AWS PrivateLink untuk DynamoDB

Dengan AWS PrivateLink untuk DynamoDB, Anda dapat menyediakan antarmuka titik akhir Amazon VPC (titik akhir antarmuka) di cloud pribadi virtual Anda (Amazon VPC). Titik akhir ini dapat diakses langsung dari aplikasi yang ada di tempat melalui VPN dan AWS Direct Connect, atau berbeda dengan peering Wilayah AWS VPC Amazon. Menggunakan AWS PrivateLink dan antarmuka endpoint, Anda dapat menyederhanakan konektivitas jaringan pribadi dari aplikasi Anda ke DynamoDB.

Aplikasi di VPC Anda tidak memerlukan alamat IP publik untuk berkomunikasi dengan titik akhir VPC antarmuka DynamoDB untuk operasi DynamoDB. Endpoint antarmuka diwakili oleh satu atau lebih antarmuka jaringan elastis (ENI) yang diberi alamat IP pribadi dari subnet di VPC Amazon Anda. Permintaan ke DynamoDB melalui titik akhir antarmuka tetap berada di jaringan Amazon. Anda juga dapat mengakses titik akhir antarmuka di VPC Amazon dari aplikasi lokal AWS Direct Connect melalui AWS Virtual Private Network atau ().AWS VPNUntuk informasi selengkapnya tentang cara menghubungkan VPC Amazon dengan jaringan lokal, lihat Panduan AWS Direct Connect Pengguna dan Panduan Pengguna.AWS Site-to-Site VPN

Untuk informasi umum tentang titik akhir antarmuka, lihat Antarmuka Amazon VPC endpoints AWS PrivateLink() di Panduan.AWS PrivateLink

Jenis titik akhir Amazon VPC untuk Amazon DynamoDB

Anda dapat menggunakan dua jenis titik akhir Amazon VPC untuk mengakses Amazon DynamoDB: titik akhir gateway dan titik akhir antarmuka (dengan menggunakan). AWS PrivateLinkTitik akhir gateway adalah gateway yang Anda tentukan dalam tabel rute untuk mengakses DynamoDB dari VPC Amazon Anda melalui jaringan. AWS Titik akhir antarmuka memperluas fungsionalitas titik akhir gateway dengan menggunakan alamat IP pribadi untuk merutekan permintaan ke DynamoDB dari dalam VPC Amazon Anda, di tempat, atau dari VPC Amazon di tempat lain dengan menggunakan peering Amazon VPC atau. Wilayah AWS AWS Transit Gateway Untuk informasi lebih lanjut, lihat Apa itu peering Amazon VPC? dan Transit Gateway vs Pengintip VPC Amazon.

Titik akhir antarmuka kompatibel dengan titik akhir gateway. Jika Anda memiliki titik akhir gateway yang ada di VPC Amazon, Anda dapat menggunakan kedua jenis titik akhir di VPC Amazon yang sama.

Titik akhir Gateway untuk DynamoDB	Endpoint antarmuka untuk DynamoDB
Dalam kedua kasus, lalu lintas jaringan Anda tetap berada di AWS jaringan.
Menggunakan alamat IP publik Amazon DynamoDB	Gunakan alamat IP pribadi dari Amazon VPC Anda untuk mengakses Amazon DynamoDB
Jangan izinkan mengakses dari on-premise	Izinkan mengakses dari on-premise
Jangan izinkan akses dari yang lain Wilayah AWS	Izinkan akses dari titik akhir VPC Amazon di titik lain dengan Wilayah AWS menggunakan peering Amazon VPC atau AWS Transit Gateway
Tidak ditagih	Ditagih

Untuk informasi selengkapnya tentang titik akhir gateway, lihat titik akhir Gateway Amazon VPC di Panduan.AWS PrivateLink

Pertimbangan saat menggunakan AWS PrivateLink untuk Amazon DynamoDB

Pertimbangan Amazon VPC berlaku untuk Amazon AWS PrivateLink DynamoDB. Untuk informasi selengkapnya, lihat Pertimbangan antarmuka titik akhir dan AWS PrivateLink kuota dalam AWS PrivateLink Panduan. Selain itu, larangan berikut juga berlaku.

AWS PrivateLink untuk Amazon DynamoDB tidak mendukung hal berikut:

• Titik Akhir Standar Proses Informasi Federal (FIPS)

• Keamanan Lapisan Pengangkutan (TLS) 1.1

• Layanan Sistem Nama Domain Pribadi dan Hybrid (DNS)

AWS PrivateLink saat ini tidak didukung untuk Amazon DynamoDB Streams titik akhir.

Anda dapat mengirimkan hingga 50.000 permintaan per detik untuk setiap AWS PrivateLink titik akhir yang Anda aktifkan.

catatan

Batas waktu konektivitas jaringan ke AWS PrivateLink titik akhir tidak berada dalam lingkup respons kesalahan DynamoDB dan perlu ditangani dengan tepat oleh aplikasi Anda yang terhubung ke titik akhir. PrivateLink

Membuat titik akhir Amazon VPC

Untuk membuat titik akhir antarmuka VPC Amazon, lihat Membuat titik akhir VPC Amazon di Panduan.AWS PrivateLink

Mengakses titik akhir antarmuka Amazon DynamoDB

Saat Anda membuat titik akhir antarmuka, DynamoDB menghasilkan dua jenis nama DNS DynamoDB spesifik titik akhir: Regional dan zonal.

• Nama DNS Regional mencakup ID titik akhir VPC Amazon yang unik, pengenal layanan, Wilayah AWS dan namanya. vpce.amazonaws.com Misalnya, untuk ID titik akhir VPC Amazonvpce-1a2b3c4d, nama DNS yang dihasilkan mungkin mirip dengan. vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com

• Nama DNS Zonal mencakup Zona Ketersediaan—misalnya, vpce-1a2b3c4d-5e6f-us-east-1a.dynamodb.us-east-1.vpce.amazonaws.com. Anda dapat menggunakan opsi ini jika arsitektur Anda mengisolasi Zona Ketersediaan. Contoh, Anda bisa menggunakannya untuk kontainer kesalahan atau untuk mengurangi biaya transfer data Regional.

Nama DNS DynamoDB khusus titik akhir dapat diselesaikan dari domain DNS publik DynamoDB.

Mengakses tabel DynamoDB dan mengontrol operasi API dari titik akhir antarmuka DynamoDB

Anda dapat menggunakan AWS CLI atau AWS SDK untuk mengakses tabel DynamoDB dan mengontrol operasi API melalui titik akhir antarmuka DynamoDB.

AWS CLI contoh

Untuk mengakses tabel DynamoDB atau operasi API kontrol DynamoDB melalui titik akhir antarmuka DynamoDB dalam perintah, gunakan parameter dan. AWS CLI --region --endpoint-url

Contoh: Buat titik akhir VPC

aws ec2 create-vpc-endpoint \
--region us-east-1 \
--service-name dynamodb-service-name \
--vpc-id client-vpc-id \
--subnet-ids client-subnet-id \
--vpc-endpoint-type Interface \
--security-group-ids client-sg-id

Contoh: Memodifikasi titik akhir VPC

aws ec2 modify-vpc-endpoint \
--region us-east-1 \
--vpc-endpoint-id client-vpc-endpoint-id \
--policy-document policy-document \ #example optional parameter
--add-security-group-ids security-group-ids \ #example optional parameter 
# any additional parameters needed, see Privatelink documentation for more details 

Contoh: Daftar tabel menggunakan URL endpoint

Dalam contoh berikut, ganti Region us-east-1 dan nama DNS dari vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com ID endpoint VPC dengan informasi Anda sendiri.

aws dynamodb --region us-east-1 —endpoint https://vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com list-tables

AWS Contoh SDK

Untuk mengakses tabel DynamoDB atau operasi API kontrol DynamoDB melalui titik akhir antarmuka DynamoDB saat menggunakan SDK, perbarui SDK Anda ke versi terbaru. AWS Kemudian, konfigurasikan klien Anda untuk menggunakan URL titik akhir untuk mengakses tabel atau operasi API kontrol DynamoDB melalui titik akhir antarmuka DynamoDB.

SDK for Python (Boto3)

Contoh: Gunakan URL endpoint untuk mengakses tabel DynamoDB

Dalam contoh berikut, ganti Wilayah us-east-1 dan ID titik akhir VPC https://vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com dengan informasi Anda sendiri.

ddb_client = session.client(
service_name='dynamodb',
region_name='us-east-1',
endpoint_url='https://vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com'
)

SDK for Java 1.x

Contoh: Gunakan URL endpoint untuk mengakses tabel DynamoDB

Dalam contoh berikut, ganti Wilayah us-east-1 dan ID titik akhir VPC https://vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com dengan informasi Anda sendiri.

//client build with endpoint config  
final AmazonDynamoDB dynamodb = AmazonDynamoDBClientBuilder.standard().withEndpointConfiguration(
        new AwsClientBuilder.EndpointConfiguration(
                "https://vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com",
                Regions.DEFAULT_REGION.getName()
        )
).build();

SDK for Java 2.x

Contoh: Gunakan URL endpoint untuk mengakses tabel DynamoDB

Dalam contoh berikut, ganti ID endpoint Region us-east-1 dan VPC https://vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com dengan informasi Anda sendiri.

Region region = Region.US_EAST_1;
dynamoDbClient = DynamoDbClient.builder().region(region)
.endpointOverride(URI.create("https://vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com"))
.build()

Memperbarui konfigurasi DNS on-premise

Saat menggunakan nama DNS khusus titik akhir untuk mengakses titik akhir antarmuka DynamoDB, Anda tidak perlu memperbarui penyelesai DNS lokal Anda. Anda dapat menyelesaikan nama DNS khusus titik akhir dengan alamat IP pribadi titik akhir antarmuka dari domain DNS DynamoDB publik.

Menggunakan titik akhir antarmuka untuk mengakses DynamoDB tanpa titik akhir gateway atau gateway internet di Amazon VPC

Titik akhir antarmuka di VPC Amazon Anda dapat merutekan aplikasi VPC di Amazon dan aplikasi lokal ke DynamoDB melalui jaringan Amazon, seperti yang diilustrasikan dalam diagram berikut.

Diagram ini menggambarkan hal sebagai berikut:

• Jaringan lokal Anda menggunakan AWS Direct Connect atau menyambung AWS VPN ke Amazon VPC A.

• Aplikasi Anda lokal dan di Amazon VPC A menggunakan nama DNS khusus titik akhir untuk mengakses DynamoDB melalui titik akhir antarmuka DynamoDB.

• Aplikasi lokal mengirim data ke titik akhir antarmuka di Amazon VPC melalui AWS Direct Connect (atau). AWS VPN AWS PrivateLink memindahkan data dari titik akhir antarmuka ke DynamoDB melalui jaringan. AWS

• Aplikasi VPC di Amazon juga mengirim lalu lintas ke titik akhir antarmuka. AWS PrivateLink memindahkan data dari titik akhir antarmuka ke DynamoDB melalui jaringan. AWS

Menggunakan titik akhir gateway dan titik akhir antarmuka bersama-sama di Amazon VPC yang sama untuk mengakses DynamoDB

Anda dapat membuat titik akhir antarmuka dan mempertahankan titik akhir gateway yang ada di VPC Amazon yang sama, seperti yang ditunjukkan diagram berikut. Dengan mengambil pendekatan ini, Anda mengizinkan aplikasi VPC di Amazon untuk terus mengakses DynamoDB melalui titik akhir gateway, yang tidak ditagih. Kemudian, hanya aplikasi lokal Anda yang akan menggunakan titik akhir antarmuka untuk mengakses DynamoDB. Untuk mengakses DynamoDB dengan cara ini, Anda harus memperbarui aplikasi lokal Anda untuk menggunakan nama DNS khusus titik akhir untuk DynamoDB.

Diagram ini menggambarkan hal sebagai berikut:

• Aplikasi lokal menggunakan nama DNS khusus titik akhir untuk mengirim data ke titik akhir antarmuka dalam VPC Amazon melalui (atau). AWS Direct Connect AWS VPN AWS PrivateLink memindahkan data dari titik akhir antarmuka ke DynamoDB melalui jaringan. AWS

• Menggunakan nama DynamoDB Regional default, aplikasi VPC di Amazon mengirim data ke titik akhir gateway yang terhubung ke DynamoDB melalui jaringan. AWS

Untuk informasi selengkapnya tentang titik akhir gateway, lihat Gateway titik akhir VPC Amazon di Panduan Pengguna Amazon VPC.

Membuat kebijakan endpoint Amazon VPC untuk DynamoDB

Anda dapat melampirkan kebijakan endpoint ke endpoint Amazon VPC yang mengontrol akses ke DynamoDB. Kebijakan titik akhir mencantumkan informasi berikut:

• Prinsip AWS Identity and Access Management (IAM) yang dapat melakukan tindakan

• Tindakan-tindakan yang dapat dilakukan

• Sumber daya yang padanya tindakan dapat dilakukan

Topik

• Contoh: Membatasi akses ke tabel tertentu dari titik akhir VPC Amazon

Contoh: Membatasi akses ke tabel tertentu dari titik akhir VPC Amazon

Anda dapat membuat kebijakan endpoint yang membatasi akses hanya ke tabel DynamoDB tertentu. Jenis kebijakan ini berguna jika Anda memiliki kebijakan lain Layanan AWS di VPC Amazon Anda yang menggunakan tabel. Kebijakan tabel berikut membatasi akses hanya ke file. DOC-EXAMPLE-TABLE Untuk menggunakan kebijakan endpoint ini, ganti DOC-EXAMPLE-TABLE dengan nama tabel Anda.

{
"Version": "2012-10-17",
  "Id": "Policy1216114807515",
  "Statement": [
    { "Sid": "Access-to-specific-table-only",
      "Principal": "*",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:dynamodb:::DOC-EXAMPLE-TABLE",
                   "arn:aws:dynamodb:::DOC-EXAMPLE-TABLE/*"]
    }
  ]
}