AWS PrivateLinkとの統合

AWS PrivateLink AWSで実行されているインスタンスまたはアプリケーション間のデータ接続に、パブリックインターネットではなくAWSプライベート接続を使用するようにAWSデプロイメントを設定できます。Workload Security。

AWS PrivateLinkを使用せずにWorkload Securityに接続する

Workload Security の標準配信モデルでは、 Deep Security Agent、すべてのAPIベースのアプリケーション、および次の4つのサービスに対するブラウザベースの管理アクセスからのデータ接続に公衆インターネットからアクセスする必要があります。

サービスアドレス（インターネット接続）	Description
relay.deepsecurity.trendmicro.com	Deep Security Agentによるセキュリティアップデートおよびパッケージの取得
agents.deepsecurity.trendmicro.com	Deep Security Agentのトラフィック
dsmim.deepsecurity.trendmicro.com	Deep Security Agentのトラフィック
app.deepsecurity.trendmicro.com	APIおよびブラウザベースの管理アクセス

Workload Security ネットワーク要件の詳細については、ポート番号、URL、およびIPアドレスを参照してください。

AWS PrivateLinkは Workload Securityとどのように連携しますか？

Workload SecurityでAWS PrivateLinkを使用する場合、上記の表に示す4つのサービスは、VPCサービスエンドポイントとしてアクセスされます。

プライベートDNSホストゾーンは、AWS Route53サービスとVPCサービスを使用して、これらの4つのサービスに送信されるトラフィックを、パブリックインターネットではなく、直接プライベートVPCサービスエンドポイントアドレスにルーティングします。

たとえば、 Workload SecurityにPrivateLinkを使用する場合、agents.deepsecurity.trendmicro.comはパブリックIPアドレスにマッピングするのではなく、VPCサービスエンドポイントのプライベートIPに解決します。その結果、 Deep Security Agentからの接続はVPCサービスエンドポイントで終了し、パブリックインターネットではなくAWS PrivateLinkを使用してルーティングされます。

AWS PrivateLinkで使用するVPCサービスエンドポイント

サービスアドレス	Description	AWS PrivateLinkで使用するVPCサービスエンドポイント
relay.deepsecurity.trendmicro.com	Deep Security Agentによるセキュリティアップデートおよびパッケージの取得	com.amazonaws.vpce.us-east-1.vpce-svc-0ca160f19663f348e
agents.deepsecurity.trendmicro.com	Deep Security Agentのトラフィック	com.amazonaws.vpce.us-east-1.vpce-svc-0ecb2dc36c34b3aef
dsmim.deepsecurity.trendmicro.com	Deep Security Agentのトラフィック	com.amazonaws.vpce.us-east-1.vpce-svc-01a733ad6b4b0afc1
app.deepsecurity.trendmicro.com	APIおよびブラウザベースの管理アクセス	com.amazonaws.vpce.us-east-1.vpce-svc-04912367f0b0c73d9

AWS PrivateLinkを使用している場合でも、上記の表にないDeep Security Agentのトラフィック（Trend Micro Smart Protection ネットワーク向けのトラフィックなど）は、VPCからインターネットに直接ルーティングする必要があります。 Workload Security ネットワーク要件の完全なリストについては、ポート番号、URL、およびIPアドレスを参照してください。

Workload Security VPCサービスエンドポイント地域のサポート

Workload Security では、 us-east-1（ノースバージニア州） 地域のすべてのアベイラビリティゾーンでVPCサービスエンドポイントを提供しています。具体的には、これらの可用性ゾーンID（az-ids):

use1-az1
use1-az2
use1-az3
use1-az4
use1-az5
use1-az6

（使用可能なゾーン名は、AWSアカウントによって異なります。）

Workload Security

Workload Securityが提供するサービスごとに、 us-east-1 でVPCエンドポイントを作成します。4つのサービスについては、上記の表を参照してください。
VPCでDNSホスト名とDNS解決が有効になっていることを確認します。
deepsecurity.trendmicro.com ドメインのプライベートホストゾーンを設定します。手順1で作成したVPCエンドポイントにマップされる Workload Security が公開するサービス（リレー、エージェント、dsmim、app）に別名エントリを追加します。
nslookupのようなツールを使用して、サービスのDNSアドレスがパブリックインターネットアドレスではなくプライベートIPを指していることを確認します。

トラフィックがVPCサービスエンドポイントのない地域から発信された場合はどうなりますか？

トラフィックがus-east-1以外の地域から発信された場合（つまり、対応する Workload Security VPCサービスエンドポイントがその地域で使用可能でない場合)、VPCピアリングを使用して他のリージョンまたはAWSアカウントのVPCをus-east-1でホストするVPCに接続できます。そのVPCは、トレンドマイクロが公開している Workload Security PrivateLinkサービスエンドポイントにトラフィックを転送します。AWSでは、このタイプの設定の例を提供しています。

AWS PrivateLinkを使用するすべてのVPCで引き続きDNSホスト名とDNS解決を有効にする必要があります。さらに、DNS解決のためにRoute53レコードを設定する必要があります（Workload Securityでの使用のためにPrivateLinkを設定するの手順2と3）。

VPCピアリングの使用の詳細については、 VPCピアリングとはを参照してください。 AWSドキュメントのを参照してください。