【アップデート】AWSマネージメントコンソールへVPCエンドポイント経由でアクセス可能になりました

こんばんは。小寺です。
AWSマネージメントコンソールにアクセスするときってどうされていますか。
プライベートアクセスなるものがGAになっております。

https://aws.amazon.com/about-aws/whats-new/2023/05/aws-management-console-private-access/

どのような仕組みなの？

プライベートアクセスという言葉に思わず反応しちゃいますよね。
仕組としては、AWS マネジメントコンソールの VPC エンドポイントポリシーを使用して実装できます。静的コンテンツ (JavaScript、CSS、画像) や AWS PrivateLink で有効になっていないAWSリソースへアクセスするには、インターネット接続が引き続き必要です。
VPCエンドポイントはマネジメントコンソールでアクセスするリージョンごとに以下の2つが必要です。
・com.amazonaws.region.console
・com.amazonaws.region.signin

また、 US East (N. Virginia)リージョンにもアクセスの有無に関わらずVPCエンドポイントが必要です。
ネットワークトラフィックをそれぞれの VPC エンドポイントにルーティングるためのDNS設定も必要です。
DNS側でaws.amazon.comのゾーンを作成して、CNAME設定を行います。
・AWS サインイン VPC エンドポイント用：region.signin.aws.amazon.com
・AWS マネジメントコンソール VPC エンドポイント用：region.console.aws.amazon.com
・米国東部 (バージニア北部) (us-east-1) の AWS サインイン VPC エンドポイント用：signin.aws.amazon.com

基本的にはこちらのDNSレコードでOKですが、サービスによってはsupport.console.aws.amazon.com、s3.console.aws.amazon.comなどFQDNが異なる場合があります。

どんなときに活用できそう？

オフィシャルドキュメントを確認する限りはクローズドネットワークに閉じてアクセスを目指すというよりは、
AWS マネジメントコンソールへのアクセスを、組織内のAWSアカウントに限定して利用をする意味合いが強いです。
メリットとしては、ユーザーがネットワーク内から意図していないAWSアカウントにサインインするのを防ぐことができます。
以下はVPCエンドポリシーで2アカウントのみに限定してる例です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "",
      "Action": "",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalAccount": [ "111122223333", "222233334444" ]
        }
      }
    }
  ]
}