Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwendung CloudWatch, CloudWatch Synthetik und CloudWatch Netzwerküberwachung mit Schnittstellen-VPC-Endpunkten

Wenn Sie Amazon Virtual Private Cloud (Amazon VPC) zum Hosten Ihrer AWS Ressourcen verwenden, können Sie eine private Verbindung zwischen Ihren VPC- CloudWatch, CloudWatch Synthetics- und CloudWatch Network Monitoring-Funktionen herstellen. Sie können diese Verbindungen verwenden, um diesen Services die Kommunikation mit den Ressourcen in der VPC zu ermöglichen, ohne das öffentliche Internet verwenden zu müssen.

Amazon VPC ist ein AWS Service, mit dem Sie AWS Ressourcen in einem von Ihnen definierten virtuellen Netzwerk starten können. Mit einer VPC haben Sie die Kontrolle über Ihre Netzwerkeinstellungen, wie IP-Adressbereich, Subnetze, Routing-Tabellen und Netzwerk-Gateways. Um Ihre VPC mit CloudWatch Diensten zu verbinden, definieren Sie einen Schnittstellen-VPC-Endpunkt für Ihre VPC. Der Endpunkt bietet zuverlässige, skalierbare Konnektivität zu CloudWatch und unterstützte CloudWatch Dienste, ohne dass ein Internet-Gateway, eine NAT-Instance (Network Address Translation) oder eine VPN-Verbindung erforderlich sind. Weitere Informationen finden Sie unter Was ist Amazon VPC im Benutzerhandbuch zu Amazon VPC.

Schnittstelle VPC-Endpunkte werden von einer AWS Technologie unterstützt AWS PrivateLink, die die private Kommunikation zwischen AWS Diensten über eine elastische Netzwerkschnittstelle mit privaten IP-Adressen ermöglicht. Weitere Informationen finden Sie im folgenden Blogbeitrag: Neu — AWS PrivateLink für Dienste AWS

Die folgenden Schritte sind für Benutzer von Amazon VPC vorgesehen. Weitere Informationen finden Sie unter Erste Schritte im Amazon VPC Benutzerhandbuch.

CloudWatch VPC-Endpunkte

CloudWatch unterstützt derzeit VPC-Endpunkte, einschließlich IPv6-only Dual-Stack-fähiger Endpunkte, in allen AWS Regionen, einschließlich der AWS GovCloud Regionen (USA). Informationen zur URL der Endpunkte finden Sie unter CloudWatch Endpunkte und Kontingente.

Erstellen eines VPC-Endpunkts für CloudWatch

Um CloudWatch mit Ihrer VPC zu beginnen, erstellen Sie einen Schnittstellen-VPC-Endpunkt für. CloudWatch Der zu wählende Service-Name lautet com.amazonaws.region.monitoring. Weitere Informationen finden Sie unter Erstellung eines Schnittstellenendpunkts im Benutzerhandbuch für Amazon VPC.

Sie müssen die Einstellungen für nicht ändern. CloudWatch CloudWatch ruft andere AWS Dienste entweder über öffentliche Endpunkte oder über VPC-Endpunkte mit privaten Schnittstellen auf, je nachdem, welche verwendet werden. Wenn Sie beispielsweise einen Schnittstellen-VPC-Endpunkt für CloudWatch erstellen und bereits Metriken CloudWatch von Ressourcen in Ihrer VPC zu Ihnen fließen, beginnen diese Metriken standardmäßig über den Schnittstellen-VPC-Endpunkt zu fließen.

Steuern Sie den Zugriff auf Ihren VPC-Endpunkt CloudWatch

Eine VPC-Endpunktrichtlinie ist eine IAM-Ressourcenrichtlinie, die Sie einem Endpunkt beim Erstellen oder Ändern des Endpunkts zuordnen. Wenn Sie einem Endpunkt beim Erstellen keine Richtlinie zuordnen, ordnet Amazon VPC ihm eine Standardrichtlinie mit Vollzugriff auf den Service zu. -Benutzerrichtlinien oder servicespezifische Richtlinien werden durch Endpunktrichtlinien nicht überschrieben oder ersetzt. Endpunktrichtlinien steuern unabhängig vom Endpunkt den Zugriff auf den angegebenen Service.

Endpunktrichtlinien müssen im JSON-Format erstellt werden.

Weitere Informationen finden Sie unter Steuerung des Zugriffs auf Services mit VPC-Endpunkten im Amazon-VPC-Benutzerhandbuch.

Im Folgenden finden Sie ein Beispiel für eine Endpunktrichtlinie für. CloudWatch Diese Richtlinie ermöglicht Benutzern, die CloudWatch über die VPC eine Verbindung herstellen, das Senden von Metrikdaten an sie CloudWatch und verhindert, dass sie andere CloudWatch Aktionen ausführen.

{
  "Statement": [
    {
      "Sid": "PutOnly",
      "Principal": "*",
      "Action": [
        "cloudwatch:PutMetricData"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

CloudWatch VPC-Endpunkt von Synthetics

CloudWatch Synthetics unterstützt derzeit VPC-Endpunkte in den folgenden Regionen: AWS

Einen VPC-Endpunkt für Synthetics erstellen CloudWatch

Um mit der Verwendung von CloudWatch Synthetics mit Ihrer VPC zu beginnen, erstellen Sie einen Schnittstellen-VPC-Endpunkt für Synthetics. CloudWatch Der zu wählende Service-Name lautet com.amazonaws.region.synthetics. Weitere Informationen finden Sie unter Erstellung eines Schnittstellenendpunkts im Benutzerhandbuch für Amazon VPC.

Sie müssen die Einstellungen für Synthetics nicht ändern. CloudWatch CloudWatch Synthetics kommuniziert mit anderen AWS Diensten über öffentliche Endpunkte oder VPC-Endpunkte mit privaten Schnittstellen, je nachdem, welche verwendet werden. Wenn Sie beispielsweise einen Schnittstellen-VPC-Endpunkt für CloudWatch Synthetics erstellen und bereits einen Schnittstellenendpunkt für Amazon S3 haben, beginnt CloudWatch Synthetics standardmäßig mit der Kommunikation mit Amazon S3 über den Schnittstellen-VPC-Endpunkt.

Steuern Sie den Zugriff auf Ihren Synthetics VPC-Endpunkt CloudWatch

Eine VPC-Endpunktrichtlinie ist eine IAM-Ressourcenrichtlinie, die Sie einem Endpunkt beim Erstellen oder Ändern des Endpunkts zuordnen. Wenn Sie beim Erstellen eines Endpunkts keine Richtlinie anhängen, wird eine Standardrichtlinie angehängt, die den vollständigen Zugriff auf den Dienst ermöglicht. -Benutzerrichtlinien oder servicespezifische Richtlinien werden durch Endpunktrichtlinien nicht überschrieben oder ersetzt. Endpunktrichtlinien steuern unabhängig vom Endpunkt den Zugriff auf den angegebenen Service.

Endpunkt-Richtlinien wirken sich auf Canarys aus, die privat von der VPC verwaltet werden. Sie werden nicht für Canarys benötigt, die in privaten Subnetzen ausgeführt werden.

Endpunktrichtlinien müssen im JSON-Format erstellt werden.

Weitere Informationen finden Sie unter Steuerung des Zugriffs auf Services mit VPC-Endpunkten im Amazon-VPC-Benutzerhandbuch.

Das Folgende ist ein Beispiel für eine Endpunktrichtlinie für CloudWatch Synthetics. Diese Richtlinie ermöglicht es Benutzern, die über die VPC eine Verbindung zu CloudWatch Synthetics herstellen, Informationen über Canaries und ihre Runs einzusehen, aber nicht, Canaries zu erstellen, zu ändern oder zu löschen.

{
    "Statement": [
        {
            "Action": [
                "synthetics:DescribeCanaries",
                "synthetics:GetCanaryRuns"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Principal": "*"
        }
    ]
}

CloudWatch VPC-Endpunkte der Netzwerküberwachungsfunktion

CloudWatch Die Netzwerküberwachung umfasst die folgenden Funktionen: Network Flow Monitor, Internet Monitor und Network Synthetic Monitor. Diese Funktionen unterstützen jeweils VPC-Endpunkte in den AWS Regionen, in denen die Netzwerküberwachungsfunktion unterstützt wird.

Eine Liste der unterstützten Regionen für jedes Feature von Network Monitoring finden Sie unter den folgenden Themen:

Erstellen eines VPC-Endpunkts für eine CloudWatch Netzwerküberwachungsfunktion

Um mit der Verwendung der CloudWatch Netzwerküberwachungsfunktionen mit Ihrer VPC zu beginnen, erstellen Sie einen Schnittstellen-VPC-Endpunkt für die Funktion, die Sie verwenden möchten. Für Network Monitoring sind folgende Servicenamen verfügbar:

Weitere Informationen finden Sie unter Erstellung eines Schnittstellenendpunkts im Benutzerhandbuch für Amazon VPC.

Sie müssen die Einstellungen für Services von Network Monitoring nicht ändern. Netzwerküberwachungsdienste kommunizieren mit anderen AWS Diensten über öffentliche Endpunkte oder VPC-Endpunkte mit privaten Schnittstellen, je nachdem, welche verwendet werden. Wenn Sie beispielsweise einen Schnittstellen-VPC-Endpunkt für einen Service von Network Monitoring erstellen und bereits aus anderen Ressourcen in Ihrer VPC Metriken an den Service senden, werden diese Metriken standardmäßig über den Schnittstellen-VPC-Endpunkt gesendet.

Steuern Sie den Zugriff auf Ihre VPC-Endpunkte der CloudWatch Netzwerküberwachungsfunktion

Eine VPC-Endpunktrichtlinie ist eine IAM-Ressourcenrichtlinie, die Sie einem Endpunkt beim Erstellen oder Ändern des Endpunkts zuordnen. -Benutzerrichtlinien oder servicespezifische Richtlinien werden durch Endpunktrichtlinien nicht überschrieben oder ersetzt. Endpunktrichtlinien steuern unabhängig vom Endpunkt den Zugriff auf den angegebenen Service.

Wenn Sie einem Endpunkt beim Erstellen keine Richtlinie zuordnen, ordnet Amazon VPC ihm eine Standardrichtlinie mit Vollzugriff zu und schränkt den Zugriff auf einen bestimmten Service nicht ein. Für zusätzliche Sicherheit können Sie eine Richtlinie an den Endpunkt anhängen, um den Zugriff auf das Feature gezielt zu beschränken. Beispielsweise könnten Sie für Internet Monitor den vollen Zugriff nur auf Internet Monitor gewähren, indem Sie die AWS verwaltete Richtlinie anhängen, die den vollen Zugriff auf die Funktion ermöglicht. CloudWatchInternetMonitorFullAccess Oder Sie können die Berechtigungen auf bestimmte Aktionen für den Endpunkt weiter beschränken.

Weitere Informationen finden Sie unter Steuerung des Zugriffs auf Services mit VPC-Endpunkten im Amazon-VPC-Benutzerhandbuch.

Nachfolgend finden Sie ein Beispiel für eine Endpunktrichtlinie, die Sie für Network Flow Monitor erstellen können, um Aktionen für den Endpunkt einzuschränken. Diese Richtlinie ermöglicht Anforderungen an Network Flow Monitor über die VPC nur die Verwendung der Publish-Aktion, mit deren Hilfe Anforderungen Metriken für die Backend-Erfassung von Network Flow Monitor veröffentlichen können.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "networkflowmonitor:Publish",
            "Resource": "*"
        }
    ]
}

Wenn Sie eine bestimmte VPC-Endpunktrichtlinie mit einem Schnittstellen-VPC-Endpunkt für ein Feature von Network Monitoring verwenden möchten, nutzen Sie zum Hinzufügen einer Richtlinie für Network Flow Monitor ähnliche Schritte wie im folgenden Beispiel.