Virtual Private Endpoint（VPE）とは
VPEは、自分のVPCのサブネット内のIPを指定してIBM Cloudのサービスにアクセスできる機能です。あたかも自分のVPCのサブネットにIBM Cloudのサービスがあるかのように使えます。
まずはこちらのDocsと記事を読むと理解が早いと思います。
https://cloud.ibm.com/docs/vpc?topic=vpc-about-vpe
https://qiita.com/testnin2/items/4663169274975bdb7a9e
VPEは、対応サービスが徐々に増えてきており、ICOSも使えるようになったので試してみました。
対応サービスのリストは下記にあります。
https://cloud.ibm.com/docs/vpc?topic=vpc-vpe-supported-services
VPCを作成
VPCはあらかじめ定義しておきます。今回は、東京リージョンの3つのAvailability Zoneで構成し、各ゾーンに1つずつサブネットを作成しておきます。10.244.0.0/24, 10.244.64.0/24, 10.244.128.0/24のサブネットを作りました。
VPE画面にアクセス
左上のメニューボタンから、VPCインフラストラクチャ > エンドポイント・ゲートウェイを選択します。
作成ボタンを押します。
今回は、東京リージョンのVPCに、東京リージョンのICOSへのエンドポイント・ゲートウェイを作成します。
エンドポイント・ゲートウェイが作られたら、東京リージョンの各ゾーンに1つずつVPE用のIPを予約します。
VPC内の仮想サーバーから動作確認
それぞれのサブネットに1台ずつ仮想サーバーを作成しました。
通常、s3.direct.tok.ap.cloud-object-storage.appdomain.cloudは、161.26.x.xに名前解決されます。今回、VPEを使って、10.244.x.xがICOSのエンドポイントとして動作するよう設定した事により、ゾーン1内からの名前解決要求については、自動的にIBM Cloud内のDNSで、s3.direct.tok.ap.cloud-object-storage.appdomain.cloudが10.244.0.6に名前解決されるようになっていました。
（10.244.0.6を使うために、IPアドレスの直指定やhostsファイルでの解決は不要です。）
# nslookup s3.direct.tok.ap.cloud-object-storage.appdomain.cloud
Server: 161.26.0.7
Address: 161.26.0.7#53
Non-authoritative answer:
Name: s3.direct.tok.ap.cloud-object-storage.appdomain.cloud
Address: 10.244.0.6
#
上記の名前解決を使い、awscliで、bucket一覧を取得できました。
（credentialにはICOSのHMAC形式のaccess_key_idとsecret_access_keyを指定しています）
# cat ~/.aws/config
[default]
region = jp-tok-smart
output = json
#
# aws --endpoint-url https://s3.direct.tok.ap.cloud-object-storage.appdomain.cloud s3 ls
2020-10-21 09:56:51 bucket1021
2020-10-28 01:31:47 bucket1028
#
zone2のサーバー（10.244.64.0/24）では、s3.direct.tok.ap.cloud-object-storage.appdomain.cloudはゾーン2のVPEのIPに名前解決されます。
# nslookup s3.direct.tok.ap.cloud-object-storage.appdomain.cloud
Server: 161.26.0.7
Address: 161.26.0.7#53
Non-authoritative answer:
Name: s3.direct.tok.ap.cloud-object-storage.appdomain.cloud
Address: 10.244.64.4
#
zone3のサーバー（10.244.128.0/24）では、s3.direct.tok.ap.cloud-object-storage.appdomain.cloudはゾーン3のVPEのIPに名前解決されます。
# nslookup s3.direct.tok.ap.cloud-object-storage.appdomain.cloud
Server: 161.26.0.7
Address: 161.26.0.7#53
Non-authoritative answer:
Name: s3.direct.tok.ap.cloud-object-storage.appdomain.cloud
Address: 10.244.128.5
#
以上で、VPEを使って、自分のサブネット内のIPを指定し、ICOSが使えるようになりました。