AWS PrivateLink for DynamoDB Streams - Amazon DynamoDB
AWS PrivateLink for Amazon DynamoDB Streams を使用する場合の考慮事項Amazon VPC エンドポイントの作成Amazon DynamoDB Streams インターフェイスエンドポイントへのアクセスDynamoDB Streams インターフェイスエンドポイントから DynamoDB Streams API オペレーションへのアクセスAWS SDK の例Amazon VPC エンドポイントポリシーの作成

AWS PrivateLink for DynamoDB Streams

AWS PrivateLink for Amazon DynamoDB Streams を使用すると、仮想プライベートクラウド (Amazon VPC) でインターフェイス Amazon VPC エンドポイント (インターフェイスエンドポイント) をプロビジョニングできます。これらのエンドポイントには、オンプレミスにあるアプリケーションから VPN および AWS Direct Connect 経由で、または別の AWS リージョン にあるアプリケーションから Amazon VPC ピアリング経由で直接アクセスできます。AWS PrivateLink とインターフェイスエンドポイントを使用することで、アプリケーションから DynamoDB Streams へのプライベートネットワーク接続を簡素化できます。

Amazon VPC 内のアプリケーションは、パブリック IP アドレスがなくても、Amazon VPC インターフェイスエンドポイントを使用して DynamoDB Streams と通信し、DynamoDB Streams の操作を実行できます。インターフェイスエンドポイントは、Amazon VPC 内のサブネットからプライベート IP アドレスが割り当てられた 1 つ以上の Elastic Network Interface (ENI) で表されます。インターフェイスエンドポイントを介した DynamoDB Streams へのリクエストが Amazon ネットワーク外に出ることはありません。AWS Direct Connect または AWS Virtual Private Network (AWS VPN) を介して、オンプレミスのアプリケーションから Amazon VPC 内のインターフェイスエンドポイントにアクセスすることもできます。AWS Virtual Private Network をオンプレミスネットワークに接続する方法の詳細については、「AWS Direct Connect ユーザーガイド」および「AWS Site-to-Site VPN ユーザーガイド」を参照してください。

インターフェイスエンドポイントの一般的な情報については、「Interface Amazon VPC endpoints (AWS PrivateLink)」を参照してください。

注記

DynamoDB Streams では、インターフェイスエンドポイントのみがサポートされています。ゲートウェイエンドポイントはサポートされていません。

Amazon VPC に関する考慮事項が AWS PrivateLink for Amazon DynamoDB Streams に適用されます。詳細については、「interface endpoint considerations」および「AWS PrivateLink quotas」を参照してください。以下の制限が適用されます。

AWS PrivateLink for Amazon DynamoDB Streams では、以下はサポートされていません。

  • Transport Layer Security (TLS) 1.1

  • プライベートおよびハイブリッドドメインネームシステム (DNS) サービス

注記

AWS PrivateLink エンドポイントへのネットワーク接続タイムアウトは DynamoDB Streams エラーレスポンスの範囲ではないため、AWS PrivateLink エンドポイントに接続するアプリケーションで適切に処理する必要があります。

Amazon VPC インターフェイスエンドポイントを作成するには、「AWS PrivateLink ガイド」の「Create an Amazon VPC endpoint」を参照してください。

インターフェイスエンドポイントを作成すると、DynamoDB はエンドポイント固有の 2 つのタイプの DynamoDB Streams DNS 名 (Regional および Zonal) を生成します。

  • Regional DNS 名では、一意の Amazon VPC エンドポイント ID、サービス識別子、AWS リージョン、および vpce.amazonaws.com が名前に含まれます。例えば、Amazon VPC エンドポイント ID が vpce-1a2b3c4d の場合、生成される DNS 名は vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com のようになります。

  • Zonal DNS 名には、アベイラビリティーゾーンが含まれます (vpce-1a2b3c4d-5e6f-us-east-1a.streams.dynamodb.us-east-1.vpce.amazonaws.com など)。このオプションは、アーキテクチャがアベイラビリティーゾーンを分離する場合に使用できます。例えば、障害を隔離し、リージョン間のデータ転送コストを削減するために使用できます。

DynamoDB Streams インターフェイスエンドポイントを介して DynamoDB Streams API オペレーションにアクセスするには、AWS CLI SDK または AWS SDK を使用します。

AWS CLI コマンドで DynamoDB Streams インターフェイスエンドポイントを介して DynamoDB Streams または API オペレーションにアクセスするには、--region パラメータおよび --endpoint-url パラメータを使用します。

例: VPC エンドポイントの作成

aws ec2 create-vpc-endpoint \
--region us-east-1 \
--service-name com.amazonaws.us-east-1.dynamodb-streams \
--vpc-id client-vpc-id \
--subnet-ids client-subnet-id \
--vpc-endpoint-type Interface \
--security-group-ids client-sg-id

例: VPC エンドポイントの変更

aws ec2 modify-vpc-endpoint \
--region us-east-1 \
--vpc-endpoint-id client-vpc-endpoint-id \
--policy-document policy-document \ #example optional parameter
--add-security-group-ids security-group-ids \ #example optional parameter 
# any additional parameters needed, see Privatelink documentation for more details

例: エンドポイント URL を使ったストリームの一覧表示

次の例では、リージョン us-east-1、VPC エンドポイント ID の DNS 名 vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com をユーザー自身の情報に置き換えます。

aws dynamodbstreams --region us-east-1 —endpoint https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com list-streams

AWS SDK を使って DynamoDB Streams インターフェイスエンドポイントを介して Amazon DynamoDB Streams API オペレーションにアクセスするには、SDK を最新バージョンに更新します。次に、エンドポイント URL を使用して DynamoDB Streams インターフェイスエンドポイントを介して DynamoDB Streams API オペレーションにアクセスするように、クライアントを設定します。

SDK for Python (Boto3)
例: エンドポイント URL を使用して DynamoDB stream にアクセスする

次の例では、リージョン us-east-1 および VPC エンドポイント ID https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com をユーザー自身の情報に置き換えます。

ddb_streams_client = session.client(
service_name='dynamodbstreams',
region_name='us-east-1',
endpoint_url='https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com'
)
SDK for Java 1.x
例: エンドポイント URL を使用して DynamoDB stream にアクセスする

次の例では、リージョン us-east-1 および VPC エンドポイント ID https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com をユーザー自身の情報に置き換えます。

//client build with endpoint config  
final AmazonDynamoDBStreams dynamodbstreams = AmazonDynamoDBStreamsClientBuilder.standard().withEndpointConfiguration(
        new AwsClientBuilder.EndpointConfiguration(
                "https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com",
                Regions.DEFAULT_REGION.getName()
        )
).build();
SDK for Java 2.x
例: エンドポイント URL を使用して DynamoDB stream にアクセスする

次の例では、リージョン us-east-1 および VPC エンドポイント ID https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com をユーザー自身の情報に置き換えます。

Region region = Region.US_EAST_1;
dynamoDbStreamsClient = DynamoDbStreamsClient.builder().region(region)
.endpointOverride(URI.create("https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com"))
.build()

Amazon VPC エンドポイントに DynamoDB Streams へのアクセスをコントロールするエンドポイントポリシーをアタッチできます。このポリシーでは、以下の情報を指定します。

  • アクションを実行できる AWS Identity and Access Management (IAM) プリンシパル

  • 実行可能なアクション

  • アクションを実行できるリソース

特定の DynamoDB Streams へのアクセスのみを制限するエンドポイントポリシーを作成できます。このタイプのポリシーは、DynamoDB Streams を使用する他の AWS のサービス が Amazon VPC にある場合に便利です。次のストリームポリシーは、DOC-EXAMPLE-TABLE にアタッチされた 2025-02-20T11:22:33.444 ストリームのみへのアクセスを制限します。このエンドポイントポリシーを使用するには、DOC-EXAMPLE-TABLE をテーブルの名前で、2025-02-20T11:22:33.444 をストリームラベルで、それぞれ置き換えます。

{
"Version": "2012-10-17",
  "Id": "Policy1216114807515",
  "Statement": [
    { "Sid": "Access-to-specific-stream-only",
      "Principal": "*",
      "Action": [
        "dynamodb:DescribeStream",
        "dynamodb:GetRecords"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:dynamodb:::DOC-EXAMPLE-TABLE/stream/2025-02-20T11:22:33.444"]
    }
  ]
}
注記

ゲートウェイエンドポイントは DynamoDB Streams ではサポートされていません。