非公開 Networking／非公開 EndpointでAIを閉域化する

Private Endpoint／PrivateLink／Private Service Connectは、AI serviceへpublic internetを経由しな��private pathを提供できます。ただしendpointを作成しただけでend-to-endの閉域化が完成するとは扱いません。

閉域化は少なくとも、private path、public endpointの状態、DNS、authorization policy、Agent egress、dependent serviceを別々に検証します。

対象AI serviceのcontrol plane、runtime、Agent、streaming等をinventoryし、必要なendpoint/subresourceを列挙します。一つのprivate endpointでservice family全体がprivate化されたとは推定しません。

private endpointの存在とは別にpublic network access/firewallを確認します。provider/serviceがpublic endpointとの共存を許す場合、private-only要件ではpublic accessを明示的に無効化します。

設定値だけでなく、許可されていないnetworkからpublic endpointが拒否されるnegative testをchange gateにします。

workloadが使用する通常FQDNを、実際のworkload networkから解決し、private IPまたは意図したPSC/private pathへ向くことを確認します。

private DNS zone、custom/on-prem resolver、conditional forwarding、split-horizon、cache、region別hostnameを管理対象にします。

DNSがpublic IPへ解決する場合、private endpoint objectが存在していてもprivate path利用を証明したことにはしません。

network pathとauthorizationを分離します。

endpoint policy、IAM/identity policy、resource policy、service-specific authorizationを必要に応じて重ねます。endpoint policyをIAM/resource policyの代替とは扱いません。

provider defaultがfull accessの場合はprincipal/action/resourceを明示的に縮小します。

private ingressとAgent/managed runtimeのegressを別gateにします。

Agentがtool、web、MCP、storage、search、vector DB、KMS等へ接続する経路をinventoryし、public internetが不要ならproxy/NAT/egress rule/perimeterでdeny-by-defaultにします。

private AI endpointが存在することを、Agentのinternet egress禁止の証拠にはしません。

AI serviceが利用するstorage、search、database、artifact registry、KMS、observability、tool APIについてもpublic/private pathを確認します。

一つでも機密data pathがpublic routeへ残る場合、「end-to-end閉域」と表現しません。

on-premises/別VPC/VNetからの利用ではVPN、ExpressRoute、Cloud VPN、route advertisement、resolver forwardingを個別に検証します。

private endpointのIPが存在することだけでhybrid clientから到達可能とは扱いません。

deployment/change時に少なくとも次をreadbackします。

• endpoint/subresource inventory
• public-network-access state
• workload-context DNS resolution
• route/security-group/firewall state
• endpoint/IAM/resource policy
• dependent service paths
• Agent egress path
• private-path success test
• public-path negative test
• flow/access log

public endpoint left enabled、private DNS missing、split-horizon mismatch、stale cache、wrong region、missing runtime/agent endpoint、default full endpoint policy、overbroad IAM、wrong subresource、public dependency、Agent egress bypass、perimeter exception、overbroad proxy/NAT、hybrid route failure、DNS zone collision、IPv6/alternate hostname bypass、hard-coded public SDK endpoint、unsupported feature、streaming path difference、failover public fallbackを想定します。

本項は2026-10-06時点のAWS Bedrock PrivateLink、Azure Private Link/Foundry network isolation、Google Vertex AI/Agent Engine PSCおよびVPC Service Controlsの公開資料に基づきます。organization tenantへのnetwork mutation、DNS/route/flow-log/public-path live testは未実施です。

Private Endpoint／PrivateLink／PSCはAI serviceへのprivate pathを提供できますが、endpointを作成しただけでend-to-endの閉域化が完成するとは扱いません。public network access、DNS resolution、endpoint/IAM/resource policy、Agent egress、dependent service、hybrid routeを個別に固定し、workloadからprivate pathをreadbackし、public pathが拒否されることをnegative testで確認します。

organization cloud/provider、region、AI service/features、public-network-access state、endpoint/subresource inventory、DNS/resolver topology、endpoint/IAM/resource policies、Agent runtime/tool egress、VPC SC/perimeter、dependencies、hybrid routes、IPv6、streaming/WebSocket、failover、break-glass、flow/access logs、quotas/cost、tenant-specific support limitationsは未確認です。