VPC Endpoint

Définition

Un VPC Endpoint AWS permet à des ressources dans un VPC privé de se connecter aux services AWS (S3, DynamoDB, SQS, KMS, etc.) ou aux services exposés via AWS PrivateLink sans passer par Internet, une NAT Gateway, ou un VPN. Le trafic reste entièrement dans le réseau d'AWS (backbone interne), améliorant la sécurité et potentiellement réduisant les coûts de transfert de données. Il existe deux types de VPC Endpoints. Les Gateway Endpoints supportent uniquement S3 et DynamoDB : ils fonctionnent comme des routes dans la table de routage du VPC. Les Interface Endpoints (basés sur AWS PrivateLink) supportent la quasi-totalité des services AWS et des services partenaires : ils créent une ENI (Elastic Network Interface) dans le subnet sélectionné avec une adresse IP privée du VPC, accessible via DNS. Du point de vue de la sécurité, les VPC Endpoints offrent plusieurs avantages majeurs. Premièrement, ils permettent de s'assurer que les communications avec les services AWS ne transitent pas par Internet, réduisant la surface d'exposition aux interceptions. Deuxièmement, les VPC Endpoint Policies (politiques attachées au endpoint) permettent de restreindre quels buckets S3 ou quelles tables DynamoDB sont accessibles depuis le VPC, ajoutant une couche de contrôle supplémentaire. Les VPC Endpoint Policies sont particulièrement utiles pour prévenir les attaques de type data exfiltration : en restreignant l'accès S3 uniquement aux buckets de l'organisation (via aws:ResourceOrgID ou une liste de buckets spécifiques), on empêche une instance compromise d'exfiltrer des données vers un bucket S3 contrôlé par un attaquant, même depuis le même compte AWS. Les bonnes pratiques incluent : déployer des Interface Endpoints pour tous les services AWS utilisés (EC2, KMS, Secrets Manager, STS, SSM) dans les VPCs sans accès Internet (private subnets), configurer des Endpoint Policies restrictives, et combiner avec des Security Groups sur les Interface Endpoints pour contrôler finement les sources autorisées.