AWSマネジメントコンソールが、パブリックインターネットへの経路が一切存在しないネットワーク内で読み込まれるようになりました。Console Private Accessは、インターネット接続を一切持たないバーチャルプライベートクラウド(VPC、AWS内で顧客が運用する隔離ネットワーク)向けに、8月28日に一般提供が開始されました。認証フロー、ページ描画に使われるJavaScript・CSS・画像、コンソール専用API、対応コンソールのサービスAPI呼び出しは、すべてPrivateLinkエンドポイント経由で流れます。インターネットゲートウェイもNATゲートウェイも、維持管理が必要なプロキシの許可リストも不要です。
Console Private Access(出典: AWS)
これにより、規制の厳しい環境で運用に携わる担当者たちが2023年以来回避策を講じてきたギャップが埋まりました。コンソール、サインイン、サービスAPIのトラフィックはすでにプライベートエンドポイント経由でルーティング可能でしたが、静的アセットとコンソール専用APIは依然として外部から取得する必要があり、選択肢は「コンソールのためにネットワークに穴を開けるか」「すべてをコマンドラインから行うか」の2つしかありませんでした。
構築すべきもの
リージョンごとに3つのインターフェースエンドポイントがこの機能を支えています。コンソール用、サインイン用、コンソール専用API用です。3つ目が必要になるのは、VPCにインターネット経路が一切ない場合のみです。プライベートDNSがコンソールドメインをこれらのエンドポイントに解決する必要があり、エンドポイントのセキュリティグループはワークロードのサブネットからのHTTPSを許可しなければなりません。許可されていないと、接続は何のエラーも出さずに失敗します。正しく機能しているかどうかは2つの方法で確認できます。コンソールのナビゲーションバーに表示される鍵アイコンと、vpcEndpointIdフィールドが記入されたCloudTrailのConsoleLoginイベントです。
自分自身のアカウントへのサインインを阻止する仕組み
aws:PrincipalOrgIDとaws:ResourceOrgIDを用いたエンドポイントポリシーにより、社内ネットワークからコンソールに到達できるIDと、そのセッションがアクセスできるリソースを制限できます。サインインリソースコントロールポリシーはさらにもう1層の防御となり、想定外のネットワークから届いた認証を拒否します。
正しい認証情報であっても、想定外の場所から提示された場合はコンソールが読み込まれる前のサインイン段階で弾かれます。これにより、社内ネットワークを使って個人のAWSアカウントにサインインし、ブラウザ経由でデータを持ち出すといった行為を防ぐことができます。
依然としてインターネットが必要な部分
IAM Identity CenterのサインインにはまだVPCエンドポイントが用意されていないため、最初のシングルサインオインは依然としてパブリックインターネットを経由します。対応しているサービスコンソールは一部にとどまり、各サービスは前述の3つに加えて独自のエンドポイントを必要とします。KMSエンドポイントを用意せずにKMSコンソールを開くと、キー一覧の読み込みが止まったままになります。1つのコンソールページが複数のサービスAPIを呼び出すことも多いため、エンドポイントの不足は空のパネルという形で表れがちです。PrivateLinkに対応していないサービスのコンソールは、インターネット接続のないVPCではまったく読み込まれません。また、すべてのエンドポイントはリージョンごとに標準のPrivateLink料金が課金されます。
サインインポリシーの設定を誤ると、組織全体がコンソールから締め出されてしまいます。強制適用を有効にする前に、除外対象となる緊急用(break-glass)ロールを設定しておく必要があります。また、SigV4で署名されたCLIおよびSDKのリクエストはこれらのポリシーの影響を受けないため、復旧の際の抜け道になることも覚えておくべきでしょう。
翻訳元: https://www.helpnetsecurity.com/2026/08/31/amazon-aws-console-private-access/
