AWS PrivateLink

cloud

Définition

AWS PrivateLink est un service réseau d'Amazon Web Services permettant à des ressources déployées au sein d'un VPC (Virtual Private Cloud) d'accéder de manière sécurisée à des services AWS natifs, à des services proposés par des éditeurs tiers sur l'AWS Marketplace, ou à des services privés hébergés dans un autre VPC (y compris appartenant à un compte AWS différent), sans que ce trafic ne transite jamais par l'internet public, éliminant ainsi une surface d'exposition significative comparée à une connectivité traditionnelle passant par une passerelle internet. Le mécanisme technique repose sur des endpoints VPC de type Interface, matérialisés par des interfaces réseau élastiques (ENI) disposant d'adresses IP privées directement au sein des sous-réseaux du VPC client, auxquelles les applications se connectent comme s'il s'agissait d'un service local, le trafic restant intégralement confiné au sein du réseau privé d'AWS entre le VPC consommateur et le service fournisseur, y compris lorsque ce dernier appartient à une organisation tierce totalement distincte. Cette approche élimine le besoin de peering VPC complexe, de règles de pare-feu exposant des plages IP publiques, ou de configuration de VPN pour les connexions inter-VPC, tout en réduisant significativement la surface d'attaque exploitable puisque le service n'est jamais accessible directement depuis internet.

Description

AWS PrivateLink permet aux VPC d'accéder à des services AWS ou à des services hébergés par des partenaires via des endpoints VPC Interface (ENI avec IP privée), sans que le trafic ne traverse Internet. Il élimine le besoin d'Internet Gateway, NAT Gateway ou peering VPC pour les services supportés.

Contexte cloud

Pour les services AWS (S3, STS, ECR, SSM), créer des endpoints VPC Interface dans chaque sous-réseau applicatif. Les endpoint policies permettent de restreindre les actions et les principals autorisés à transiter par l'endpoint, ajoutant une couche de contrôle supplémentaire.

Points clés

CLI : aws ec2 create-vpc-endpoint --vpc-endpoint-type Interface --service-name com.amazonaws.eu-west-1.s3
Endpoint policy S3 : restreindre à un bucket spécifique pour éviter l'exfiltration via d'autres comptes S3
Activer Private DNS pour que les appels SDK utilisent automatiquement l'endpoint privé sans modification du code

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis