ひとことで言うと
VPCとAWSサービスの間に、インターネットを経由しない専用の通路を作る仕組みです。トラフィックはプライベートIPのまま、AWSのネットワークの中だけを通ります。
要するに、ビルの内線電話です。外線（インターネットゲートウェイ）を使えば外の交換局を経由しますが、内線ならビルの中で完結します。Bedrockを内線扱いにするのがPrivateLinkの仕事です。
なぜ生まれたか
| PrivateLink以前の接続手段 | 残っていた不便 |
|---|---|
| インターネットゲートウェイ経由 | パブリックIPを使い、外部からの到達性も意識する必要がある |
| VPCピアリング | ルートテーブルの相互設定が要り、CIDRが重複すると組めない |
| VPN・Direct Connect | オンプレとの接続には有効だが、VPC↔AWSサービス間の話ではない |
PrivateLinkはインターフェースVPCエンドポイントを使ってこの隙間を埋めます。
何に使うか
| 用途 | 使い方 | 関連ドメイン |
|---|---|---|
| Bedrockモデル呼び出しを非公開に | bedrock-runtime 用インターフェースエンドポイント | D3.2 |
| Bedrockのモデルカスタマイズ・バッチ推論を保護 | 各機能ごとにVPC設定を用意 | D1.2 |
| Bedrock Agents / Knowledge Bases | bedrock-agent・bedrock-agent-runtime 用エンドポイント | D1.4, D2.1 |
| Knowledge Bases が OpenSearch Serverless を使う場合 | OpenSearch Serverless側にもインターフェースエンドポイントが必要 | D1.4 |
試験でどう問われるか
| 問われ方 | 正解に寄る条件 | 引っかけ |
|---|---|---|
| 「Bedrockへの推論トラフィックをインターネットに出したくない」 | VPCにインターフェースエンドポイント（PrivateLink）を作る | NATゲートウェイを追加する（結局インターネットに出る） |
| 「オンプレからBedrockに繋ぎたい」 | Direct Connect＋VPC内のPrivateLinkエンドポイント | PrivateLinkだけで完結すると誤答する（オンプレ側の経路は別途要る） |
| 「エンドポイントごとにアクセスできるAPIを絞りたい」 | エンドポイントポリシーをカスタムで設定 | IAMポリシーだけで十分と考える（エンドポイント側の許可も要る） |
Bedrockのインターフェースエンドポイントは機能ごとに分かれています。bedrock（コントロールプレーン）・bedrock-runtime（推論）・bedrock-agent（Agents構築時）・bedrock-agent-runtime（Agents実行時）はそれぞれ別サービス名（com.amazonaws.{region}.bedrock-runtime 等）。1つ作れば全部通ると思い込むと、Agentsだけ繋がらない事故が起きます。
実務でどう使うか
| 実務上のポイント | 内容 |
|---|---|
| プライベートDNS | 有効化すればコード変更なしで既存SDK呼び出しがエンドポイント経由になる。無効だとendpoint_urlを明示しないと届かない |
| サブネットとAZ | インターフェースエンドポイントはサブネットごとに作られ、同一AZから複数サブネットは選べない |
| 課金 | 時間課金＋データ処理課金。無料ではない |
| FIPSエンドポイント | bedrock-fips／bedrock-runtime-fipsは特定リージョン限定 |
取り違えやすいもの
| 迷う相手 | 切り分けの一言 |
|---|---|
| インターフェースエンドポイント | ENIを使い時間課金。Bedrockなど大半のAWSサービスはこちら |
| ゲートウェイエンドポイント | ルートテーブルに追加するだけで無料。S3とDynamoDBだけが対象で、Bedrockには使えない |
| VPCピアリング | VPC同士を繋ぐ。PrivateLinkはVPCとサービス（またはVPC）を繋ぐ非対称の接続 |
想起チェック
Q1. Bedrock Agentsの実行時APIを非公開にするには、どのエンドポイントを作る？
bedrock-agent-runtime 用のインターフェースエンドポイントです。bedrock-runtime（モデル推論）とは別サービス名なので、両方必要な構成では両方作る必要があります。
Q2. S3向けのゲートウェイエンドポイントと同じ感覚でBedrock用のエンドポイントを作れる？
作れません。 Bedrockはインターフェースエンドポイント（PrivateLink・時間課金）のみで、ゲートウェイエンドポイント（無料）はS3とDynamoDB限定です。