VPC Latticeとは

VPC Latticeは、サービス間の通信を一貫して接続、監視、保護するアプリケーションレイヤーサービスです。

公式ドキュメントには以下のように記載されているように、アプリケーション間の通信をターゲットにしたサービスとなります。

最新のアプリケーションは、マイクロサービスと呼ばれることが多い、複数の小規模でモジュール化されたサービスで構成されます。近代化には利点がありますが、レガシーサービスに関連するネットワーキングが複雑になり、課題が生じる可能性もあります。これは多くの場合、これらのアプリケーションを構築する開発者がさまざまなコンピューティングニーズを持つさまざまなチームに分散しているためです。その結果、複数のアカウント、VPC、あるいはその両方にまたがってマイクロサービスを構築してデプロイします。
Amazon VPC Lattice は、マイクロサービスとレガシーサービスを論理的な境界内で相互接続するのに役立ち、より効率的に検出して管理できます

サポートされているプロトコルは現在（2023年5月30日）以下の3つとなります。

HTTP
HTTPS
gRPC

VPC Latticeは、異なるVPC、異なるAWSアカウントをまたがって設定可能です。
そのため、異なるVPC及びAWSアカウントにまたがるサービス間のネットワーク接続と、アプリケーションレイヤーのルーティングを自動的に管理することができます。

コンポーネント

VPC Latticeのコンポーネントについて紹介します。

サービスネットワーク

サービスとVPCを関連付けるためのコンポーネント
サービスネットワークに関連付けられたVPCは、そのサービスネットワークに関連付けられているサービスにリクエストを送信することができます。

サービス

クライアントアプリケーションからのリクエストを認証・承認し、ターゲットにルーティングします。
ほとんどALBのようなもので、以下の項目を設定できます。
- リスナー：1つまたは複数のリスナーを任意のポート番号とプロトコルで構成
- ルール：複数のターゲットグループに対して、パスベースルーティングやウェイトルーティングを構成
- ドメイン：クライアントアプリケーションが送信先に指定するドメイン。カスタムドメインの設定も可能
- サービスアクセス：クライアントアプリケーションをIAMおよび認証ポリシーで認証する。（※省略可能）

ターゲットグループ

サービスのルーティングで設定された、宛先となるアプリケーションインスタンスや、その前段のALB等
指定可能なものは以下となります。
- EC2インスタンス
- IPアドレス
- Lambda関数
- Kubernetes Pod（Gateway Controller for Kubernetes経由で指定可能）

公式ドキュメントでは、各コンポーネントについて、以下のように図示されています。

構成

全体構成としては、このようになります。

ポイント

VPCをサービスネットワークに関連付けると、ルートテーブルに、サービスネットワーク向けのルートが自動で設定されます
ターゲットグループがあるVPCはサービスネットワークとは関連付けしません
サービスネットワーク、ターゲットグループどちらのセキュリティグループでも許可をしないと、関連付けられたVPCから接続できません
クライアントのリクエスト送信先は、サービスのドメインとなります
サービスにて設定したリスナールールに従い、ターゲットグループにリクエストをルーティングします

VPC Latticeの注意点

Private Linkとの違い
- Private Link：サブネット内に Elastic Network Interface を配置することで機能し、クライアントはネットワークトラフィックを宛先サービスにトンネリングするためにヒットさせます
- VPC Lattice：サービスネットワーク内のエンドポイントをリンクローカルアドレスとして公開することで機能します
  → 送信元VPCと宛先VPCのCIDRが重複していても通信が可能
管理/運用通信をターゲットにしたサービスではない
- VPC Latticeはアプリケーション間の通信をサポートするサービスのため、踏み台サーバから各サーバへのSSH/RDPログインや、監視サーバからの監視通信などを目的に利用するサービスではありません。

VPC Latticeのユースケース

公式ドキュメントでは以下のユースケースが示されています。

・サービスを大規模に接続する
ネットワーク構成はシンプルなままに、VPCやアカウント全体で数千のサービスが接続可能です。

インフラをあまり気にせずにVPCやアカウントを接続できるのは便利ですね。

・きめ細かいアクセス許可を適用する
サービス間のセキュリティを強化し、一元化されたアクセスコントロール、認証、およびコンテキスト固有の承認により、ゼロトラストアーキテクチャをサポートします。

サービスネットワークとサービスにそれぞれ、IAMまたは認証ポリシーによる認証を行うことができます。

・高度なトラフィックコントロールを実装する
リクエストレベルのルーティングや、ブルー/グリーンおよび canary デプロイ向けの重み付けされたターゲットなど、きめ細かなトラフィックコントロールを適用します。

サービスの設定における、ルールにて細かいトラフィックコントロールを実現できます。

・サービス間のインタラクションを観察する
リクエストタイプ、トラフィック量、エラー、応答時間などについて、サービス間の通信をモニタリングおよびトラブルシューティングします。

モニタリング設定において、VPC Lattice Service に対するすべてのリクエストと、レスポンスのアクセスログを取得できます。

おわりに

今回は、以下の記事を参考に調査しました。

VPC Latticeってどんなサービス？

はじめに