Acesse as permissões verificadas da Amazon usando AWS PrivateLink

Você pode usar AWS PrivateLink para criar uma conexão privada entre sua VPC e as Permissões Verificadas da Amazon. Você pode acessar as Permissões Verificadas como se estivessem em sua VPC, sem o uso de um gateway de internet, dispositivo NAT, conexão VPN ou conexão. AWS Direct Connect As instâncias na VPC não precisam de endereços IP públicos para acessar o Verified Permissions.

Estabeleça essa conectividade privada criando um endpoint de interface, habilitado pelo AWS PrivateLink. Criaremos um endpoint de interface de rede em cada sub-rede que você habilitar para o endpoint de interface. Essas são interfaces de rede gerenciadas pelo solicitante que servem como ponto de entrada para o tráfego destinado ao Verified Permissions.

Para obter mais informações, consulte Acessar os Serviços da AWS pelo AWS PrivateLink no Guia do AWS PrivateLink .

Considerações sobre o Verified Permissions

Antes de configurar um endpoint de interface para Verified Permissions, leia a seção Considerações no Guia do AWS PrivateLink .

O Verified Permissions oferece suporte a chamadas para todas as suas ações de API via endpoint da interface.

As políticas de endpoint da VPC não são compatíveis com o Verified Permissions. Por padrão, o acesso total ao Verified Permissions é permitido no endpoint da interface. Se desejar, você pode associar um grupo de segurança às interfaces de rede de endpoint para controlar o tráfego para o Verified Permissions por meio do endpoint da interface.

Criar um endpoint de interface para o Verified Permissions

Você pode criar um endpoint de interface para o Verified Permissions usando o console da Amazon VPC ou a AWS Command Line Interface (AWS CLI). Para obter mais informações, consulte Criar um endpoint de interface no Guia do usuário do AWS PrivateLink .

Crie um endpoint de interface para o Verified Permissions usando o seguinte nome de serviço:

com.amazonaws.region.verifiedpermissions

Se você habilitar o DNS privado para o endpoint de interface, poderá fazer solicitações de API para o Verified Permissions usando seu nome DNS regional padrão. Por exemplo, .verifiedpermissions.us-east-1.amazonaws.com

Crie uma política de endpoint para seu endpoint de interface.

Uma política de endpoint é um recurso do IAM que você pode anexar ao endpoint de interface. A política de endpoint padrão permite acesso total às permissões verificadas por meio do endpoint da interface. Para controlar o acesso permitido às permissões verificadas da sua VPC, anexe uma política de endpoint personalizada ao endpoint da interface.

Uma política de endpoint especifica as seguintes informações:

• As entidades principais que podem realizar ações (Contas da AWS, usuários do IAM e perfis do IAM).

• As ações que podem ser realizadas.

• Os recursos nos quais as ações podem ser executadas.

Para obter mais informações, consulte Controlar o acesso aos serviços usando políticas de endpoint no Guia do AWS PrivateLink .

Exemplo: política de VPC endpoint para ações de permissões verificadas

Veja a seguir um exemplo de uma política de endpoint personalizado. Quando você anexa essa política ao seu endpoint de interface, ela concede acesso às ações de Permissões Verificadas listadas para todos os diretores em todos os recursos.

{
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "verifiedpermissions:IsAuthorized",
            "verifiedpermissions:IsAuthorizedWithToken",
            "verifiedpermissions:GetPolicy"
         ],
         "Resource":"*"
      }
   ]
}