# Private Networking／Private EndpointでAIを閉域化する CURRENT_STATUS: CURRENT OBSERVATION: SPEC_ONLY FRESHNESS: CURRENT PAGE_TYPE: reference CANONICAL_URL: /tools/ea-258-private-networking-private-endpoint-ai CLAIM_IDS: none EVIDENCE_IDS: EA-258-CURRENT-APPROVAL, EA-258-CURRENT-BODY-READBACK UNKNOWN_IDS: EA-258-UNKNOWN-01 OPS_IDS: none ## Summary Private Endpoint／PrivateLink／Private Service Connectは、AI serviceへpublic internetを経由しないprivate pathを提供できます。ただしendpointを作成しただけでend-to-endの閉域化が完成するとは扱いません。 ## Current judgment Private Endpoint／PrivateLink／Private Service Connectは、AI serviceへpublic internetを経由しないprivate pathを提供できます。ただしendpointを作成しただけでend-to-endの閉域化が完成するとは扱いません。 ## Scope Private Networking／Private EndpointでAIを閉域化する ## Confirmed ## UNKNOWN - EA-258-UNKNOWN-01: organization cloud/provider、region、AI service/features、public-network-access state、endpoint/subresource inventory、DNS/resolver topology、endpoint/IAM/resource policies、Agent runtime/tool egress、VPC SC/perimeter、dependencies、hybrid routes、IPv6、streaming/WebSocket、failover、break-glass、flow/access logs、quotas/cost、tenant-specific support limitationsは未確認です。 ## Evidence - EA-258-CURRENT-APPROVAL (RESEARCH): 現行本文の監査・revision対応 - EA-258-CURRENT-BODY-READBACK (IMPL): 現行本文の収録照合 ## Failure / limits public endpoint left enabled、private DNS missing、split-horizon mismatch、stale cache、wrong region、missing runtime/agent endpoint、default full endpoint policy、overbroad IAM、wrong subresource、public dependency、Agent egress bypass、perimeter exception、overbroad proxy/NAT、hybrid route failure、DNS zone collision、IPv6/alternate hostname bypass、hard-coded public SDK endpoint、unsupported feature、streaming path difference、failover public fallbackを想定します。 ## Practice 本項は2026-10-06時点のAWS Bedrock PrivateLink、Azure Private Link/Foundry network isolation、Google Vertex AI/Agent Engine PSCおよびVPC Service Controlsの公開資料に基づきます。organization tenantへのnetwork mutation、DNS/route/flow-log/public-path live testは未実施です。 ## PUBLIC_CLAIM Private Endpoint／PrivateLink／Private Service Connectは、AI serviceへpublic internetを経由しないprivate pathを提供できます。ただしendpointを作成しただけでend-to-endの閉域化が完成するとは扱いません。 閉域化は少なくとも、private path、public endpointの状態、DNS、authorization policy、Agent egress、dependent serviceを別々に検証します。 ## PRIVATE_PATH 対象AI serviceのcontrol plane、runtime、Agent、streaming等をinventoryし、必要なendpoint/subresourceを列挙します。一つのprivate endpointでservice family全体がprivate化されたとは推定しません。 ## PUBLIC_EXPOSURE private endpointの存在とは別にpublic network access/firewallを確認します。provider/serviceがpublic endpointとの共存を許す場合、private-only要件ではpublic accessを明示的に無効化します。 設定値だけでなく、許可されていないnetworkからpublic endpointが拒否されるnegative testをchange gateにします。 ## DNS workloadが使用する通常FQDNを、実際のworkload networkから解決し、private IPまたは意図したPSC/private pathへ向くことを確認します。 private DNS zone、custom/on-prem resolver、conditional forwarding、split-horizon、cache、region別hostnameを管理対象にします。 DNSがpublic IPへ解決する場合、private endpoint objectが存在していてもprivate path利用を証明したことにはしません。 ## AUTHORIZATION network pathとauthorizationを分離します。 endpoint policy、IAM/identity policy、resource policy、service-specific authorizationを必要に応じて重ねます。endpoint policyをIAM/resource policyの代替とは扱いません。 provider defaultがfull accessの場合はprincipal/action/resourceを明示的に縮小します。 ## AGENT_EGRESS private ingressとAgent/managed runtimeのegressを別gateにします。 Agentがtool、web、MCP、storage、search、vector DB、KMS等へ接続する経路をinventoryし、public internetが不要ならproxy/NAT/egress rule/perimeterでdeny-by-defaultにします。 private AI endpointが存在することを、Agentのinternet egress禁止の証拠にはしません。 ## DEPENDENCIES AI serviceが利用するstorage、search、database、artifact registry、KMS、observability、tool APIについてもpublic/private pathを確認します。 一つでも機密data pathがpublic routeへ残る場合、「end-to-end閉域」と表現しません。 ## PROVIDER_BOUNDARIES ### AWS Amazon Bedrockではbedrock、bedrock-runtime、bedrock-agent、bedrock-agent-runtime等が別interface endpoint serviceです。必要APIをinventoryします。Private DNSとendpoint policyを確認し、default full-access policyをそのままleast-privilegeと扱いません。 ### Azure Private Endpointはprivate IP/pathを提供しますが、public network accessを必ず自動停止するとは扱いません。public access/firewallとPrivate DNSを別gateにします。Foundry/Agent/toolのnetwork-isolation supportはfeatureごとに確認します。 ### Google Cloud Private Service ConnectとVPC Service Controlsを別controlとして扱います。Vertex AI Agent Engineではmanaged runtimeからVPCへのPSC interface、internet egress、proxy/NAT、service perimeterの組合せを確認します。 ## HYBRID on-premises/別VPC/VNetからの利用ではVPN、ExpressRoute、Cloud VPN、route advertisement、resolver forwardingを個別に検証します。 private endpointのIPが存在することだけでhybrid clientから到達可能とは扱いません。 ## VERIFICATION deployment/change時に少なくとも次をreadbackします。 - endpoint/subresource inventory - public-network-access state - workload-context DNS resolution - route/security-group/firewall state - endpoint/IAM/resource policy - dependent service paths - Agent egress path - private-path success test - public-path negative test - flow/access log ## FAILURE_ENVELOPE public endpoint left enabled、private DNS missing、split-horizon mismatch、stale cache、wrong region、missing runtime/agent endpoint、default full endpoint policy、overbroad IAM、wrong subresource、public dependency、Agent egress bypass、perimeter exception、overbroad proxy/NAT、hybrid route failure、DNS zone collision、IPv6/alternate hostname bypass、hard-coded public SDK endpoint、unsupported feature、streaming path difference、failover public fallbackを想定します。 ## IMPLEMENTATION_STATE 本項は2026-10-06時点のAWS Bedrock PrivateLink、Azure Private Link/Foundry network isolation、Google Vertex AI/Agent Engine PSCおよびVPC Service Controlsの公開資料に基づきます。organization tenantへのnetwork mutation、DNS/route/flow-log/public-path live testは未実施です。 ## SAFE_WORDING Private Endpoint／PrivateLink／PSCはAI serviceへのprivate pathを提供できますが、endpointを作成しただけでend-to-endの閉域化が完成するとは扱いません。public network access、DNS resolution、endpoint/IAM/resource policy、Agent egress、dependent service、hybrid routeを個別に固定し、workloadからprivate pathをreadbackし、public pathが拒否されることをnegative testで確認します。 ## OPEN_UNKNOWN organization cloud/provider、region、AI service/features、public-network-access state、endpoint/subresource inventory、DNS/resolver topology、endpoint/IAM/resource policies、Agent runtime/tool egress、VPC SC/perimeter、dependencies、hybrid routes、IPv6、streaming/WebSocket、failover、break-glass、flow/access logs、quotas/cost、tenant-specific support limitationsは未確認です。 NEXT: /agent/start.json STOP: This is a knowledge projection, not an execution order.