Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Usa le API Amazon MSK con Interface VPC Endpoints
Puoi utilizzare un endpoint Interface VPC, con tecnologia AWS PrivateLink, per impedire al traffico tra le tue API Amazon VPC e Amazon MSK di uscire dalla rete Amazon. Gli endpoint Interface VPC non richiedono un gateway Internet, un dispositivo NAT, una connessione VPN o una connessione Direct Connect. AWS [AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/privatelink/what-is-privatelink.html)è una AWS tecnologia che consente la comunicazione privata tra AWS servizi utilizzando un'interfaccia di rete elastica con IP privati nel tuo Amazon VPC. Per ulteriori informazioni, consulta [ Amazon Virtual Private Cloud ](https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html) e [ Interface VPC Endpoints ().AWS PrivateLink ](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint)
Le tue applicazioni possono connettersi con le API Amazon MSK Provisioned e MSK Connect utilizzando. AWS PrivateLink Per iniziare, crea un endpoint Interface VPC per la tua API Amazon MSK per avviare il flusso di traffico da e verso le tue risorse Amazon VPC attraverso l'Interface VPC Endpoint. FIPS-enabled Gli endpoint Interface VPC sono disponibili per le regioni commerciali degli Stati Uniti e del Canada. Per ulteriori informazioni, consulta [ Create an Interface Endpoint. ](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint)
Utilizzando questa funzionalità, i client Apache Kafka possono recuperare dinamicamente le stringhe di connessione per connettersi alle risorse MSK Provisioned o MSK Connect senza dover attraversare Internet per recuperare le stringhe di connessione.
Quando crei un endpoint Interface VPC, scegli uno dei seguenti endpoint con nome di servizio:
**Per MSK Provisioned:**
+ I seguenti endpoint dei nomi di servizio non sono più supportati per le nuove connessioni:
+ com.amazonaws.region.kafka
+ com.amazonaws.region.kafka-fips () FIPS-enabled
+ I servizi endpoint Dualstack che supportano il traffico IPv4 e IPv6 sono:
+ aws.api.region.kafka-api
+ aws.api.region.kafka-api-fips () FIPS-enabled
Per configurare gli endpoint dualstack è necessario seguire le linee guida FIPS sugli endpoint. [ Dual-stack ](https://docs.aws.amazon.com/sdkref/latest/guide/feature-endpoints.html)
Dove regione è il nome della tua regione. Scegli questo nome di servizio per lavorare con le Provisioned-compatible API MSK. Per ulteriori informazioni, vedere [ Operazioni ](https://docs.aws.amazon.com/msk/1.0/apireference/operations.html) in. * https://docs.aws.amazon.com/msk/1.0/apireference/ *
**Per MSK Connect:**
+ com.amazonaws.region.kafkaconnect
+ com.amazonaws.region.kafkaconnect-fips () FIPS-enabled
Dove regione è il nome della tua regione. Scegli questo nome di servizio per lavorare con le Connect-compatible API MSK. Per ulteriori informazioni, consulta [ Azioni ](https://docs.aws.amazon.com/MSKC/latest/mskc/API_Operations.html) nell'API Reference di * Amazon MSK Connect. *
Per ulteriori informazioni, incluse istruzioni dettagliate per creare un endpoint VPC di interfaccia, consulta [ Creazione di un endpoint di interfaccia nella Guida. ](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint) *AWS PrivateLink *
## Controlla l'accesso agli endpoint VPC per le API Amazon MSK Provisioned o MSK Connect
Le policy degli endpoint VPC consentono di controllare l'accesso collegando una policy a un endpoint VPC o utilizzando campi aggiuntivi in una policy collegata a un utente, gruppo o ruolo IAM per limitare l'accesso solo tramite l'endpoint VPC specificato. Utilizza la policy di esempio appropriata per definire le autorizzazioni di accesso per il servizio MSK Provisioned o MSK Connect.
Se non colleghi una policy durante la creazione di un endpoint, Amazon VPC collega una policy predefinita che consente l'accesso completo al servizio. Una policy endpoint non esclude né sostituisce policy IAM basate sull'identità o policy specifiche del servizio. Si tratta di una policy separata per controllare l'accesso dall'endpoint al servizio specificato.
Per ulteriori informazioni, vedere [ Controlling Access to Services with VPC Endpoints nella Guida. ](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html) *AWS PrivateLink *
------
#### [ MSK Provisioned — VPC policy example ]
**Read-only accesso**
Questa policy di esempio può essere collegata a un endpoint VPC. Per ulteriori informazioni, consulta Controllo dell'accesso alle risorse VPC di Amazon. Limita le azioni solo a elencare e descrivere le operazioni tramite l'endpoint VPC a cui è collegato.
```
{
"Statement": [
{
"Sid": "MSKReadOnly",
"Principal": "*",
"Action": [
"kafka:List*",
"kafka:Describe*"
],
"Effect": "Allow",
"Resource": "*"
}
]
}
```
**MSK Provisioned: esempio di policy sugli endpoint VPC**
Limita l'accesso a un cluster MSK specifico
Questa policy di esempio può essere collegata a un endpoint VPC. Limita l'accesso a un cluster Kafka specifico tramite l'endpoint VPC a cui è collegato.
```
{
"Statement": [
{
"Sid": "AccessToSpecificCluster",
"Principal": "*",
"Action": "kafka:*",
"Effect": "Allow",
"Resource": "arn:aws:kafka:us-east-1:123456789012:cluster/MyCluster"
}
]
}
```
------
#### [ MSK Connect — VPC endpoint policy example ]
**Elenca i connettori e crea un nuovo connettore**
Di seguito è riportato un esempio di policy sugli endpoint per MSK Connect. Questa politica consente al ruolo specificato di elencare i connettori e creare un nuovo connettore.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "MSKConnectPermissions",
"Effect": "Allow",
"Action": [
"kafkaconnect:ListConnectors",
"kafkaconnect:CreateConnector"
],
"Resource": "*",
"Principal": {
"AWS": [
"arn:aws:iam::{{111122223333}}:role/{{MyMSKConnectExecutionRole}}"
]
}
}
]
}
```
**MSK Connect — Esempio di policy per gli endpoint VPC**
Consente solo richieste da un indirizzo IP specifico nel VPC specificato
L'esempio seguente mostra una policy che consente l'esito positivo solo delle richieste provenienti da un indirizzo IP specificato nel VPC specificato. Le richieste provenienti da altri indirizzi IP avranno esito negativo.
```
{
"Statement": [
{
"Action": "kafkaconnect:*",
"Effect": "Allow",
"Principal": "*",
"Resource": "*",
"Condition": {
"IpAddress": {
"aws:VpcSourceIp": "192.0.2.123"
},
"StringEquals": {
"aws:SourceVpc": "vpc-555555555555"
}
}
}
]
}
```
------