AWS Directory Service API und Schnittstelle Amazon VPC-Endpunkte mit AWS PrivateLink

Sie können eine private Verbindung zwischen Ihrer Amazon VPC und Ihren AWS Directory Service API-Endpunkten herstellen, indem Sie einen VPC-Schnittstellen-Endpunkt erstellen. Schnittstellenendpunkte werden von unterstütz AWS PrivateLink.

AWS PrivateLink ermöglicht Ihnen den privaten Zugriff auf AWS Directory Service API-Operationen ohne Internet-Gateway, NAT-Gerät, VPN-Verbindung oder Verbindung. AWS Direct Connect Datenverkehr zwischen Ihrer VPC und verlässt das AWS Netzwerk AWS Directory Service nicht.

Jeder Schnittstellenendpunkt wird durch eine oder mehrere Elastic Network-Schnittstellen in Ihren Subnetzen dargestellt. Weitere Informationen zur elastic network interface finden Sie unter Elastic Network Interface im Amazon EC2 EC2-Benutzerhandbuch.

Weitere Informationen zu VPC-Endpunkten finden Sie unter Zugreifen und AWS-Service Verwenden eines VPC-Schnittstellen-Endpunkts im Amazon VPC-Benutzerhandbuch. Weitere Informationen zu AWS Directory Service API-Vorgängen finden Sie unter API-Referenz.AWS Directory Service

Überlegungen zu VPC-Endpunkten

Bevor Sie einen VPC-Schnittstellen-Endpunkt für AWS Directory Service API-Endpunkte einrichten, stellen Sie sicher, dass Sie den Abschnitt Zugriff und AWS-Service Verwendung eines Schnittstellen-VPC-Endpunkts im Handbuch lesen.AWS PrivateLink

Alle AWS Directory Service API-Operationen, die für die Verwaltung von AWS Directory Service Ressourcen relevant sind, sind in Ihrer VPC verfügbar unter AWS PrivateLink.

VPC-Endpunktrichtlinien werden für Directory Service API-Endpunkte unterstützt. Standardmäßig ist der vollständige Zugriff auf Verzeichnisdienst-API-Operationen über den Endpunkt zulässig. Weitere Informationen finden Sie unter Steuern des Zugriffs auf VPC-Endpunkte mithilfe von Endpunktrichtlinien im Amazon VPC-Benutzerhandbuch.

Verfügbarkeit

AWS Directory Service unterstützt VPC-Endpunkte in den folgenden Bereichen: AWS-Regionen

AWS-Region Verfügbarkeit

• USA Ost (Nord-Virginia)

• USA Ost (Ohio)

• USA West (Nordkalifornien)

• USA West (Oregon)

• Africa (Cape Town)

• Asien-Pazifik (Hongkong)

• Asien-Pazifik (Hyderabad)

• Asien-Pazifik (Jakarta)

• Asien-Pazifik (Melbourne)

• Asien-Pazifik (Mumbai)

• Asia Pacific (Osaka)

• Asia Pacific (Seoul)

• Asien-Pazifik (Singapur)

• Asien-Pazifik (Sydney)

• Asien-Pazifik (Tokio)

• Canada (Central)

• Kanada West (Calgary)

• China (Peking und Ningxia)

• Asien-Pazifik (Hongkong)

• Europe (Frankfurt)

• Europa (Irland)

• Europa (London)

• Europa (Milan)

• Europa (Paris)

• Europa (Spain)

• Europa (Stockholm)

• Europa (Zürich)

• Israel (Tel Aviv)

• Naher Osten (Bahrain)

• Naher Osten (VAE)

• Südamerika (São Paulo)

• AWS GovCloud (US-Ost)

• AWS GovCloud (US-West)

Einen Schnittstellen-Endpunkt für die AWS Directory Service API erstellen

Sie können einen VPC-Schnittstellenendpunkt für die AWS Directory Service API entweder mit der Amazon VPC-Konsole oder mit AWS Command Line Interface ()AWS CLI erstellen. Weitere Informationen finden Sie unter Erstellen eines VPC-Endpunkts im AWS PrivateLink -Leitfaden.

Erstellen Sie einen Schnittstellenendpunkt für die AWS Directory Service API mit dem folgenden Servicenamen: com.amazonaws.region.ds

AWS Directory Service Mit Ausnahme AWS-Regionen von China können Sie, wenn Sie privates DNS für den Endpunkt aktivieren, API-Anfragen an den VPC-Endpunkt stellen AWS-Region, indem Sie beispielsweise ds.us-east-1.amazonaws.com dessen Standard-DNS-Namen für den verwenden. Für China (Peking und Ningxia) AWS-Regionen können Sie API-Anfragen mit dem VPC-Endpunkt jeweils mit ds-api.cn-north-1.amazonaws.com.cn und ds-api.cn-northwest-1.amazonaws.com.cn stellen.

Weitere Informationen finden Sie unter Zugreifen und AWS-Service Verwenden eines VPC-Endpunkts mit einer Schnittstelle im Amazon VPC-Benutzerhandbuch.

Erstellen einer VPC-Endpunktrichtlinie für die AWS Directory Service -API

Sie können eine Endpunktrichtlinie an Ihren VPC-Endpunkt anhängen, der den Zugriff auf die AWS Directory Service -API steuert. Die Richtlinie gibt die folgenden Informationen an:

• Prinzipal, der die Aktionen ausführen kann.

• Aktionen, die ausgeführt werden können

• Die Ressourcen, für die Aktionen ausgeführt werden können.

Weitere Informationen finden Sie unter Steuern des Zugriffs auf VPC-Endpunkte mithilfe von Endpunktrichtlinien im Amazon VPC-Benutzerhandbuch.

Beispiel: VPC-Endpunktrichtlinie für AWS Directory Service API-Aktionen

Im Folgenden finden Sie ein Beispiel für eine Endpunktrichtlinie für AWS Directory Service API. Wenn Sie diese Richtlinie an Ihren Schnittstellenendpunkt anhängen, gewährt sie allen Prinzipalen auf allen Ressourcen Zugriff auf die aufgelisteten AWS Directory Service API-Aktionen.

{
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "ds:DescribeDirectories",
            "ds:DescribeCertificate",
         ],
         "Resource":"*"
      }
   ]
}

Beispiel: VPC-Endpunktrichtlinie, die jeglichen Zugriff von einem bestimmten AWS-Konto

Die folgende VPC-Endpunktrichtlinie verweigert AWS-Konto 123456789012 jeglichen Zugriff auf Ressourcen, die den Endpunkt verwenden. Die Richtlinie erlaubt alle Aktionen von anderen Konten.

{
   "Statement": [
      {
         "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Principal:" "*"
      },
      {
        "Action": "*",
        "Effect": "Deny",
        "Resource": "*",
        "Principal": {
            "AWS": [
               "123456789012"
            ]
         }
      ]
}