Acessar um AWS service (Serviço da AWS) usando um endpoint da VPC de interface
Você pode criar um endpoint da VPC de interface para se conectar a serviços baseados no AWS PrivateLink, inclusive a muitos Serviços da AWS. Para obter uma visão geral, consulte Conceitos do AWS PrivateLink e Acessar os Serviços da AWS pelo AWS PrivateLink.
Para cada sub-rede que você especifica em sua VPC, criamos uma interface de rede de endpoint na sub-rede e atribuímos a ela um endereço IP privado do intervalo de endereços da sub-rede. Uma interface de rede do endpoint é uma interface de rede gerenciada pelo solicitante; você pode visualizá-la em sua Conta da AWS, mas não pode gerenciá-la sozinho.
Você é cobrado pelas tarifas de uso por hora e processamento de dados. Para obter mais informações, consulte Preço do endpoint da interface
Pré-requisitos
-
Implante os recursos que acessarão o AWS service (Serviço da AWS) em sua VPC.
-
Para usar DNS privado, é necessário habilitar os nomes de host DNS e a resolução de DNS da VPC. Para mais informações, consulte Visualizar e atualizar atributos DNS para sua VPC no Manual do usuário da Amazon VPC.
-
Para habilitar o IPv6 para um endpoint de interface, o AWS service (Serviço da AWS) deve oferecer suporte ao acesso via IPv6. Para ter mais informações, consulte Tipos de endereço IP.
-
Crie um grupo de segurança para a interface de rede do endpoint que permita o tráfego esperado dos recursos em sua VPC. Por exemplo, para garantir que AWS CLI possa enviar solicitações HTTPS para o AWS service (Serviço da AWS), o grupo de segurança deve permitir tráfego HTTPS de entrada.
-
Se os recursos estiverem em uma sub-rede com uma ACL de rede, verifique se a ACL de rede permite tráfego entre os recursos na sua VPC e as interfaces de rede do endpoint.
-
Existem cotas em seus recursos do AWS PrivateLink. Para ter mais informações, consulte Cotas do AWS PrivateLink.
Criar um VPC endpoint
Use o seguinte procedimento para criar um endpoint da VPC de interface que se conecta a um AWS service (Serviço da AWS).
Para criar um endpoint da interface para um AWS service (Serviço da AWS)
Abra o console da Amazon VPC em https://console.aws.amazon.com/vpc/
. -
No painel de navegação, escolha Endpoints.
-
Escolha Criar endpoint.
-
Em Service category (Categoria de serviço), escolha Serviços da AWS.
-
Em Service name (Nome do serviço), selecione o serviço. Para ter mais informações, consulte Serviços da AWS que se integram ao AWS PrivateLink.
-
Em VPC, selecione a VPC de onde você acessará o AWS service (Serviço da AWS).
-
Se, na Etapa 5, você selecionou o nome do serviço para o Amazon S3 e deseja configurar o suporte a DNS privado, selecione Configurações adicionais e, em seguida, Habilitar nome de DNS. Quando essa seleção é feita, a opção Habilitar DNS privado somente para endpoint de entrada é selecionada automaticamente. É possível configurar o DNS privado com um endpoint do Resolver de entrada somente para endpoints de interface do Amazon S3. Se você não tiver um endpoint de gateway para o Amazon S3 e selecionar Habilitar DNS privado somente para endpoint de entrada, você receberá um erro ao tentar executar a etapa final desse procedimento.
Se, na Etapa 5, você selecionou o nome do serviço para qualquer serviço diferente do Amazon S3, a opção Configurações adicionais, Habilitar nome de DNS já está selecionada. Recomendamos que você mantenha o valor padrão. Isso garante que as solicitações que usam os endpoints de serviço público, como solicitações feitas por meio de um AWS SDK, cheguem ao seu endpoint da VPC.
-
Em Subnets (Sub-redes), selecione uma sub-rede por zona de disponibilidade pela qual você acessará o AWS service (Serviço da AWS). Não é possível selecionar várias sub-redes em uma mesma zona de disponibilidade. Para ter mais informações, consulte Zonas de disponibilidade e sub-redes.
Criamos uma interface de rede do endpoint em cada sub-rede que você especificar. Por padrão, selecionamos endereços IP dos intervalos de endereços IP da sub-rede e os atribuímos às interfaces de rede do endpoint. Para escolher os endereços IP para uma interface de rede do endpoint, selecione Designar endereços IP e insira um endereço IPv4 do intervalo de endereços da sub-rede. Se o serviço de endpoint for compatível com o IPv6, você também poderá inserir um endereço IPv6 do intervalo de endereços da sub-rede. Observe que os quatro primeiros endereços IP e o último endereço IP em um bloco CIDR de sub-rede são reservados para uso interno, portanto, você não pode especificá-los para as interfaces de rede de endpoint.
-
Em IP address type (Tipo de endereço IP), escolha uma das seguintes opções:
-
IPv4: atribua endereços IPv4 às interfaces de rede de endpoint. Só haverá suporte para esta opção se todas as sub-redes selecionadas tiverem intervalos de endereços IPv4 e o serviço aceitar solicitações de IPv4.
-
IPv6: atribua endereços IPv6 às interfaces de rede de endpoint. Só haverá suporte para esta opção se todas as sub-redes selecionadas tiverem intervalos de endereços IPv6 e o serviço aceitar solicitações de IPv6.
-
Dualstack: atribua endereços IPv4 e IPv6 às interfaces de rede de endpoint. Só haverá suporte para esta opção se todas as sub-redes selecionadas tiverem intervalos de ambos os endereços IPv4 e IPv6 e o serviço aceitar solicitações de ambos IPv4 e IPv6.
-
-
Em Grupos de segurança, selecione os grupos de segurança para associar às interfaces de rede do endpoint para o endpoint da VPC. Por padrão, associamos o grupo de segurança padrão para a VPC.
-
Em Policy (Política), selecione Full access (Acesso total) para permitir todas as operações de todas as entidades principais em todos os recursos no endpoint da VPC. Ou então selecione Custom (Personalizar) para anexar uma política de endpoint da VPC que controle as permissões das entidades principais para realizar ações em recursos sobre o endpoint da VPC. Essa opção ficará disponível somente se o serviço for compatível com as políticas de endpoint da VPC. Para ter mais informações, consulte Políticas de endpoint.
-
(Opcional) Para adicionar uma tag, escolha Adicionar nova tag e insira a chave e o valor da tag.
-
Escolha Criar endpoint.
Para criar um endpoint da interface usando a linha de comando
-
create-vpc-endpoint (AWS CLI)
-
New-EC2VpcEndpoint (ferramentas para Windows PowerShell)
Sub-redes compartilhadas
Você não pode criar, descrever, modificar ou excluir endpoints da VPC em sub-redes que são compartilhadas com você. No entanto, você pode usar os endpoints da VPC em sub-redes que são compartilhadas com você.
ICMP
Os endpoints da interface não respondem às solicitações ping. Em vez disso, você pode usar os comandos nc ou nmap.
