Cloud Control-API und Schnittstellen-VPC-Endpunkte (AWS PrivateLink)

Sie können AWS PrivateLink es verwenden, um eine private Verbindung zwischen Ihrer VPC und herzustellen. AWS -Cloud-Control- API Sie können auf die Cloud Control API zugreifen, als ob sie in Ihrer VPC wäre, ohne ein Internet-Gateway, ein NAT-Gerät, eine VPN-Verbindung oder Direct Connect eine Verbindung zu verwenden. Instanzen in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um auf die Cloud Control API zuzugreifen.

Sie stellen diese private Verbindung her, indem Sie einen Schnittstellen-Endpunkt erstellen, der von AWS PrivateLink unterstützt wird. Wir erstellen eine Endpunkt-Netzwerkschnittstelle in jedem Subnetz, das Sie für den Schnittstellen-Endpunkt aktivieren. Dies sind vom Anforderer verwaltete Netzwerkschnittstellen, die als Einstiegspunkt für den Datenverkehr dienen, der für die Cloud Control API bestimmt ist.

Die Cloud Control API unterstützt Aufrufe aller API-Aktionen über den Schnittstellenendpunkt.

Überlegungen zu Cloud Control API-VPC-Endpunkten

Bevor Sie einen Schnittstellen-VPC-Endpunkt für die Cloud Control API einrichten, stellen Sie zunächst sicher, dass Sie die Voraussetzungen im Thema Zugriff auf einen AWS Dienst mithilfe eines Schnittstellen-VPC-Endpunkts im Handbuch erfüllt haben. AWS PrivateLink

Einen Schnittstellen-VPC-Endpunkt für die Cloud Control API erstellen

Sie können einen VPC-Endpunkt für die Cloud Control API entweder mit der Amazon VPC-Konsole oder mit () erstellen. AWS Command Line Interface AWS CLI Weitere Informationen finden Sie unter Erstellen eines VPC-Endpunkts im AWS PrivateLink -Leitfaden.

Erstellen Sie einen Schnittstellenendpunkt für die Cloud Control API mit dem folgenden Dienstnamen:

• com.amazonaws. region.cloud control api

Wenn Sie privates DNS für den Endpunkt aktivieren, können Sie API-Anfragen an die Cloud Control API stellen, indem Sie beispielsweise den Standard-DNS-Namen für die Region verwenden. cloudcontrolapi.us-east-1.amazonaws.com

Weitere Informationen finden Sie unter Zugriff auf einen AWS -Service über einen Schnittstellen-VPC-Endpunkt im Benutzerhandbuch von Amazon VPC.

Erstellen einer VPC-Endpunktrichtlinie für die Cloud Control API

Sie können Ihrem VPC-Endpunkt eine Endpunktrichtlinie anhängen, die den Zugriff auf die Cloud Control API steuert. Die Richtlinie gibt die folgenden Informationen an:

• Prinzipal, der die Aktionen ausführen kann.

• Aktionen, die ausgeführt werden können

• Die Ressourcen, für die Aktionen ausgeführt werden können.

Weitere Informationen finden Sie unter Kontrolle des Zugriffs auf VPC-Endpunkte mit Endpunktrichtlinien im AWS PrivateLink Leitfaden.

Wichtig

Die Details der VPCE-Endpunktrichtlinie werden nicht an nachgelagerte Dienste weitergegeben, die von der Cloud Control API zur Bewertung aufgerufen werden. Aus diesem Grund werden Richtlinien, die Aktionen oder Ressourcen spezifizieren, die zu nachgelagerten Diensten gehören, nicht durchgesetzt.

Nehmen wir beispielsweise an, Sie haben eine Amazon EC2-Instance in einer VPC-Instance mit einem VPC-Endpunkt für die Cloud Control API in einem Subnetz ohne Internetzugang erstellt. Als Nächstes hängen Sie die folgende VPC-Endpunktrichtlinie an das VPCE an:

{
  "Statement": [
    {
      "Action": [
        "cloudformation:*",
        "ec2:*",
        "lambda:*"
      ],
      "Effect": "Allow",
      "Principal": "*",
      "Resource": "*"
    }
  ]
}

Wenn ein Benutzer mit Administratorzugriff dann eine Anfrage für den Zugriff auf einen Amazon S3-Bucket in der Instance sendet, würde kein Servicefehler zurückgegeben, obwohl der Amazon S3-Zugriff in der VPCE-Richtlinie nicht gewährt wird.

Beispiel: VPC-Endpunktrichtlinie für Cloud Control-API-Aktionen

Das Folgende ist ein Beispiel für eine Endpunktrichtlinie für die Cloud Control API. Wenn diese Richtlinie an einen Endpunkt angehängt ist, gewährt sie allen Prinzipalen auf allen Ressourcen Zugriff auf die aufgelisteten Cloud Control API-Aktionen. Das folgende Beispiel verweigert allen Benutzern die Erlaubnis, Ressourcen über den VPC-Endpunkt zu erstellen, und gewährt vollen Zugriff auf alle anderen Aktionen im Cloud Control API-Dienst.

{
  "Statement": [
    {
      "Action": "cloudformation:*",
      "Effect": "Allow",
      "Principal": "*",
      "Resource": "*"
    },
    {
      "Action": "cloudformation:CreateResource",
      "Effect": "Deny",
      "Principal": "*",
      "Resource": "*"
    }
  ]
}

Weitere Informationen finden Sie auch unter

• AWS Dienste, die integriert sind mit AWS PrivateLink