AWS MGNを閉域環境で使うために必要なS3 VPCエンドポイントとは？

2026年9月14日

AWS Application Migration Service（AWS MGN）でオンプレミスサーバーをAWSへ移行する際、インターネットを経由しない閉域構成にしたいケースがあります。このとき迷いやすいのが、S3 VPCエンドポイントとしてGateway型とInterface型のどちらを用意すべきかです。

結論は、通信元を「オンプレミスのソースサーバー」と「AWS上のステージングエリアサブネット」に分けて考えることです。両者では必要なエンドポイントが異なります。

確認日：2026年9月14日。AWS公式ドキュメントでは現在「AWS Transform MGN」と表記されています。本記事ではMGNと略し、主にオンプレミスからEBSを利用する通常の移行構成を扱います。

結論：通信元ごとに必要なS3エンドポイントが異なる

通信元	用途	閉域時に検討するS3エンドポイント
オンプレミスのソースサーバー	Replication Agentインストーラーなどへのアクセス	Interface型
AWSのステージングエリアサブネット	レプリケーションサーバーからS3へのアクセス	Gateway型

MGN用のInterface VPCエンドポイントだけを作れば完了、あるいはS3 Gatewayエンドポイントだけあれば完了、とは限りません。

MGNのネットワーク通信を2つに分けて理解する

1. ソースサーバーからAWSサービスへの通信

オンプレミスのソースサーバーに導入したAWS Replication Agentは、MGN APIへTCP 443で継続的に通信します。また、Agentインストーラー取得などのためにS3へのアクセスも考慮が必要です。

オンプレミスからAWSサービスのパブリックエンドポイントへのHTTPS通信を許可しない場合、MGNとS3のInterface VPCエンドポイントをVPC側に作成し、Direct ConnectまたはVPN経由で接続します。

2. ステージングエリアサブネットからS3への通信

MGNがAWS側に作成するレプリケーションサーバーは、ステージングエリアサブネットに配置されます。このサブネットにNAT Gatewayなどのインターネット向け経路がない場合、S3への経路としてGateway VPCエンドポイントを使用できます。

つまりGateway型は主にVPC内のレプリケーションサーバー用、Interface型はオンプレミスのソースサーバー用と整理できます。

閉域MGNの構成要素

厳格な閉域構成では、少なくとも次の要素を確認します。

MGNのInterface VPCエンドポイント（ソースサーバー・ステージングエリアから接続）
EC2のInterface VPCエンドポイント（ステージングエリアからEC2 APIへ接続）
S3のInterface VPCエンドポイント（オンプレミス向け）
S3のGateway VPCエンドポイント（ステージングサブネット向け）
Route 53 Resolverインバウンドエンドポイント
オンプレミスDNSからAWS側への条件付きフォワーダー
Direct ConnectまたはSite-to-Site VPN
必要なTCP 443とレプリケーション通信用ポート

オンプレミス側でAWSサービスのDNS名をInterface VPCエンドポイントのプライベートIPへ解決させるには、DNS設計が重要です。Route 53 Resolverインバウンドエンドポイントを作るだけでなく、オンプレミスDNSから適切に問い合わせを転送する必要があります。

S3 Gatewayエンドポイントポリシーの注意点

ステージングエリアサブネットがインターネットへ出られない場合、Gatewayエンドポイントポリシーを過度に制限すると、レプリケーションサーバーが必要なパッケージを取得できず、処理に失敗する可能性があります。

特に、MGNが利用するOSパッケージリポジトリのS3バケットが許可対象に含まれているか確認してください。バケット名や必要なリソースARNはリージョンやAWSドキュメントの更新によって変わり得るため、構築時点の公式ネットワーク要件を参照するのが安全です。

よくある設計ミス

S3 Gatewayエンドポイントだけでオンプレミスから接続しようとする

Gateway型VPCエンドポイントはVPCのルートテーブルを利用する仕組みであり、オンプレミスから直接利用する用途には対応しません。オンプレミスから閉域でS3へ接続する場合はInterface型を使います。

Interface型だけを作り、ステージング側の経路を確認しない

オンプレミスからのAPI通信が成功しても、ステージングサブネットからS3へ到達できなければ移行処理は完了しません。ステージングサブネットに関連付いたルートテーブルを確認し、S3 Gatewayエンドポイントの経路が存在するか確認します。

DNSとセキュリティグループを見落とす

Interface型はENIに設定したセキュリティグループでHTTPSを許可する必要があります。Interface型を使う通信では、DNSが意図したENIのIPを返しているか確認します。S3 Gateway型ではパブリックIPに解決されても利用できるため、両者を混同しないでください。

TCP 443とTCP 1500を別々に確認する

API通信とレプリケーション通信は別経路です。ソースサーバーからMGN APIへはTCP 443、ソースサーバーからステージングエリアのレプリケーションサーバーへはTCP 1500が必要です。MGN用Interfaceエンドポイントに1500番を開けても、レプリケーション先サーバーへの疎通確認にはなりません。

プライベート経路でデータを転送する場合は、レプリケーション設定の「Use private IP」を確認し、パブリックIP作成の設定も閉域要件と合わせます。往路だけでなく、ステージング側からオンプレミスへの戻り経路も確認してください。

S3ポリシーではAL2023リポジトリも確認する

MGN用バケットだけを許可する構成では、Amazon Linux 2023のパッケージ取得が抜ける場合があります。公式の接続要件にあるMGN関連、ハッシュ、SSM、AL2023リポジトリのバケット一覧を、対象リージョンに置き換えて照合してください。

AL2023リポジトリはdual-stack形式のS3ホスト名を使用します。エンドポイントポリシーが許可していても、DNSが返すアドレスと実際のIP経路が一致しなければ接続できません。ポリシーと通信経路を別々に確認します。

試験結果を残すための確認表

試験元	確認先	残す結果
ソースサーバー	MGN・S3の実際のホスト名	名前解決先、TCP 443の可否、Agent導入ログ
ソースサーバー	レプリケーションサーバーのプライベートIP	TCP 1500の可否、レプリケーション開始・進捗
ステージング側	MGN・EC2・必要なS3バケット	エンドポイント関連付け、SG、ポリシー、起動・変換処理の結果
テスト起動先	業務で必要な接続先	DNS、認証、監視、アプリケーション疎通