Usar o Elastic Beanstalk com VPC endpoints

Este tópico explica os benefícios que um endpoint de VPC pode oferecer à sua aplicação Elastic Beanstalk. Ele também fornece instruções para criar um endpoint de VPC de interface para um serviço do Elastic Beanstalk.

Um VPC endpoint permite que você conecte sua VPC de forma privada a serviços compatíveis AWS e serviços de endpoint de VPC fornecidos por AWS PrivateLink, sem exigir um gateway de internet, dispositivo NAT, conexão VPN ou conexão. AWS Direct Connect

As instâncias na sua VPC não exigem que endereços IP públicos se comuniquem com recursos no serviço. O tráfego entre a sua VPC e os outros serviços não sai da rede da Amazon. Para obter mais informações sobre VPC endpoints, consulte VPC endpoints no Guia do usuário da Amazon VPC.

AWS Elastic Beanstalk suporta AWS PrivateLink, que fornece conectividade privada ao serviço Elastic Beanstalk e elimina a exposição do tráfego à Internet pública. Para permitir que seu aplicativo envie solicitações para o Elastic AWS PrivateLink Beanstalk usando, você configura um tipo de VPC endpoint conhecido como VPC endpoint de interface (endpoint de interface). Para obter mais informações, consulte Endpoints da VPC da interface (AWS PrivateLink) no Guia do usuário da Amazon VPC.

nota

O Elastic AWS PrivateLink Beanstalk oferece suporte e interface com VPC endpoints em um número limitado de. Regiões da AWS Estamos trabalhando para estender o suporte a mais Regiões da AWS em um futuro próximo.

IPv6 apoio

O Elastic Beanstalk suporta tráfego de entrada por e. IPv4 IPv6 Esta seção descreve os endpoints públicos que oferecem suporte IPV6 e também explica como configurar seus endpoints VPC do Elastic Beanstalk para suportar tráfego de pilha dupla.

Para obter mais informações gerais sobre IPv6, consulte AWS os serviços que oferecem suporte IPv6 no Guia do usuário da Amazon VPC e no AWS whitepaper IPv6 sobre. AWS

Endpoints públicos

O serviço Elastic Beanstalk tem dois conjuntos de endpoints que consistem nos endpoints mais antigos e nos endpoints mais recentes com capacidade de IPv4 pilha dupla. Ambos os conjuntos de endpoints seguem os padrões de AWS nomenclatura:

• IPv4 os endpoints usam o formato de domínio amazonaws.com para endpoint de serviço geral: elasticbeanstalk.region.amazonaws.com

• Os endpoints de pilha dupla usam o domínio api.aws - formato para endpoint de serviço geral: elasticbeanstalk.region.api.aws

Os endpoints para integridade do serviço e FIPS têm nomes de host diferentes, mas seguem o mesmo padrão de nome de domínio. Para obter uma lista de endpoints, consulte Endpoints de serviço do Elastic Beanstalk no arquivo Referência geral da Amazon Web Services.

Solicitações ao Elastic Beanstalk

Ao enviar solicitações para o serviço do Elastic Beanstalk AWS CLIcom o ou o SDK, você pode IPv4 especificar um AWS endpoint ou um endpoint de pilha dupla. O AWS SDK AWS CLI e usa os endpoints IPv4 -only por padrão se o URL do endpoint não for especificado.

O exemplo a seguir demonstra o AWS CLI envio de uma solicitação para um endpoint de pilha dupla:

aws elasticbeanstalk list-available-solution-stacks \
    --endpoint-url "https://elasticbeanstalk.us-east-1.api.aws"

O exemplo a seguir demonstra o SDK do AWS Python enviando uma solicitação para um endpoint de pilha dupla:

import boto3

dual_stack_eb_client = boto3.client(
    service_name='elasticbeanstalk',
    region_name='us-east-1',
    endpoint_url='https://elasticbeanstalk.us-east-1.api.aws';
)

print(dual_stack_eb_client.list_available_solution_stacks())

Endpoints VPC para pilha dupla IPs

Para configurar seus endpoints VPC do Elastic Beanstalk para suportar o tráfego de pilha dupla, especifique dualstack para o parâmetro de tipo de endereço IP do endpoint VPC. É possível especificar esse campo através da AWS CLI, do AWS SDK ou do console do AWS PrivateLink . Para obter instruções sobre como fazer isso no AWS PrivateLink console, consulte Criar um VPC endpoint no Guia.AWS PrivateLink

nota

Você deve especificar o tipo de endereço IP do VPC endpoint como pilha dupla ou IPv4pilha dupla. No momento, os endpoints VPC do Elastic Beanstalk não oferecem suporte a um tipo de endereço IPv6IP, o que indicaria suporte somente. IPv6 A opção dualstack permite tanto os protocolos quanto os da Internet IPv4 . IPv6

O exemplo a seguir demonstra como criar um endpoint VPC de pilha dupla com o AWS CLI:

aws ec2 create-vpc-endpoint \
    --vpc-id "vpc-example"
    --service-name "com.amazonaws.us-east-1.elasticbeanstalk"
    --ip-address-type "dualstack"

Configurar um VPC endpoint para o Elastic Beanstalk

Para criar o VPC endpoint de interface para o serviço do Elastic Beanstalk na VPC, siga o procedimento Criar um endpoint de interface.

• Em Nome do serviço, escolha com.amazonaws. region. pé de feijão elástico.

• Para o tipo de endereço IP, escolha um IPv4ou o Dualstack. No momento, os endpoints VPC do Elastic Beanstalk não oferecem suporte a um tipo de endereço IPv6IP, o que indicaria suporte somente. IPv6 A opção Dualstack permite tanto os protocolos quanto os da Internet IPv4 . IPv6

Se a VPC estiver configurada com acesso público à Internet, a aplicação ainda poderá acessar o Elastic Beanstalk pela Internet usando o endpoint público elasticbeanstalk.region.amazonaws.com ou elasticbeanstalk.region.api.aws. É possível impedir isso habilitando Enable DNS name (Habilitar nome DNS) durante a criação do endpoint (true por padrão). Isso adiciona uma entrada DNS em sua VPC, que mapeia o endpoint público de serviço para o VPC endpoint de interface.

Configurar um VPC endpoint para integridade avançada

Se você habilitou os relatórios de integridade aprimorados para o seu ambiente, você pode configurar as informações de saúde aprimoradas para serem enviadas AWS PrivateLink também. As informações de integridade aprimorada são enviadas pelo daemon healthd, um componente do Elastic Beanstalk nas instâncias do seu ambiente, para um serviço de integridade aprimorada separado do Elastic Beanstalk. Para criar um VPC endpoint de interface para esse serviço na VPC, siga o procedimento Criar um endpoint de interface.

• Em Nome do serviço, escolha com.amazonaws. region. pedúnculo de feijão elástico - saúde.

• Para o tipo de endereço IP, escolha um IPv4ou o Dualstack. No momento, os endpoints VPC do Elastic Beanstalk não oferecem suporte a um tipo de endereço IPv6IP, o que indicaria suporte somente. IPv6 A opção Dualstack permite tanto os protocolos quanto os da Internet IPv4 . IPv6

Importante

O daemon healthd envia informações de integridade aprimoradas ao endpoint público elasticbeanstalk-health.region.amazonaws.com ou elasticbeanstalk-health.region.api.aws. Se a VPC estiver configurada com acesso público à Internet e Enable DNS name (Habilitar nome DNS) estiver desabilitado para o VPC endpoint, as informações de integridade avançada serão enviadas pela Internet pública. Isso provavelmente não é sua intenção ao configurar um VPC endpoint de integridade avançada. Certifique-se de que Enable DNS name (Habilitar nome DNS) esteja habilitado (true por padrão).

Usar VPC endpoints em uma VPC privada

Uma VPC privada ou uma sub-rede privada em uma VPC não tem acesso público à Internet. Convém executar o ambiente do Elastic Beanstalk em uma VPC privada e configurar VPC endpoints de interface para segurança aprimorada. Nesse caso, lembre-se de que o ambiente pode tentar se conectar à Internet por outros motivos, além de entrar em contato com o serviço do Elastic Beanstalk. Para saber mais sobre como executar um ambiente em uma VPC privada, consulte Executar um ambiente do Elastic Beanstalk em uma VPC privada.