Usa Amazon Kinesis Data VPC Streams con endpoint di interfaccia

Puoi utilizzare un VPC endpoint di interfaccia per impedire che il traffico tra Amazon VPC e Kinesis Data Streams esca dalla rete Amazon. VPCGli endpoint di interfaccia non richiedono un gateway Internet, un NAT dispositivo, una connessione o una VPN connessione. AWS Direct Connect Gli VPC endpoint di interfaccia sono alimentati da AWS PrivateLink, una AWS tecnologia che consente la comunicazione privata tra AWS i servizi utilizzando un'interfaccia di rete elastica con private IPs in AmazonVPC. Per ulteriori informazioni, consulta Amazon Virtual Private Cloud and Interface VPC Endpoints (AWS PrivateLink).

Usa gli VPC endpoint di interfaccia per Kinesis Data Streams

Per iniziare, non è necessario modificare le impostazioni per flussi, produttori o consumatori. È sufficiente creare un VPC endpoint di interfaccia in modo che il traffico Kinesis Data Streams da e verso le risorse VPC Amazon inizi a fluire attraverso l'endpoint dell'interfaccia. VPC Per ulteriori informazioni, consulta Creazione di un endpoint di interfaccia.

Kinesis Producer Library (KPL) e Kinesis Consumer Library (KCL) AWS richiamano servizi come Amazon e Amazon CloudWatch DynamoDB utilizzando endpoint pubblici o endpoint di interfaccia privati, a seconda di quale siano in uso. VPC Ad esempio, se KCL l'applicazione è in esecuzione in un'interfaccia VPC con DynamoDB VPC con endpoint abilitati, le chiamate tra DynamoDB e KCL l'applicazione fluiscono attraverso l'endpoint dell'interfaccia. VPC

Controlla l'accesso agli VPC endpoint per Kinesis Data Streams

VPCLe policy degli endpoint consentono di controllare l'accesso allegando una policy a un VPC endpoint o utilizzando campi aggiuntivi in una policy associata a un IAM utente, gruppo o ruolo per limitare l'accesso solo tramite l'endpoint specificato. VPC Queste politiche possono essere utilizzate per limitare l'accesso a flussi specifici verso un VPC endpoint specifico se utilizzate insieme alle IAM politiche per concedere l'accesso alle azioni del flusso di dati di Kinesis solo tramite l'endpoint specificato. VPC

Di seguito sono riportati esempi di policy di endpoint per l'accesso ai flussi di dati Kinesis.

• VPCesempio di policy: accesso in sola lettura: questa policy di esempio può essere allegata a un endpoint. VPC (Per ulteriori informazioni, consulta Controlling Access to Amazon VPC Resources). Limita le azioni alla sola elencazione e descrizione di un flusso di dati Kinesis attraverso l'VPCendpoint a cui è collegato.

  
  {
    "Statement": [
      {
        "Sid": "ReadOnly",
        "Principal": "*",
        "Action": [
          "kinesis:List*",
          "kinesis:Describe*"
        ],
        "Effect": "Allow",
        "Resource": "*"
      }
    ]
  }                
  

• VPCesempio di policy: limita l'accesso a un flusso di dati Kinesis specifico: questa policy di esempio può essere allegata a un VPC endpoint. Limita l'accesso a un flusso di dati specifico attraverso l'VPCendpoint a cui è collegato.

  
  {
    "Statement": [
      {
        "Sid": "AccessToSpecificDataStream",
        "Principal": "*",
        "Action": "kinesis:*",
        "Effect": "Allow",
        "Resource": "arn:aws:kinesis:us-east-1:123456789012:stream/MyStream"
      }
    ]
  }
                  

• IAMesempio di policy: limita l'accesso a uno Stream specifico solo da un VPC endpoint specifico: questa policy di esempio può essere associata a un IAM utente, ruolo o gruppo. Limita l'accesso a un flusso di dati Kinesis specificato in modo che avvenga solo da un VPC endpoint specificato.

  
  {
     "Version": "2012-10-17",
     "Statement": [
        {
           "Sid": "AccessFromSpecificEndpoint",
           "Action": "kinesis:*",
           "Effect": "Deny",
           "Resource": "arn:aws:kinesis:us-east-1:123456789012:stream/MyStream",
           "Condition": { "StringNotEquals" : { "aws:sourceVpce": "vpce-11aa22bb" } }
        }
     ]
  }
                  

Disponibilità di policy VPC sugli endpoint per Kinesis Data Streams

Gli endpoint dell'interfaccia Kinesis Data VPC Streams con policy sono supportati nelle seguenti regioni:

• Europa (Parigi)

• Europa (Irlanda)

• Stati Uniti orientali (Virginia settentrionale)

• Europa (Stoccolma)

• Stati Uniti orientali (Ohio)

• Europa (Francoforte)

• Sud America (San Paolo)

• Europa (Londra)

• Asia Pacifico (Tokyo)

• Stati Uniti occidentali (California settentrionale)

• Asia Pacifico (Singapore)

• Asia Pacifico (Sydney)

• Cina (Pechino)

• Cina (Ningxia)

• Asia Pacifico (Hong Kong)

• Medio Oriente (Bahrein)

• Medio Oriente () UAE

• Europa (Milano)

• Africa (Città del Capo)

• Asia Pacifico (Mumbai)

• Asia Pacifico (Seoul)

• Canada (Centrale)

• Stati Uniti occidentali (Oregon) tranne usw2-az4

• AWS GovCloud (Stati Uniti orientali)

• AWS GovCloud (Stati Uniti occidentali)

• Asia Pacifico (Osaka-Locale)

• Europa (Zurigo)

• Asia Pacific (Hyderabad)