AWS PrivateLink for DynamoDB Streams - Amazon DynamoDB
AWS PrivateLink for Amazon DynamoDB Streams 사용 시 고려 사항Amazon VPC 엔드포인트 생성Amazon DynamoDB Streams 인터페이스 엔드포인트에 액세스DynamoDB Streams 인터페이스 엔드포인트에서 DynamoDB Streams API 작업에 액세스AWS SDK 예제Amazon VPC 엔드포인트 정책 생성

AWS PrivateLink for DynamoDB Streams

AWS PrivateLink for Amazon DynamoDB Streams를 사용하면 Virtual Private Cloud(Amazon VPC)에서 인터페이스 Amazon VPC 엔드포인트(인터페이스 엔드포인트)를 프로비저닝할 수 있습니다. 이러한 엔드포인트는 VPN 및 AWS Direct Connect를 통해 온프레미스에 있는 애플리케이션에서 또는 Amazon VPC 피어링을 통해 다른 AWS 리전에 있는 애플리케이션에서 직접 액세스할 수 있습니다. AWS PrivateLink 및 인터페이스 엔드포인트를 사용하면 애플리케이션에서 DynamoDB Streams로의 프라이빗 네트워크 연결을 단순화할 수 있습니다.

Amazon VPC의 애플리케이션은 DynamoDB Streams 작업을 위해 Amazon VPC 인터페이스 엔드포인트를 사용하여 DynamoDB Streams와 통신하는 데 퍼블릭 IP 주소가 필요하지 않습니다. 인터페이스 엔드포인트는 Amazon VPC의 서브넷에서 프라이빗 IP 주소가 할당된 하나 이상의 탄력적 네트워크 인터페이스(ENI)로 표시됩니다. 인터페이스 엔드포인트를 통한 DynamoDB Streams에 대한 요청은 Amazon 네트워크에 유지됩니다. 또한, AWS Direct Connect 또는 AWS Virtual Private Network(AWS VPN)을 통해 온프레미스 애플리케이션에서 Amazon VPC의 인터페이스 엔드포인트에 액세스할 수 있습니다. AWS Virtual Private Network를 온프레미스 네트워크에 연결하는 방법에 대한 자세한 내용은 AWS Direct Connect 사용 설명서 및 AWS Site-to-Site VPN 사용 설명서를 참조하세요.

인터페이스 엔드포인트에 대한 일반적인 정보는 Interface Amazon VPC endpoints (AWS PrivateLink)를 참조하세요.

참고

DynamoDB Streams에는 인터페이스 엔드포인트만 지원됩니다. 게이트웨이 엔드포인트는 지원되지 않습니다.

Amazon VPC 고려 사항이 AWS PrivateLink for Amazon DynamoDB Streams에 적용됩니다. 자세한 내용은 interface endpoint considerations 및 AWS PrivateLink quotas를 참조하세요. 다음과 같은 제한 사항이 적용됩니다.

AWS PrivateLink for Amazon DynamoDB Streams는 다음을 지원하지 않습니다.

  • 전송 계층 보안(TLS) 1.1

  • 프라이빗 및 하이브리드 도메인 이름 시스템(DNS) 서비스

참고

AWS PrivateLink 엔드포인트에 대한 네트워크 연결 제한 시간은 DynamoDB Streams 오류 응답 범위에 포함되지 않으므로 AWS PrivateLink 엔드포인트에 연결하는 애플리케이션에서 적절하게 처리해야 합니다.

Amazon VPC 인터페이스 엔드포인트를 생성하려면 AWS PrivateLink 안내서의 Create an Amazon VPC endpoint를 참조하세요.

인터페이스 엔드포인트를 생성하면 DynamoDB는 Regional 및 Zonal이라는 두 가지 유형의 엔드포인트별 DynamoDB Streams DNS 이름을 생성합니다.

  • 리전 DNS 이름에는 고유한 Amazon VPC 엔드포인트 ID, 서비스 식별자, AWS 리전, vpce.amazonaws.com이 포함됩니다. 예를 들어, Amazon VPC 엔드포인트 ID vpce-1a2b3c4d의 경우, 생성된 DNS 이름은 vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com과 비슷할 수 있습니다.

  • 영역별 DNS 이름에는 가용 영역이 포함됩니다(예: vpce-1a2b3c4d-5e6f-us-east-1a.streams.dynamodb.us-east-1.vpce.amazonaws.com). 아키텍처가 가용 영역을 분리하는 경우 이 옵션을 사용할 수 있습니다. 예를 들어, 오류를 제한하거나 리전별 데이터 전송 비용을 줄이는 데 사용할 수 있습니다.

AWS CLI 또는 AWS SDK를 사용하여 DynamoDB Streams 인터페이스 엔드포인트를 통해 DynamoDB Streams API 작업에 액세스할 수 있습니다.

AWS CLI 명령의 DynamoDB Streams 인터페이스 엔드포인트를 통해 DynamoDB Streams 또는 API 작업에 액세스하려면 --region 및 --endpoint-url 파라미터를 사용하세요.

예: VPC 엔드포인트 생성

aws ec2 create-vpc-endpoint \
--region us-east-1 \
--service-name com.amazonaws.us-east-1.dynamodb-streams \
--vpc-id client-vpc-id \
--subnet-ids client-subnet-id \
--vpc-endpoint-type Interface \
--security-group-ids client-sg-id

예: VPC 엔드포인트 수정

aws ec2 modify-vpc-endpoint \
--region us-east-1 \
--vpc-endpoint-id client-vpc-endpoint-id \
--policy-document policy-document \ #example optional parameter
--add-security-group-ids security-group-ids \ #example optional parameter 
# any additional parameters needed, see Privatelink documentation for more details

예: 엔드포인트 URL을 사용하여 스트림 나열

다음 예시에서 리전 us-east-1 및 VPC 엔드포인트 ID의 DNS 이름 vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com을 실제 정보로 바꿉니다.

aws dynamodbstreams --region us-east-1 —endpoint https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com list-streams

AWS SDK를 사용하여 DynamoDB Streams 인터페이스 엔드포인트를 통해 Amazon DynamoDB Streams API 작업에 액세스하려면 SDK를 최신 버전으로 업데이트하세요. 그런 다음, DynamoDB Streams 인터페이스 엔드포인트를 통해 DynamoDB Streams API 작업에 대해 엔드포인트 URL을 사용하도록 클라이언트를 구성합니다.

SDK for Python (Boto3)
예: 엔드포인트 URL을 사용하여 DynamoDB 스트림에 액세스

다음 예에서 리전 us-east-1 및 VPC 엔드포인트 ID https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com을 실제 정보로 바꿉니다.

ddb_streams_client = session.client(
service_name='dynamodbstreams',
region_name='us-east-1',
endpoint_url='https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com'
)
SDK for Java 1.x
예: 엔드포인트 URL을 사용하여 DynamoDB 스트림에 액세스

다음 예에서 리전 us-east-1 및 VPC 엔드포인트 ID https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com을 실제 정보로 바꿉니다.

//client build with endpoint config  
final AmazonDynamoDBStreams dynamodbstreams = AmazonDynamoDBStreamsClientBuilder.standard().withEndpointConfiguration(
        new AwsClientBuilder.EndpointConfiguration(
                "https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com",
                Regions.DEFAULT_REGION.getName()
        )
).build();
SDK for Java 2.x
예: 엔드포인트 URL을 사용하여 DynamoDB 스트림에 액세스

다음 예에서 리전 us-east-1 및 VPC 엔드포인트 ID https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com을 실제 정보로 바꿉니다.

Region region = Region.US_EAST_1;
dynamoDbStreamsClient = DynamoDbStreamsClient.builder().region(region)
.endpointOverride(URI.create("https://vpce-1a2b3c4d-5e6f.streams.dynamodb.us-east-1.vpce.amazonaws.com"))
.build()

DynamoDB Streams에 대한 액세스를 제어하는 Amazon VPC 엔드포인트에 엔드포인트 정책을 연결할 수 있습니다. 이 정책은 다음 정보를 지정합니다.

  • 작업을 수행할 수 있는 AWS Identity and Access Management(IAM) 보안 주체.

  • 수행할 수 있는 작업

  • 작업을 수행할 수 있는 리소스

특정 DynamoDB Streams로만 액세스를 제한하는 엔드포인트 정책을 만들 수 있습니다. 이 정책 유형은 Amazon VPC에 DynamoDB Streams를 사용하는 다른 AWS 서비스가 있을 경우 유용합니다. 다음 스트림 정책은 DOC-EXAMPLE-TABLE에 연결된 스트림 2025-02-20T11:22:33.444로만 액세스를 제한합니다. 이 엔드포인트 정책을 사용하려면 DOC-EXAMPLE-TABLE을 테이블의 이름으로, 2025-02-20T11:22:33.444를 스트림 레이블로 대체합니다.

JSON
{
"Version": "2012-10-17"		 	 	 ,
  "Id": "Policy1216114807515",
  "Statement": [
    { "Sid": "Access-to-specific-stream-only",
      "Principal": "*",
      "Action": [
        "dynamodb:DescribeStream",
        "dynamodb:GetRecords"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:dynamodb:us-east-1:111122223333:table/table-name/stream/2025-02-20T11:22:33.444"]
    }
  ]
}
참고

게이트웨이 엔드포인트는 DynamoDB Streams에서 지원되지 않습니다.