AWS-Konsole ohne Internet: Private Access für isolierte VPCs

AWS Management Console Private Access ermöglicht die Verwaltung unterstützter AWS-Dienste aus vollständig isolierten VPCs. Der Datenverkehr kann dabei über private Endpunkte laufen, ohne Internet Gateway, NAT Gateway oder eine andere Route ins öffentliche Internet. AWS hatte diese Erweiterung am 15. Juni 2026 eingeführt und erläuterte die Architektur am 28. August nochmals ausführlich.

Für Unternehmen mit hohen Sicherheitsanforderungen entsteht damit eine neue Option für abgeschottete Administrationsnetze. Das ist besonders relevant, wenn eine klassische Public-Cloud-Umgebung stärker vom öffentlichen Internet getrennt werden soll.

Wie funktioniert AWS Management Console Private Access?

Private Access nutzt AWS PrivateLink und sogenannte Interface VPC Endpoints. Dadurch läuft der Browserzugriff auf die AWS Management Console über private Netzwerkpfade innerhalb des AWS-Netzes. AWS beschreibt die Funktion als Kombination aus Netzwerkisolation und zusätzlichen Zugriffskontrollen.

Neu ist vor allem, dass auch statische Konsolenbestandteile privat bereitgestellt werden können. Dazu gehören JavaScript, CSS, Bilder und spezielle APIs der Webkonsole. Vor der Erweiterung im Juni benötigten diese Bestandteile weiterhin einen Internetzugang.

Damit kann der Browserdatenverkehr für unterstützte Konsolen vollständig über VPC-Endpunkte laufen. Das bedeutet jedoch nicht, dass automatisch jede AWS-Funktion ohne Internet erreichbar ist.

Welche Endpunkte braucht eine AWS-Konsole ohne Internet?

AWS verlangt drei zentrale VPC-Endpunkte für eine vollständig isolierte Konsole. Der Endpunkt console stellt die Management Console bereit. signin übernimmt den Anmeldevorgang. Der zusätzliche Endpunkt console-static liefert statische Inhalte und konsolenspezifische APIs. Für die tatsächlich verwalteten AWS-Dienste kommen weitere Endpunkte hinzu. Wer beispielsweise CloudWatch oder andere Services ohne Internetzugang verwenden möchte, sollte auch deren PrivateLink-Endpunkte einrichten. Fehlt ein benötigter Endpunkt, können einzelne Funktionen Fehler anzeigen oder unerreichbar bleiben.

Bei mehreren Regionen steigt der Konfigurationsaufwand zusätzlich. Die Endpunkte für console und signin müssen in den benötigten Regionen eingerichtet werden. Den regionenunabhängigen Endpunkt console-static benötigt eine Umgebung dagegen nur einmal.

Welche AWS-Dienste funktionieren über Private Access?

AWS Management Console Private Access steht in allen kommerziellen AWS-Regionen zur Verfügung. Unterstützt wird allerdings nur eine definierte Auswahl an Servicekonsolen. Dazu zählen unter anderem EC2, S3, RDS, Lambda, EKS, CloudWatch, CloudTrail, IAM, GuardDuty und Systems Manager.

Bei nicht unterstützten Diensten kann weiterhin ein öffentlicher Internetzugang erforderlich sein. Das gilt auch für Domains wie die AWS-Dokumentation, den Service-Status oder bestimmte Health-Funktionen.

Auch innerhalb der Management Console gibt es Einschränkungen. AWS nennt beispielsweise CloudShell und die Einstellung der Standardregion als möglicherweise deaktivierte Funktionen. Die AWS-Billing-Konsole ist über Management Console Private Access grundsätzlich nicht verfügbar.

Eine vollständig isolierte Umgebung sollte deshalb vorab gegen die tatsächlich benötigten Administrationsfunktionen geprüft werden.

Wie schützt Private Access vor unerwünschten AWS-Zugriffen?

Der private Netzwerkpfad ist nur ein Teil des Sicherheitsmodells. AWS kombiniert Private Access mit Endpoint Policies, IAM-Richtlinien sowie Organisationsrichtlinien für den Zugriff auf Konten und Ressourcen.

Unternehmen können beispielsweise festlegen, dass sich Nutzer nur aus erwarteten Unternehmensnetzen anmelden dürfen. Sign-In Policies und Resource Control Policies können Anmeldungen aus anderen Netzen ablehnen, auch wenn gültige Zugangsdaten vorliegen.

Zusätzlich können Endpoint Policies den Zugriff auf freigegebene AWS-Konten oder die eigene Organisation beschränken. Damit lässt sich beispielsweise verhindern, dass Mitarbeiter aus einem administrativen Firmennetz private AWS-Konten verwenden.

Dieser Ansatz ergänzt klassische Identitätskontrollen und passt zum Prinzip einer Zero Trust Architecture. Ein gültiger Benutzerzugang reicht dabei nicht allein aus. Auch Netzwerkherkunft und Zielressourcen fließen in die Entscheidung ein.

Wie lassen sich Unternehmensnetze anbinden?

Administratoren müssen sich nicht direkt innerhalb einer AWS-VPC befinden. AWS unterstützt auch Netze, die über Direct Connect oder Site-to-Site VPN mit den VPC-Endpunkten verbunden sind.

Damit lässt sich beispielsweise ein lokales Administrationsnetz im Rechenzentrum mit einer isolierten AWS-Umgebung verbinden. Solche Konstruktionen sind besonders für eine Hybrid-Cloud-Architektur interessant, bei der lokale Infrastruktur und Public Cloud kontrolliert zusammenspielen.

Entscheidend bleiben Routing und DNS. Die privaten AWS-Endpunkte müssen aus dem jeweiligen Administrationsnetz erreichbar und korrekt auflösbar sein.

Welche Kosten und Einschränkungen müssen Unternehmen beachten?

AWS verlangt keine separate Gebühr für Management Console Private Access. Kosten entstehen jedoch durch AWS PrivateLink, insbesondere für Interface-Endpunkte und den darüber übertragenen Datenverkehr.

Je mehr Regionen und Dienste privat angebunden werden, desto umfangreicher wird die Architektur. Unternehmen müssen deshalb nicht nur die laufenden Kosten berücksichtigen. Auch DNS, Routing, Endpoint Policies und Service-Unterstützung erhöhen den Betriebsaufwand.

Für kleine Standardumgebungen ist eine vollständig isolierte Konsole daher nicht automatisch erforderlich. Interessanter wird die Funktion, wenn regulatorische Vorgaben oder interne Sicherheitsrichtlinien öffentlichen Internetzugang aus Administrationsnetzen ausschließen.

Für wen lohnt sich eine vollständig isolierte AWS-Konsole?

AWS Management Console Private Access ist vor allem für Unternehmen mit hohen Anforderungen an Netzwerkisolation geeignet. Dazu gehören regulierte Branchen, kritische Umgebungen und Administrationsnetze mit streng kontrollierten Kommunikationswegen.

Die Erweiterung beseitigt einen bisherigen Zielkonflikt. Administratoren können eine grafische AWS-Konsole nutzen, ohne dafür generell einen Weg ins öffentliche Internet bereitzustellen. Gleichzeitig bleiben technische Grenzen bestehen, weil nicht jede AWS-Konsole und Zusatzfunktion Private Access unterstützt.

Für IT-Verantwortliche ist deshalb eine Bestandsaufnahme der benötigten Dienste der erste Schritt. Erst danach lässt sich entscheiden, ob eine vollständig isolierte AWS Management Console Private Access Umgebung technisch und wirtschaftlich sinnvoll ist.

Weitere Meldungen zu Cloud-Infrastruktur, Security und Unternehmens-IT erhalten Sie im IT-Dock Newsletter. Dort ordnen wir aktuelle Entwicklungen kompakt für IT-Entscheider ein.