AWS PrivateLink für Amazon Chime SDK

Mit können Sie Schnittstellen-Endpunkte für virtuelle private Cloud (VPC) erstellen AWS PrivateLink, um direkt von Ihrer VPC aus auf Amazon Chime SDK Voice, Amazon Chime SDK Meetings, Amazon Chime SDK Messaging, Amazon Chime SDK Identity und Amazon Chime SDK Media Pipelines APIs zuzugreifen. Wenn Sie einen Schnittstellenendpunkt verwenden, bleibt der Datenverkehr zwischen Ihrer VPC und diesen Diensten im Netzwerk und durchquert nicht das öffentliche Internet. AWS

Schnittstellenendpunkte werden mit Strom versorgt AWS PrivateLink, was eine private Konnektivität zu Amazon Chime SDK-APIs über private IP-Adressen ermöglicht. Sie benötigen kein Internet-Gateway, kein NAT-Gerät, keine VPN- oder AWS Direct Connect-Verbindung. Weitere Informationen dazu AWS PrivateLink finden Sie im AWS PrivateLink Handbuch.

Überlegungen

• Schnittstellenendpunkte leiten nur API-Anfragen weiter. Die folgenden Arten von Datenverkehr werden nicht unterstützt PrivateLink:

  • PSTN-Audio- und Medienstreams (Amazon Chime SDK Voice)

  • SIP-Signale und Medien für Voice Connectors (Amazon Chime SDK Voice)

  • Konferenzmedien, einschließlich Audio und Video (Amazon Chime SDK Meetings)

  • WebSocket Verbindungen für Nachrichten in Echtzeit (Amazon Chime SDK Messaging)

  • Medienerfassung und Live-Streaming von Besprechungen (Amazon Chime SDK Media Pipelines)

• Der SIP-Verkehr zu und von Voice Connectors verwendet direkte IP-Konnektivität und durchquert keine Schnittstellenendpunkte.

• Wenn Sie einen Schnittstellenendpunkt verwenden, gehen alle API-Aufrufe von Ihrer VPC über den Endpunkt. Dies gilt für Aufrufe, die mit einem AWS SDK oder dem getätigt werden AWS CLI, z. B. für Aufrufe zum Erstellen von Sprachkonnektoren, zum Starten von Besprechungen, zum Senden von Nachrichten oder zum Verwalten von Medienpipelines.

• Schnittstellenendpunkte unterstützen sowohl IPv4- als auch IPv6-Verkehr (Dualstack).

• Schnittstellenendpunkte unterstützen VPC-Endpunktrichtlinien. Mithilfe von Endpunktrichtlinien können Sie steuern, welche Principals den Endpoint verwenden können und welche API-Aktionen sie ausführen können.

• FIPS-Endpunkte bis 7 PrivateLink sind in den folgenden Regionen verfügbar:

  Region	Stimme	Meetings	Messaging	Identität	Medien-Pipelines
  USA Ost (Nord-Virginia)	Ja	Ja	Ja	Ja	Ja
  USA West (Oregon)	Ja	Ja			Ja
  Kanada (Zentral)	Ja	Ja			Ja
  AWS GovCloud (US-East)		Ja
  AWS GovCloud (US-West)		Ja

• In Regionen AWS GovCloud (USA) verwenden Schnittstellenendpunkte standardmäßig FIPS, und IAM-Richtlinien verwenden die Partition. aws-us-gov

Erstellen eines Schnittstellenendpunkts

Sie können einen Schnittstellenendpunkt für Amazon Chime SDK-Dienste mithilfe der Amazon VPC-Konsole oder der erstellen. AWS Command Line Interface Weitere Informationen zum Erstellen von Endpunkten finden Sie im Handbuch unter Erstellen eines VPC-Endpunkts. AWS PrivateLink

Erstellen Sie einen Schnittstellenendpunkt mit einem der folgenden Dienstnamen:

com.amazonaws.region.chime-sdk-voice
com.amazonaws.region.meetings-chime
com.amazonaws.region.messaging-chime
com.amazonaws.region.identity-chime
com.amazonaws.region.media-pipelines-chime

Im folgenden Beispiel wird der verwendet AWS CLI , um einen Schnittstellenendpunkt für Amazon Chime SDK Meetings zu erstellen. Um einen Endpunkt für einen anderen Dienst zu erstellen, ersetzen Sie den Dienstnamen entsprechend (z. B. com.amazonaws.us-east-1.chime-sdk-voice für Voice).

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-1a2b3c4d \
    --vpc-endpoint-type Interface \
    --service-name com.amazonaws.us-east-1.meetings-chime \
    --subnet-ids subnet-abababab \
    --security-group-ids sg-1a2b3c4d

Privates DNS

Wenn Sie einen Schnittstellenendpunkt mit aktiviertem privaten DNS erstellen, können Sie API-Anfragen an Amazon Chime SDK-Dienste unter Verwendung der folgenden Endpunkt-DNS-Namen stellen:

Amazon Chime SDK Voice

• voice-chime.region.amazonaws.com

• voice-chime.region.api.aws

Amazon Chime SDK-Konferenzen

• meetings-chime.region.amazonaws.com

• meetings-chime.region.api.aws

Amazon Chime SDK-Nachrichten

• messaging-chime.region.amazonaws.com

• messaging-chime.region.api.aws

Amazon-Chime-SDK-Identität

• identity-chime.region.amazonaws.com

• identity-chime.region.api.aws

Amazon Chime SDK-Medien-Pipelines

• media-pipelines-chime.region.amazonaws.com

• media-pipelines-chime.region.api.aws

Wenn privates DNS aktiviert ist, müssen Sie keine Änderungen an Ihrem Anwendungscode oder Ihrer SDK-Konfiguration vornehmen. Anfragen an die standardmäßigen Amazon Chime SDK-Endpunkte werden automatisch über den Schnittstellenendpunkt weitergeleitet.

Weitere Informationen zu privatem DNS finden Sie im Handbuch unter Privates DNS. AWS PrivateLink

FIPS-Endpunkte

Amazon Chime SDK Voice FIPS-Endpunkte sind in den USA Ost (Nord-Virginia), USA West (Oregon) und Kanada (Zentral) verfügbar:

• voice-chime-fips.region.amazonaws.com

• voice-chime-fips.region.api.aws

Die FIPS-Endpunkte von Amazon Chime SDK Meetings sind in den Regionen USA Ost (Nord-Virginia), USA West (Oregon), Kanada (Zentral), () und AWS GovCloud (US-East) verfügbar: AWS GovCloud US-West

• meetings-chime-fips.region.amazonaws.com

• meetings-chime-fips.region.api.aws

Die Amazon Chime SDK Messaging FIPS-Endpunkte sind in den USA Ost (Nord-Virginia) verfügbar:

• messaging-chime-fips.region.amazonaws.com

• messaging-chime-fips.region.api.aws

Amazon Chime SDK Identity FIPS-Endpunkte sind in den USA Ost (Nord-Virginia) verfügbar:

• identity-chime-fips.region.amazonaws.com

• identity-chime-fips.region.api.aws

Die FIPS-Endpunkte der Amazon Chime SDK Media Pipelines sind in den USA Ost (Nord-Virginia), USA West (Oregon) und Kanada (Mitte) verfügbar:

• media-pipelines-chime-fips.region.amazonaws.com

• media-pipelines-chime-fips.region.api.aws

Erstellen einer VPC-Endpunktrichtlinie

Sie können eine VPC-Endpunktrichtlinie anhängen, um den Zugriff auf Amazon Chime SDK-APIs über den Endpunkt zu steuern. Die Richtlinie legt Folgendes fest:

• Die Principals, die Aktionen ausführen können

• Aktionen, die ausgeführt werden können

• Ressourcen, für die Aktionen ausgeführt werden können

Weitere Informationen zu Endpunktrichtlinien finden Sie im Handbuch unter VPC-Endpunktrichtlinien. AWS PrivateLink

Beispiel Beschränken Sie den Endpunkt auf bestimmte Aktionen

Die folgende Endpunktrichtlinie ermöglicht allen Prinzipalen, ListVoiceConnectors (Voice), CreateMeeting und GetMeeting (Meetings) CreateMediaCapturePipeline und ListMediaPipelines (Media Pipelines) über den Endpunkt anzurufenGetVoiceConnector, verweigert jedoch alle anderen Aktionen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": [
                "chime:GetVoiceConnector",
                "chime:ListVoiceConnectors",
                "chime:CreateMeeting",
                "chime:GetMeeting",
                "chime:CreateMediaCapturePipeline",
                "chime:ListMediaPipelines"
            ],
            "Resource": "*"
        }
    ]
}

Beispiel Beschränken Sie den Zugriff auf einen bestimmten VPC-Endpunkt

Die folgende IAM-Richtlinie verweigert den Zugriff auf Amazon Chime SDK-APIs, es sei denn, die Anfrage stammt von einem bestimmten VPC-Endpunkt. Verwenden Sie den aws:sourceVpce Bedingungsschlüssel, um den Zugriff einzuschränken.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "chime:*",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:sourceVpce": "vpce-1a2b3c4d"
                }
            }
        }
    ]
}