Amazon DocumentDB DocumentDB-API und VPC-Schnittstellen-Endpunkte ()AWS PrivateLink

Sie können eine private Verbindung zwischen Ihrer VPC und den Amazon DocumentDB DocumentDB-API-Endpunkten herstellen, indem Sie einen VPC-Schnittstellen-Endpunkt erstellen. Schnittstellen-Endpunkte werden betrieben von. AWS PrivateLink

Instanzbasierte Cluster von Amazon DocumentDB benötigen zwar keine VPC-Endpunktverbindung mit einer Schnittstelle, AWS PrivateLink ermöglichen Ihnen aber den privaten Zugriff auf Amazon DocumentDB DocumentDB-API-Operationen ohne Internet-Gateway, NAT-Gerät, VPN-Verbindung oder Verbindung. AWS Direct Connect Amazon DocumentDB DocumentDB-Instances in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um mit Amazon DocumentDB DocumentDB-API-Endpunkten zu kommunizieren und Datenbank-Instances und Datenbankcluster zu starten, zu ändern oder zu beenden. Ihre Amazon DocumentDB DocumentDB-Instances benötigen auch keine öffentlichen IP-Adressen, um die verfügbaren Amazon DocumentDB DocumentDB-API-Operationen nutzen zu können. Der Datenverkehr zwischen Ihrer VPC und Amazon DocumentDB verlässt das Amazon-Netzwerk nicht.

Jeder Schnittstellenendpunkt wird durch eine oder mehrere Elastic Network-Schnittstellen in Ihren Subnetzen dargestellt. Weitere Informationen finden Sie unter Elastic Network Interfaces im EC2 Amazon-Benutzerhandbuch.

Weitere Informationen zu VPC-Endpunkten finden Sie unter Zugreifen und AWS-Service Verwenden eines VPC-Endpunkts mit einer Schnittstelle im Amazon Virtual Private Cloud (AWS PrivateLink) -Benutzerhandbuch. Weitere Informationen zu Amazon DocumentDB DocumentDB-Vorgängen finden Sie unterReferenz zur Amazon DocumentDB-Cluster-, Instance- und Ressourcenmanagement-API.

Überlegungen zu VPC-Endpunkten

Bevor Sie einen VPC-Schnittstellen-Endpunkt für Amazon DocumentDB DocumentDB-API-Endpunkte einrichten, stellen Sie sicher, dass Sie die Voraussetzungen für Schnittstellen-Endpunkte im Amazon Virtual Private Cloud (AWS PrivateLink) -Benutzerhandbuch lesen.

Alle Amazon DocumentDB DocumentDB-API-Operationen, die für die Verwaltung von Amazon DocumentDB DocumentDB-Ressourcen relevant sind, sind über Ihre VPC verfügbar unter. AWS PrivateLink

VPC-Endpunktrichtlinien werden für Amazon DocumentDB DocumentDB-API-Endpunkte unterstützt. Standardmäßig ist der vollständige Zugriff auf Amazon DocumentDB DocumentDB-API-Operationen über den Endpunkt erlaubt. Weitere Informationen finden Sie unter Steuern des Zugriffs auf VPC-Endpunkte mithilfe von Endpunktrichtlinien im Amazon Virtual Private Cloud (AWS PrivateLink) -Benutzerhandbuch.

Verfügbarkeit in Regionen

Die Amazon DocumentDB DocumentDB-API unterstützt derzeit VPC-Endpunkte in den folgenden Bereichen: AWS-Regionen

Erstellen eines VPC-Schnittstellen-Endpunkts für die Amazon DocumentDB DocumentDB-API

Sie können einen VPC-Endpunkt für die Amazon DocumentDB DocumentDB-API entweder mit der Amazon VPC-Konsole oder mit () erstellen. AWS Command Line Interface AWS CLI Weitere Informationen finden Sie unter Zugreifen und AWS-Service Verwenden eines VPC-Endpunkts mit einer Schnittstelle im Amazon Virtual Private Cloud (AWS PrivateLink) -Benutzerhandbuch.

Erstellen Sie mithilfe des Servicenamens einen VPC-Endpunkt für die Amazon DocumentDB DocumentDB-API. com.amazonaws.region.rds

Mit Ausnahme AWS-Regionen von China können Sie, wenn Sie privates DNS für den Endpunkt aktivieren, API-Anfragen an Amazon DocumentDB mit dem VPC-Endpunkt stellen, indem Sie dessen Standard-DNS-Namen für den Endpunkt verwenden AWS-Regionen, zum Beispiel rds.us-east-1.amazonaws.com. Für China (Peking) und China (Ningxia) AWS-Regionen können Sie API-Anfragen mit dem VPC-Endpunkt über rds-api.cn-north-1.amazonaws.com .cn bzw. rds-api.cn-northwest-1.amazonaws.com .cn stellen.

Weitere Informationen finden Sie unter Zugreifen und AWS-Service Verwenden eines VPC-Endpunkts mit einer Schnittstelle im Amazon Virtual Private Cloud (AWS PrivateLink) -Benutzerhandbuch.

Erstellen einer VPC-Endpunktrichtlinie für die Amazon DocumentDB DocumentDB-API

Sie können Ihrem VPC-Endpunkt eine Endpunktrichtlinie hinzufügen, die den Zugriff auf die Amazon DocumentDB DocumentDB-API steuert. Die Richtlinie gibt die folgenden Informationen an:

Weitere Informationen finden Sie unter Steuern des Zugriffs auf VPC-Endpunkte mithilfe von Endpunktrichtlinien im Amazon Virtual Private Cloud (AWS PrivateLink) -Benutzerhandbuch.

Beispiel: VPC-Endpunktrichtlinie für Amazon DocumentDB DocumentDB-API-Aktionen

Im Folgenden finden Sie ein Beispiel für eine Endpunktrichtlinie für die Amazon DocumentDB DocumentDB-API. Wenn diese Richtlinie an einen Endpunkt angehängt ist, gewährt sie allen Prinzipalen auf allen Ressourcen Zugriff auf die aufgelisteten Amazon DocumentDB DocumentDB-API-Aktionen.

{
"Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "docdb:CreateDBInstance",
            "docdb:ModifyDBInstance",
            "docdb:CreateDBSnapshot"
         ],
         "Resource":"*"
      }
   ]
}

Beispiel: VPC-Endpunktrichtlinie, die jeglichen Zugriff von einem bestimmten Konto aus verweigert AWS

Die folgende VPC-Endpunktrichtlinie verweigert dem AWS Konto 123456789012 jeglichen Zugriff auf Ressourcen, die den Endpunkt verwenden. Die Richtlinie erlaubt alle Aktionen von anderen Konten.

{
  "Statement": [
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": "*",
      "Principal": "*"
    },
    {
      "Action": "*",
      "Effect": "Deny",
      "Resource": "*",
      "Principal": { "AWS": [ "123456789012" ] }
     }
   ]
}