VPC-Endpunkte für S3-Vektoren

Um von Ihrer Virtual Private Cloud (VPC) aus auf S3-Vektoren zuzugreifen, unterstützt Amazon S3 die Schnittstelle von VPC-Endpunkten mithilfe AWS PrivateLink von (). PrivateLink PrivateLink bietet private Konnektivität zwischen Ihrer VPC und S3 Vectors, ohne dass ein Internet-Gateway oder ein NAT-Gerät erforderlich ist. Schnittstellenendpunkte werden durch eine oder mehrere Elastic Network Interfaces (ENIs) repräsentiert, denen private IP-Adressen von Subnetzen in Ihrer VPC zugewiesen werden. Anfragen an S3-Vektoren über Schnittstellenendpunkte bleiben im Netzwerk. AWS

Sie können auch von lokalen Anwendungen aus über AWS Direct Connect ein AWS Virtual Private Network (VPN) auf Schnittstellenendpunkte in Ihrer VPC zugreifen.AWS Weitere Informationen darüber, wie Sie Ihre VPC mit Ihrem lokalen Netzwerk verbinden, finden Sie im Benutzerhandbuch und im AWS Direct Connect VPN-Benutzerhandbuch. AWS Site-to-Site Allgemeine Informationen zu Schnittstellenendpunkten finden Sie im Handbuch unter Zugreifen auf einen AWS Dienst mithilfe eines Schnittstellen-VPC-Endpunkts. AWS PrivateLink

Vorteile der Verwendung PrivateLink mit S3-Vektoren

Die Verwendung PrivateLink mit S3-Vektoren bietet mehrere Sicherheits- und Betriebsvorteile:

DNS-Namen und Auflösung von VPC-Endpunkten

Wenn Sie einen VPC-Endpunkt erstellen, generiert S3 Vectors zwei Arten von endpunktspezifischen DNS-Namen: Regional und Zonal.

Die regionalen und zonalen DNS-Namen der Schnittstellen-VPC-Endpunkte für S3 Vectors lauten wie folgt:

Sie können den DNS-Namen des öffentlichen Endpunkts auch s3vectors.region.api.aws als privaten DNS-Namen des Endpunktdienstes verwenden, wenn Sie privates DNS für den VPC-Endpunkt aktiviert haben.

IP-Adressierung für Schnittstellen-Endpunkte

Die regionalen, zonalen und privaten DNS-Endpunkte von S3 Vectors unterstützen die IPv4-, IPv6- und Dualstack-IP-Typen für. AWS PrivateLink Weitere Informationen finden Sie im Handbuch unter IP-Adresstypen und DNS-Eintrags-IP-Typ für Dienste. AWS AWS PrivateLink

Im Folgenden finden Sie einige Dinge, die Sie wissen sollten, bevor Sie versuchen, in Ihrer VPC über IPv6 auf die Vektorindizes und Vektor-Buckets von S3 Vectors zuzugreifen:

Erstellen eines VPC-Schnittstellenendpunkts für S3-Vektoren

Sie können mithilfe der VPC-Konsole, der AWS CLI, der AWS SDKs oder der API einen VPC-Schnittstellenendpunkt für S3 Vectors erstellen. AWS

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-12345678 \
    --service-name com.amazonaws.region.s3vectors \
    --vpc-endpoint-type Interface \
    --subnet-ids subnet-12345678 subnet-87654321 \
    --security-group-ids sg-12345678 \
    --ip-address-type dualstack \
    --private-dns-enabled

Weitere Informationen zum Erstellen von VPC-Endpunkten finden Sie unter Erstellen eines VPC-Endpoints im VPC-Benutzerhandbuch.

VPC-Endpunktrichtlinien für S3-Vektoren

Ähnlich wie bei ressourcenbasierten Richtlinien können Sie Ihrem VPC-Endpunkt eine Endpunktrichtlinie hinzufügen, um den Zugriff auf Vektorindizes und Vektor-Buckets zu kontrollieren. Weitere Informationen zu den Endpunktrichtlinien finden Sie im Handbuch unter Steuern des Zugriffs auf VPC-Endpoints mithilfe von Endpunktrichtlinien. AWS PrivateLink

Beispiele für VPC-Endpunktrichtlinien

Das folgende Beispiel für eine VPC-Endpunktrichtlinie ermöglicht allen Prinzipalen den Zugriff auf alle S3 Vectors-Operationen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:*"
      ],
      "Resource": "*"
    }
  ]
}

Das folgende Beispiel für eine VPC-Endpunktrichtlinie schränkt den Zugriff auf einen bestimmten Vector-Bucket ein:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:GetVectorBucket",
        "s3vectors:ListIndexes",
        "s3vectors:GetIndex",
        "s3vectors:QueryVectors",
        "s3vectors:GetVectors"
      ],
      "Resource": [
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket/*"
      ]
    }
  ]
}

Das folgende Beispiel für eine VPC-Endpunktrichtlinie erlaubt den Zugriff nur während der Geschäftszeiten mithilfe des Bedingungsschlüsselsaws:CurrentTime:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3vectors:*",
      "Resource": "*",
      "Condition": {
        "DateGreaterThan": {
          "aws:CurrentTime": "08:00Z"
        },
        "DateLessThan": {
          "aws:CurrentTime": "18:00Z"
        }
      }
    }
  ]
}

Konfiguration von S3 Vectors-Clients für VPC-Endpunkte

Wenn Sie VPC-Endpunkte mit S3 Vectors verwenden, können Sie Ihre S3 Vectors-Clients so konfigurieren, dass sie entweder den DNS-Namen des Dienstes oder den DNS-Namen des VPC-Endpunkts verwenden.

Problembehandlung bei VPC-Endpunkten

Wenn Sie Probleme mit Ihrem VPC-Schnittstellen-Endpunkt haben, ziehen Sie die folgenden Schritte zur Fehlerbehebung in Betracht:

Überwachung der Nutzung von VPC-Endpunkten

Sie können die Nutzung Ihres S3 Vectors VPC-Endpunkts mithilfe von CloudTrail NetworkActivity Ereignisprotokollen überwachen.

Weitere Informationen zur Protokollierung von S3 Vectors finden Sie unterLoggen mit AWS CloudTrail für S3 Vectors.