Utilizzo di risorse condivise in CloudFront

Amazon CloudFront si integra con AWS Resource Access Manager (AWS RAM) per consentire la condivisione delle risorse. AWS RAM ti consente di condividere alcune CloudFront risorse con altri Account AWS o tramite AWS Organizations. Con AWS RAM, condividi le risorse di cui sei proprietario creando una condivisione delle risorse. Una condivisione delle risorse specifica le risorse da condividere e gli utenti con cui condividerle. I consumatori includono:

• Specifico Account AWS all'interno o all'esterno della sua organizzazione in AWS Organizations

• Un'unità organizzativa all'interno della propria organizzazione in AWS Organizations

• La sua intera organizzazione in AWS Organizations

Per ulteriori informazioni in merito AWS RAM, consulta la Guida AWS RAM per l'utente.

Questo argomento spiega come condividere le risorse che possiedi e come utilizzare le risorse condivise con te.

Prerequisiti per la condivisione delle risorse

• È necessario disporre della politica AWSRAMDefaultPermissionCloudFront gestita per concedere l'accesso in sola lettura alla condivisione delle risorse. Per ulteriori informazioni, consulta AWSRAMDefaultPermissionCloudFront.

• Per condividere un'origine VPC, devi possederla nel tuo. Account AWS Ciò significa che la risorsa deve essere allocata o fornita nel tuo account. Non puoi condividere una risorsa che è stata condivisa con te.

• Per condividere una risorsa con la tua organizzazione o un'unità organizzativa in AWS Organizations, devi abilitare la condivisione con AWS Organizations. Per ulteriori informazioni, consulta Abilita la condivisione con AWS Organizations nella Guida per l'utente AWS RAM .

Condivisione di un'origine VPC

Nota

Attualmente, CloudFront supporta la condivisione delle origini VPC. Se non ne hai già creato uno, vediLimitazione dell’accesso con VPC Origins.

Quando condividi un'origine VPC di tua proprietà con altri Account AWS, consenti loro di utilizzare quella risorsa come origine per le loro CloudFront distribuzioni.

Per condividere un'origine VPC, è necessario aggiungerla a una condivisione di risorse. Una condivisione di risorse è una risorsa AWS RAM che consente di condividere le risorse tra Account AWS.

Una condivisione di risorse specifica quanto segue:

• Le risorse che desideri condividere

• I consumatori con cui vengono condivise

• La politica gestita del servizio che determina le autorizzazioni per le risorse

Quando condividi un'origine VPC utilizzando la CloudFront console, la aggiungi a una condivisione di risorse esistente. Se non disponi già di una condivisione di risorse, puoi crearne una quando condividi un'origine VPC dalla CloudFront console. Puoi anche utilizzare la AWS RAM console o AWS CLI crearne una separatamente.

Puoi condividere le origini del VPC con altri Account AWS e. AWS Organizations

• Se condividi la risorsa con un' AWS organizzazione, a tutti i consumatori di quella specifica organizzazione è consentito l'accesso all'origine del VPC.

• Se condividi con un'organizzazione Account AWS o con un'organizzazione di cui non fai parte, i consumatori riceveranno un invito ad accettare la condivisione delle risorse. Una volta accettati, possono utilizzare l'origine VPC.

Puoi condividere un'origine VPC di tua proprietà utilizzando la CloudFront console, la AWS RAM console o il. AWS CLI

Per creare una condivisione di risorse utilizzando la console CloudFront

1. Aprire la CloudFront console all'indirizzohttps://console.aws.amazon.com/cloudfront/v4/home.

2. Nel riquadro di navigazione, scegli Origini VPC.

3. Seleziona una o più risorse e scegli Condividi origine VPC.

4. Seleziona Crea condivisione risorse.

5. In Nome, inserisci un nome per la condivisione di risorse.

6. Per Tipo principale, selezionare una delle seguenti opzioni:

   • Account AWS— Concedi l'accesso a uno specifico Account AWS.

   • Unità organizzativa: concede l'accesso a un'unità organizzativa (OU) specifica.

   • Organizzazione: concedi l'accesso all'intera organizzazione, compresi i suoi figli OUs e Account AWS.

   1. Se hai scelto Account AWS, inserisci il numero ID dell'account. Puoi scegliere Aggiungi nuovo account per aggiungerne fino a 5 Account AWS.

   2. Se hai scelto Unità organizzativa, inserisci l'ARN dell'unità organizzativa. È possibile inserire solo 1 unità organizzativa.

   3. Se hai scelto Organizzazione, inserisci l'ARN dell'organizzazione. Puoi inserire solo 1 organizzazione.

7. Scegli Condividi risorse.

   Per impostazione predefinita, CloudFront applica la politica AWSRAMDefaultPermissionCloudFront AWS gestita alla condivisione delle risorse. Questa politica consente azioni di sola lettura sulla condivisione di risorse, in modo che gli account utente non possano aggiornare o eliminare la risorsa condivisa. Non puoi modificare o rimuovere questa politica dalla condivisione delle risorse.

   Suggerimento

   Dopo aver creato la condivisione di risorse, puoi aggiungerne altre Account AWS dalla AWS RAM console. Per ulteriori informazioni, consulta Aggiornare una condivisione di risorse nella AWS RAM nella Guida AWS RAM per l'utente.

Per condividere un'origine VPC di tua proprietà utilizzando la console CloudFront

1. Apri la CloudFront console all'indirizzohttps://console.aws.amazon.com/cloudfront/v4/home.

2. Nel riquadro di navigazione, scegli Origini VPC.

3. Seleziona una risorsa e scegli Condividi origine VPC.

4. Nella pagina Condividi origine VPC, puoi selezionare una condivisione di risorse esistente a cui desideri aggiungere questa origine VPC.

5. Scegli Condividi risorsa.

   Nella pagina dei dettagli della risorsa, in Condiviso con, puoi vedere che l'origine del tuo VPC è condivisa con i seguenti dettagli:

   • Nomi di condivisione delle risorse

   • Condividi lo stato

   • Data dell'ultima modifica

Dopo aver creato e condiviso la condivisione di risorse con gli account consumatori, questi hanno 12 ore di tempo per accettare l'invito. Per ulteriori informazioni, consulta Accettazione e rifiuto degli inviti alla condivisione di risorse nella Guida per l'AWS RAM utente.

Importante

Per consentire agli account utente di utilizzare la tua origine VPC per la loro CloudFront distribuzione, devi anche fornire loro l'endpoint ELB o Amazon dell'origine VPC. EC2

Per condividere un'origine VPC di tua proprietà utilizzando la console AWS RAM

Crea una condivisione di risorse e poi scegli le CloudFront risorse che desideri aggiungervi. Per ulteriori informazioni, consulta Creazione di una condivisione di risorse nella Guida AWS RAM per l'utente.

Per condividere un'origine VPC di tua proprietà utilizzando AWS CLI

Utilizza il comando create-resource-share.

Utilizzo di un'origine VPC condivisa

Per utilizzare un'origine VPC condivisa, l'account che riceve l'invito deve accettare la condivisione di risorse. Puoi farlo accedendo alla AWS Resource Access Manager console nella regione Stati Uniti orientali (Virginia settentrionale) e accettando eventuali richieste in sospeso nella scheda In sospeso. Per ulteriori informazioni, consulta Accettazione di risorse condivise nella Guida per l'utente.AWS RAM

Dopo aver accettato la condivisione di risorse, puoi utilizzare l'origine VPC come origine per le tue CloudFront distribuzioni.

Per utilizzare un'origine VPC condivisa

1. Apri la CloudFront console all'indirizzohttps://console.aws.amazon.com/cloudfront/v4/home.

2. Nel riquadro di navigazione, per Distribuzioni, esegui una delle seguenti operazioni:

   • Per una nuova distribuzione, scegli Crea distribuzione.

   • Per una distribuzione esistente, scegli l'ID di distribuzione.

3. Per il tipo di origine, scegli Origine VPC, quindi specifica l'origine VPC che è stata condivisa con te.

4. Per l'endpoint di origine VPC, inserisci il nome DNS privato dell' EC2 istanza Amazon o del load balancer ELB o il dominio di origine. Se non disponi già di questo valore, devi ottenerlo da chi possiede Account AWS l'origine del VPC. Se non disponi già di questo endpoint, puoi ottenerlo da chi possiede Account AWS l'origine del VPC.

5. Segui gli altri passaggi della console per creare o aggiornare la tua distribuzione.

Identificazione di un'origine VPC condivisa

I proprietari e i consumatori possono identificare le origini VPC condivise utilizzando la CloudFront console e. AWS CLI

Per identificare un'origine VPC condivisa utilizzando la console CloudFront

1. Apri la CloudFront console all'indirizzohttps://console.aws.amazon.com/cloudfront/v4/home.

2. Nel riquadro di navigazione, scegli Origini VPC. Puoi utilizzare la colonna Owner ID per identificare a Account AWS chi appartiene la risorsa.

3. Selezionare una risorsa.

4. Nella pagina dei dettagli della risorsa, in Condiviso con, puoi vedere che l'origine del tuo VPC è condivisa con i seguenti dettagli:

   • Nomi di condivisione delle risorse

   • Condividi lo stato

   • Data dell'ultima modifica

Annullamento della condivisione di un'origine VPC condivisa

Quando annulli la condivisione di una risorsa, gli Account AWS (account di consumo) non possono più utilizzare quella risorsa per nuove distribuzioni o aggiornare le distribuzioni esistenti.

Nota

Se annulli la condivisione di una risorsa, le distribuzioni esistenti che utilizzano ancora quella risorsa rimangono attive e continueranno a servire il traffico. Tuttavia, queste distribuzioni non possono essere modificate finché la risorsa non condivisa non viene rimossa come origine. Ti consigliamo di assicurarti che tutti gli account consumatori smettano di utilizzare la risorsa non condivisa prima di annullarne la condivisione.

Per annullare la condivisione di un'origine VPC condivisa di tua proprietà, devi rimuoverla dalla condivisione di risorse. Puoi farlo utilizzando la CloudFront console, AWS RAM la console o il. AWS CLI

Per annullare la condivisione di un'origine VPC condivisa di tua proprietà utilizzando la console CloudFront

1. Apri la CloudFront console all'indirizzo. https://console.aws.amazon.com/cloudfront/v4/home

2. Nel riquadro di navigazione, scegli Origini VPC.

3. Seleziona una risorsa e scegli Annulla condivisione.

4. Controlla i dettagli nella finestra di dialogo Annulla condivisione della risorsa, quindi scegli Annulla condivisione. I principali elencati non avranno più accesso alla tua risorsa condivisa.

Per annullare la condivisione di un'origine VPC condivisa di tua proprietà utilizzando la console AWS RAM

Consulta Aggiornamento di una condivisione di risorse in Guida per l'utente di AWS RAM .

Per annullare la condivisione di un'origine VPC condivisa di tua proprietà, utilizza AWS CLI

Utilizza il comando disassociate-resource-share.

Responsabilità e autorizzazioni per le origini VPC condivise

Autorizzazioni per i proprietari

In qualità di account proprietario della risorsa, assicurati che tutti gli account consumatori smettano di utilizzare la risorsa prima di annullarne la condivisione o eliminarla.

Autorizzazioni per gli utenti

Gli account che utilizzano possono utilizzare risorse condivise come origini per le proprie CloudFront distribuzioni, ma non possono modificare o eliminare le risorse. Per impostazione predefinita, la politica AWSRAMDefaultPermissionCloudFront AWS gestita viene applicata alla condivisione di risorse nell'account di condivisione (l'account proprietario della risorsa).

AWSRAMDefaultPermissionCloudFront

Quando si crea una condivisione di risorse in CloudFront, CloudFront utilizza la politica AWSRAMDefaultPermissionCloudFront AWS gestita e la applica alla condivisione di risorse. Questa politica concede autorizzazioni di sola lettura alle CloudFront risorse che possono essere condivise dal proprietario della risorsa all'account utente.

Per ulteriori informazioni sulla gestione delle autorizzazioni in AWS RAM, vedere Gestione delle autorizzazioni nella Guida per l'utente. AWS RAMAWS Resource Access Manager

Fatturazione e misurazione

Non sono previsti costi aggiuntivi per la condivisione delle origini VPC con altri. Account AWS I costi di utilizzo del traffico per una distribuzione che utilizza un'origine VPC condivisa andranno all'account utente proprietario della distribuzione.

Quote di risorse condivise

CloudFront utilizza le stesse quote di condivisione delle risorse specificate da. AWS RAM Dalla CloudFront console è possibile aggiungere fino a 5 Account AWS, 1 unità organizzativa o 1 organizzazione. Per aggiungerne altre, usa la AWS RAM console o l' AWS RAM API.

Per maggiori informazioni, consulta Service Quotas di AWS RAM nella Guida per l’utente di AWS RAM .