・グループは、VPE と同じ VPC 内に作成する必要があります。
    • VPE に対して許可されるトラフィックのタイプを定義するインバウンド・ルールを構成します。 ルールごとに、以下の情報を入力します。
      • 許可されたインバウンド・トラフィックの CIDR ブロックまたは IP アドレスを指定します。 あるいは、同じ VPC 内のセキュリティー・グループを指定して、選択したセキュリティー・グループに接続されているすべてのソースへのトラフィックを許可することもできます。
      • ルールを適用するプロトコルとポートを選択します。

アカウントアカウントVPEに関する考慮事項

  • アカウントアカウントVPEsでは、対象リソースのCRNを指定する必要があります。他のアカウントのリソースは、UIやCLIを通じて検出できないためです。
  • 接続のためには、 アカウント方のアカウントが同じ IBM Cloud リージョン内にある必要があります。リージョン間の接続は、マルチゾーンリージョン（MZR）に参加しているリージョン間でのみサポートされています。
  • サービス IBM に接続するアカウントアカウントVPEはCBRの適用対象となり、 アカウントアカウントで適切なポリシー設定が必要です。
  • 対象サービスインスタンスは、サービスチームによるアカウントアクセスが有効化されている必要があります。すべての IBM Cloud サービスが委任されたVPE接続をサポートしているわけではないためです。 特定のサポートおよびアクセスモデルについては、サービス文書を確認してください。

サービス IBM Cloud へのアクセス

  • VPE またはサービス・エンドポイントを直接使用して、IBM Cloud® サービスにアクセスできます。 ただし、特定の動作または規則を VPC で実施する場合は、NACL を使用してサービス・エンドポイントの IP アドレスへの直接アクセスをブロックすることをお勧めします。 詳しくは、『エンドポイント・ゲートウェイで使用する ACL およびセキュリティー・グループの構成』を参照してください。

    IBM Cloud サービスは、同じ仮想インスタンスからサービス・エンドポイントと VPE に同時にアクセスすることをサポートしていません。

サポートされない機能

  • 以下の項目はサポートされていません：

    • IBM Cloud マルチゾーン・リージョン（MZR ）に属さないゾーンおよびリージョンで展開されるサービス
    • IBM Cloud Flow Logs for VPC
    • イグレスのカスタムルート
    • VPEへのUDPトラフィックは、 IBM Cloud Direct Link または Transit Gateway （例えば、VPEのVPC外の仮想サーバーインスタンスやベアメタルサーバーから接続する場合）上ではサポートされません。 これには、NTP（Network Time Protocol）などのUDPベースのサービスも含まれる。

建築上の制限

  • 仮想プライベート・エンドポイントは IPv4 アドレッシングのみをサポートします。
  • 各エンドポイントゲートウェイは単一のVPCにバインドされます。
  • アカウントアカウントVPEが作成されると、対象リソースを所有するアカウントは、VPEの作成および削除に関する通知をイベント Activity Tracker を通じて受け取ります。 これは重要な点です。リソース所有者はこれらのアクションを認識するために通知 Activity Tracker 機能を有効にしている必要があり、誰かがリソースに接続したかどうかを確認する唯一の手段だからです。
  • エンドポイント・ゲートウェイがサービスにマッピングされる方法は、有効にする特定の IBM Cloud サービスによって異なります。 ベストプラクティスについては、特定の IBM Cloud サービスのドキュメントを参照してください。
  • VPEゲートウェイを介したアクティブな接続の総数には制限がある。 詳細については、「 エンドポイント・ゲートウェイへの同時アクティブ接続数には制限がありますか？