Como configurar o acesso entre contas para o Amazon Keyspaces em uma VPC compartilhada

Você pode criar Contas da AWS diferentes para separar os recursos dos aplicativos. Por exemplo, você pode criar uma conta para suas tabelas do Amazon Keyspaces, uma conta diferente para aplicativos em um ambiente de desenvolvimento e outra conta para aplicativos em um ambiente de produção. Este tópico mostra as etapas de configuração necessárias para configurar o acesso entre contas para o Amazon Keyspaces usando endpoints de VPC de interface em uma VPC compartilhada.

Para obter etapas detalhadas sobre como configurar um endpoint da VPC para o Amazon Keyspaces, consulte Etapa 3: criar um endpoint da VPC para o Amazon Keyspaces.

Neste exemplo, usamos as três contas a seguir em uma VPC compartilhada:

• Account A: essa conta contém infraestrutura, incluindo os endpoints da VPC, as sub-redes da VPC e as tabelas do Amazon Keyspaces.

• Account B: essa conta contém um aplicativo em um ambiente de desenvolvimento que precisa se conectar à tabela do Amazon Keyspaces em Account A.

• Account C: essa conta contém um aplicativo em um ambiente de produção que precisa se conectar à tabela do Amazon Keyspaces em Account A.

Account A é a conta que contém os recursos que Account B e Account C precisam para o acesso, assim Account A é a conta confiável. Account B e Account C são as contas com as entidades principais que precisam acessar os recursos em Account A, portanto, Account B e Account C são as contas confiáveis. A conta confiável concede as permissões às contas confiáveis compartilhando um perfil do IAM. O procedimento a seguir descreve as etapas de configuração necessárias em Account A.

Configuração para a Account A

1. Use AWS Resource Access Manager para criar um compartilhamento de recursos para a sub-rede e compartilhar a sub-rede privada com Account B e Account C.

   Account B e Account C agora podem ver e criar recursos na sub-rede que foi compartilhada com eles.

2. Crie um endpoint da VPC privado do Amazon Keyspaces desenvolvido por AWS PrivateLink. Isso cria vários endpoints em sub-redes compartilhadas e entradas de DNS para o endpoint do serviço do Amazon Keyspaces.

3. Crie um espaço de chaves e uma tabela do Amazon Keyspaces.

4. Crie um perfil do IAM que tenha acesso total à tabela do Amazon Keyspaces, leia as tabelas do sistema Amazon Keyspaces e seja capaz de descrever os recursos da VPC do Amazon EC2, conforme mostrado no exemplo de política a seguir.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "CrossAccountAccess",
               "Effect": "Allow",
               "Action": [
                   "ec2:DescribeNetworkInterfaces",
                   "ec2:DescribeVpcEndpoints",
                   "cassandra:*"
               ],
               "Resource": "*"
           }
       ]
   }

5. Configure a política de confiança do perfil do IAM que Account B e Account C pode assumir como contas confiáveis, conforme mostrado no exemplo a seguir.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111111111111:root"
               },
               "Action": "sts:AssumeRole",
               "Condition": {}
           }
       ]
   }

   Para ver mais informações sobre as políticas entre contas do IAM, consulte Políticas entre contas no Guia do usuário do IAM.

Configuração em Account B e Account C

1. Em Account B e Account C, crie novos perfis e anexe a seguinte política que permite que a entidade principal assuma o perfil compartilhado criado em Account A.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "ec2.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   Permitir que a entidade principal assuma o perfil compartilhado é implementado usando a AssumeRole API do AWS Security Token Service (AWS STS). Para obter mais informações, consulte Fornecer acesso a um usuário do IAM em outra Conta da AWS de sua propriedade.

2. Em Account B e Account C, você pode criar aplicativos que utilizam o plug-in de autenticação SIGV4, que permite que um aplicativo assuma o perfil compartilhado de se conectar à tabela do Amazon Keyspaces localizada em Account A por meio do endpoint da VPC na VPC compartilhada. Para obter mais informações sobre o plug-in de autenticação SIGV4, consulte Criação de credenciais para acessar o Amazon Keyspaces programaticamente.