Prerequisiti Fase 1: Creare un ruolo e un ruolo tra account VPC Fase 2: creazione di un modello che include AWS::EC2::VPCPeeringConnection Creazione di un modello con una policy altamente restrittiva

Sbircia con un VPC in un altro Account AWS

Puoi effettuare il peering con un Virtual Private Cloud (VPC) in un altro Account AWS utilizzando. AWS::EC2::VPCPeeringConnection In questo modo si crea una connessione di rete tra due di essi VPCs che consente di instradare il traffico tra di loro in modo che possano comunicare come se fossero all'interno della stessa rete. Una connessione VPC peering può contribuire a facilitare l'accesso e il trasferimento dei dati.

Per stabilire una connessione VPC peering, è necessario autorizzarne due distinte Account AWS all'interno di un unico stack. CloudFormation

Per ulteriori informazioni sul VPC peering e sui suoi limiti, consulta la Amazon VPC Peering Guide.

Prerequisiti

Per la connessione peering sono necessari un peer VPC ID, un peer Account AWS ID e un ruolo di accesso tra account diversi.

Nota
Questa procedura guidata si riferisce a due account: un account che consente il peering tra più account (l'account dell'accettante) e un account che richiede la connessione in peering (l'account del richiedente).
Per accettare la connessione VPC peering, il ruolo di accesso tra account diversi deve essere assunto dall'utente. La risorsa si comporta allo stesso modo di una risorsa di connessione VPC peering nello stesso account. Per informazioni su come un IAM amministratore concede le autorizzazioni per assumere il ruolo tra account diversi, consulta la Guida per l'utente sulla concessione delle autorizzazioni per cambiare ruolo. IAM

Fase 1: Creare un ruolo e un ruolo tra account VPC

Creare un ruolo VPC e un ruolo di accesso su più account (esempio)

In questo passaggio, creerai il ruolo VPC and nell'account accettatore.

Nel AWS Management Console, scegli AWS CloudFormation.
Seleziona Crea stack.
Sono disponibili diverse opzioni. Per utilizzare AWS CloudFormation Designer per creare un nuovo modello vuoto, scegliete Crea modello in Designer.

Se stai creando il modello in un altro editor di testo, scegli Il modello è pronto, quindi Amazon S3 URL o Carica un file modello, a seconda dei casi.

Utilizza il seguente modello di esempio per creare il ruolo VPC e il ruolo interaccount che consente a un altro account di eseguire il peering.

Esempio JSON


{
  "AWSTemplateFormatVersion": "2010-09-09",
  "Description": "Create a VPC and an assumable role for cross account VPC peering.",
  "Parameters": {
    "PeerRequesterAccountId": {
      "Type": "String"
    }
  },
  "Resources": {
    "vpc": {
      "Type": "AWS::EC2::VPC",
      "Properties": {
        "CidrBlock": "10.1.0.0/16",
        "EnableDnsSupport": false,
        "EnableDnsHostnames": false,
        "InstanceTenancy": "default"
      }
    },
    "peerRole": {
      "Type": "AWS::IAM::Role",
      "Properties": {
        "AssumeRolePolicyDocument": {
          "Statement": [
            {
              "Principal": {
                "AWS": {
                  "Ref": "PeerRequesterAccountId"
                }
              },
              "Action": [
                "sts:AssumeRole"
              ],
              "Effect": "Allow"
            }
          ]
        },
        "Path": "/",
        "Policies": [
          {
            "PolicyName": "root",
            "PolicyDocument": {
              "Version": "2012-10-17",
              "Statement": [
                {
                  "Effect": "Allow",
                  "Action": "ec2:AcceptVpcPeeringConnection",
                  "Resource": "*"
                }
              ]
            }
          }
        ]
      }
    }
  },
  "Outputs": {
    "VPCId": {
      "Value": {
        "Ref": "vpc"
      }
    },
    "RoleARN": {
      "Value": {
        "Fn::GetAtt": [
          "peerRole",
          "Arn"
        ]
      }
    }
  }
}

Esempio YAML


AWSTemplateFormatVersion: 2010-09-09
Description: Create a VPC and an assumable role for cross account VPC peering.
Parameters:
  PeerRequesterAccountId:
    Type: String
Resources:
  vpc:
    Type: 'AWS::EC2::VPC'
    Properties:
      CidrBlock: 10.1.0.0/16
      EnableDnsSupport: false
      EnableDnsHostnames: false
      InstanceTenancy: default
  peerRole:
    Type: 'AWS::IAM::Role'
    Properties:
      AssumeRolePolicyDocument:
        Statement:
          - Principal:
              AWS: !Ref PeerRequesterAccountId
            Action:
              - 'sts:AssumeRole'
            Effect: Allow
      Path: /
      Policies:
        - PolicyName: root
          PolicyDocument:
            Version: 2012-10-17
            Statement:
              - Effect: Allow
                Action: 'ec2:AcceptVpcPeeringConnection'
                Resource: '*'
Outputs:
  VPCId:
    Value: !Ref vpc
  RoleARN:
    Value: !GetAtt 
      - peerRole
      - Arn

Seleziona Successivo.
Assegna un nome allo stack (ad esempio,VPC-owner), quindi inserisci l' Account AWS ID dell'account richiedente nel campo. PeerRequesterAccountId
Accettare i valori predefiniti, quindi selezionare Next (Avanti).
Scegli Riconosco che AWS CloudFormation potrebbe creare IAM risorse, quindi scegli Crea stack.

Fase 2: creazione di un modello che include `AWS::EC2::VPCPeeringConnection`

Ora che hai creato il ruolo «VPCe interaccount», puoi effettuare il peer con loro VPC utilizzando un altro Account AWS (l'account richiedente).

Per creare un modello che includa la VPCPeeringConnection risorsa AWS:::EC2: (esempio)

Torna alla home page della AWS CloudFormation console.
Seleziona Crea stack.
Scegliete Crea modello in Designer per utilizzare AWS CloudFormation Designer per creare un nuovo modello vuoto.

Se stai creando il modello in un altro editor di testo, scegli Il modello è pronto, quindi Amazon S3 URL o Carica un file modello, a seconda dei casi.

Usa il seguente modello di esempio per creare una connessione VPC e una connessione VPC peering utilizzando il ruolo peer che hai creato nella Fase 1.

Esempio JSON


{
  "AWSTemplateFormatVersion": "2010-09-09",
  "Description": "Create a VPC and a VPC Peering connection using the PeerRole to accept.",
  "Parameters": {
    "PeerVPCAccountId": {
      "Type": "String"
    },
    "PeerVPCId": {
      "Type": "String"
    },
    "PeerRoleArn": {
      "Type": "String"
    }
  },
  "Resources": {
    "vpc": {
      "Type": "AWS::EC2::VPC",
      "Properties": {
        "CidrBlock": "10.2.0.0/16",
        "EnableDnsSupport": false,
        "EnableDnsHostnames": false,
        "InstanceTenancy": "default"
      }
    },
    "vpcPeeringConnection": {
      "Type": "AWS::EC2::VPCPeeringConnection",
      "Properties": {
        "VpcId": {
          "Ref": "vpc"
        },
        "PeerVpcId": {
          "Ref": "PeerVPCId"
        },
        "PeerOwnerId": {
          "Ref": "PeerVPCAccountId"
        },
        "PeerRoleArn": {
          "Ref": "PeerRoleArn"
        }
      }
    }
  },
  "Outputs": {
    "VPCId": {
      "Value": {
        "Ref": "vpc"
      }
    },
    "VPCPeeringConnectionId": {
      "Value": {
        "Ref": "vpcPeeringConnection"
      }
    }
  }
}

Esempio YAML


AWSTemplateFormatVersion: 2010-09-09
Description: Create a VPC and a VPC Peering connection using the PeerRole to accept.
Parameters:
  PeerVPCAccountId:
    Type: String
  PeerVPCId:
    Type: String
  PeerRoleArn:
    Type: String
Resources:
  vpc:
    Type: 'AWS::EC2::VPC'
    Properties:
      CidrBlock: 10.2.0.0/16
      EnableDnsSupport: false
      EnableDnsHostnames: false
      InstanceTenancy: default
  vpcPeeringConnection:
    Type: 'AWS::EC2::VPCPeeringConnection'
    Properties:
      VpcId: !Ref vpc
      PeerVpcId: !Ref PeerVPCId
      PeerOwnerId: !Ref PeerVPCAccountId
      PeerRoleArn: !Ref PeerRoleArn
Outputs:
  VPCId:
    Value: !Ref vpc
  VPCPeeringConnectionId:
    Value: !Ref vpcPeeringConnection

Seleziona Successivo.
Assegnare un nome allo stack (ad esempio, VPC-peering-connection).
Accettare i valori predefiniti, quindi selezionare Next (Avanti).
Scegli Riconosco che AWS CloudFormation potrebbe creare IAM risorse, quindi scegli Crea stack.

Creazione di un modello con una policy altamente restrittiva

Potresti voler creare una politica altamente restrittiva per scambiare le tue VPC conoscenze con un'altra persona. Account AWS

Il modello di esempio seguente mostra come modificare il modello VPC peer owner (l'account accettante creato nella fase 1 precedente) in modo che sia più restrittivo.

Esempio JSON


    {
        "AWSTemplateFormatVersion": "2010-09-09",
        "Description": "Create a VPC and an assumable role for cross account VPC peering.",
        
        "Parameters": {
            "PeerRequesterAccountId": {
                "Type": "String"
            }
        },
        "Resources": {
            "peerRole": {
                "Properties": {
                    "AssumeRolePolicyDocument": {
                        "Statement": [
                            {
                                "Action": [
                                    "sts:AssumeRole"
                                ],
                                "Effect": "Allow",
                                "Principal": {
                                    "AWS": {
                                        "Ref": "PeerRequesterAccountId"
                                    }
                                }
                            }
                        ]
                    },
                    "Path": "/",
                    "Policies": [
                        {
                            "PolicyDocument": {
                                "Statement": [
                                    {
                                        "Action": "ec2:acceptVpcPeeringConnection",
                                        "Effect": "Allow",
                                        "Resource": {
                                            "Fn::Sub": "arn:aws:ec2:${AWS::Region}:${AWS::AccountId}:vpc/${vpc}"
                                        }
                                    },
                                    {
                                        "Action": "ec2:acceptVpcPeeringConnection",
                                        "Condition": {
                                            "StringEquals": {
                                                "ec2:AccepterVpc": {
                                                    "Fn::Sub": "arn:aws:ec2:${AWS::Region}:${AWS::AccountId}:vpc/${vpc}"
                                                }
                                            }
                                        },
                                        "Effect": "Allow",
                                        "Resource": {
                                            "Fn::Sub": "arn:aws:ec2:${AWS::Region}:${AWS::AccountId}:vpc-peering-connection/*"
                                        }
                                    }
                                ],
                                "Version": "2012-10-17"
                            },
                            "PolicyName": "root"
                        }
                    ]
                },
                "Type": "AWS::IAM::Role"
            },
            "vpc": {
                "Properties": {
                    "CidrBlock": "10.1.0.0/16",
                    "EnableDnsHostnames": false,
                    "EnableDnsSupport": false,
                    "InstanceTenancy": "default"
                },
                "Type": "AWS::EC2::VPC"
            }
        },
        "Outputs": {
            "RoleARN": {
                "Value": {
                    "Fn::GetAtt": [
                        "peerRole",
                        "Arn"
                    ]
                }
            },
            "VPCId": {
                "Value": {
                    "Ref": "vpc"
                }
            }
        }
    }

Esempio YAML


AWSTemplateFormatVersion: 2010-09-09
Description: Create a VPC and an assumable role for cross account VPC peering.
Parameters:
  PeerRequesterAccountId:
    Type: String
Resources:
  peerRole:
    Properties:
      AssumeRolePolicyDocument:
        Statement:
          - Action:
              - 'sts:AssumeRole'
            Effect: Allow
            Principal:
              AWS:
                Ref: PeerRequesterAccountId
      Path: /
      Policies:
        - PolicyDocument:
            Statement:
              - Action: 'ec2:acceptVpcPeeringConnection'
                Effect: Allow
                Resource:
                  'Fn::Sub': 'arn:aws:ec2:${AWS::Region}:${AWS::AccountId}:vpc/${vpc}'
              - Action: 'ec2:acceptVpcPeeringConnection'
                Condition:
                  StringEquals:
                    'ec2:AccepterVpc':
                      'Fn::Sub': 'arn:aws:ec2:${AWS::Region}:${AWS::AccountId}:vpc/${vpc}'
                Effect: Allow
                Resource:
                  'Fn::Sub': >-
                    arn:aws:ec2:${AWS::Region}:${AWS::AccountId}:vpc-peering-connection/*
            Version: 2012-10-17
          PolicyName: root
    Type: 'AWS::IAM::Role'
  vpc:
    Properties:
      CidrBlock: 10.1.0.0/16
      EnableDnsHostnames: false
      EnableDnsSupport: false
      InstanceTenancy: default
    Type: 'AWS::EC2::VPC'
Outputs:
  RoleARN:
    Value:
      'Fn::GetAtt':
        - peerRole
        - Arn
  VPCId:
    Value:
      Ref: vpc

Per accedere aVPC, puoi utilizzare lo stesso modello di richiedente del passaggio 2 precedente.

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Distribuisci applicazioni su Amazon EC2

Creazione di un'applicazione dimensionata e con carico bilanciato

Sbircia con un VPC in un altro Account AWS

Prerequisiti

Nota

Fase 1: Creare un ruolo e un ruolo tra account VPC

Esempio JSON

Esempio YAML

Fase 2: creazione di un modello che include AWS::EC2::VPCPeeringConnection

Esempio JSON

Esempio YAML

Creazione di un modello con una policy altamente restrittiva

Esempio JSON

Esempio YAML

Fase 2: creazione di un modello che include `AWS::EC2::VPCPeeringConnection`