Step Functions를 위한 아마존 VPC 엔드포인트 생성

Amazon Virtual Private Cloud (AmazonVPC) 를 사용하여 AWS 리소스를 호스팅하는 경우 VPC Amazon과 AWS Step Functions 워크플로를 연결할 수 있습니다. 퍼블릭 인터넷을 사용하지 않고도 Step Functions 워크플로에서 이 연결을 사용할 수 있습니다. Amazon VPC 엔드포인트는 표준 워크플로, 익스프레스 워크플로 및 동기식 익스프레스 워크플로에서 지원됩니다.

VPCAmazon에서는 사용자 지정 가상 네트워크에서 AWS 리소스를 시작할 수 있습니다. VPCa를 사용하여 IP 주소 범위, 서브넷, 라우팅 테이블, 네트워크 게이트웨이와 같은 네트워크 설정을 제어할 수 있습니다. 에 대한 VPCs 자세한 내용은 Amazon VPC 사용 설명서를 참조하십시오.

VPCAmazon을 Step Functions에 연결하려면 먼저 다른 AWS 서비스에 연결할 수 VPC 있는 인터페이스 VPC 엔드포인트를 정의해야 합니다. 엔드포인트는 인터넷 게이트웨이, 네트워크 주소 변환 (NAT) 인스턴스 또는 연결 없이도 안정적이고 확장 가능한 VPN 연결을 제공합니다. 자세한 내용은 Amazon VPC 사용 설명서의 인터페이스 VPC 엔드포인트 (AWS PrivateLink) 를 참조하십시오.

엔드포인트 만들기

, AWS Command Line Interface (AWS CLI), an AWS Management Console AWS Step Functions API, or AWS CloudFormation를 VPC 사용하여 AWS Step Functions 엔드포인트를 생성할 수 있습니다. AWS SDK

Amazon VPC 콘솔 또는 를 사용하여 엔드포인트를 생성하고 구성하는 방법에 대한 자세한 내용은 Amazon 사용 VPC설명서의 AWS CLI인터페이스 엔드포인트 생성을 참조하십시오.

참고

엔드포인트를 생성할 때 연결할 서비스로 Step VPC Functions를 지정하십시오. Amazon VPC 콘솔에서 서비스 이름은 AWS 지역에 따라 다릅니다. 예를 들어 미국 동부(버지니아 북부)를 선택한 경우 표준 워크플로 및 Express 워크플로의 서비스 이름은 com.amazonaws.us-east-1.states이고 동기식 Express 워크플로의 서비스 이름은 com.amazonaws.us-east-1.sync-states입니다.

참고

Private를 SDK 통해 VPC 엔드포인트를 재정의하지 않고도 엔드포인트를 사용할 수 있습니다. DNS 하지만 Synchronous Express 워크플로의 경우 엔드포인트를 재정의하려면 구성을 로 설정해야 합니다. SDK DisableHostPrefixInjection true 예 (Java SDK V2):

SfnClient.builder()
  .endpointOverride(URI.create("https://vpce-{vpceId}.sync-states.us-east-1.vpce.amazonaws.com"))
  .overrideConfiguration(ClientOverrideConfiguration.builder()
    .advancedOptions(ImmutableMap.of(SdkAdvancedClientOption.DISABLE_HOST_PREFIX_INJECTION, true))
    .build())
  .build();

를 사용하여 AWS CloudFormation엔드포인트를 만들고 구성하는 방법에 대한 자세한 내용은 사용 AWS CloudFormation 설명서의 AWSEC2:::: VPCEndpoint 리소스를 참조하십시오.

Amazon VPC 엔드포인트 정책

Step Functions에 대한 연결 액세스를 제어하려면 Amazon 엔드포인트를 생성할 때 AWS Identity and Access Management (IAM) VPC 엔드포인트 정책을 연결할 수 있습니다. 여러 엔드포인트 정책을 연결하여 복잡한 IAM 규칙을 만들 수 있습니다. 자세한 내용은 다음을 참조하세요.

• Step Functions에 대한 Amazon Virtual Private Cloud 엔드포인트 정책

• Step Functions에서 관리자가 아닌 사용자를 위한 세분화된 권한 생성

• 엔드포인트를 통한 VPC 서비스 액세스 제어

Step Functions에 대한 Amazon Virtual Private Cloud 엔드포인트 정책

다음을 지정하는 Step Functions에 대한 Amazon VPC 엔드포인트 정책을 생성할 수 있습니다.

• 작업을 수행할 수 있는 보안 주체.

• 수행할 수 있는 작업.

• 작업을 수행할 수 있는 리소스.

다음 예는 한 사용자는 상태 머신을 생성할 수 있도록 허용하고 다른 모든 사용자는 상태 머신을 삭제할 권한을 거부하는 Amazon VPC 엔드포인트 정책을 보여줍니다. 또한 예제 정책은 모든 사용자에게 실행 권한을 부여합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "*Execution",
            "Resource": "*",
            "Effect": "Allow",
            "Principal": "*"
        },
        {
            "Action": "states:CreateStateMachine",
            "Resource": "*",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:user/MyUser"
            }
        },
        {
            "Action": "states:DeleteStateMachine",
            "Resource": "*",
            "Effect": "Deny",
            "Principal": "*"
        }
    ]
}

엔드포인트 정책 생성에 대한 자세한 내용은 다음을 참조하십시오.

• Step Functions에서 관리자가 아닌 사용자를 위한 세분화된 권한 생성

• 엔드포인트를 통한 VPC 서비스 액세스 제어