Amazon DocumentDB-API und Schnittstellen-VPC-Endpunkte (AWS PrivateLink)

Sie können eine private Verbindung zwischen Ihrer VPC und den Amazon DocumentDB-API-Endpunkten herstellen, indem Sie einen Schnittstellen-VPC-Endpunkt erstellen. Schnittstellen-Endpunkte werden unterstützt von. AWS PrivateLink

Auf Amazon DocumentDB-Instances basierende Cluster benötigen zwar keine VPC-Schnittstellen-Endpunktverbindung, AWS PrivateLink ermöglichen Ihnen jedoch den privaten Zugriff auf Amazon DocumentDB-API-Operationen ohne Internet-Gateway, NAT-Gerät, VPN-Verbindung oder Verbindung. Direct Connect Amazon DocumentDB-Instances in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um mit Amazon DocumentDB-API-Endpunkten zu kommunizieren, um Datenbank-Instances und Datenbank-Cluster zu starten, zu ändern oder zu beenden. Ihre Amazon DocumentDB-Instances benötigen auch keine öffentlichen IP-Adressen, um die verfügbaren Amazon DocumentDB-API-Operationen nutzen zu können. Der Datenverkehr zwischen Ihrer VPC und Amazon DocumentDB verlässt das Amazon-Netzwerk nicht.

Jeder Schnittstellenendpunkt wird durch eine oder mehrere Elastic Network-Schnittstellen in Ihren Subnetzen dargestellt. Weitere Informationen finden Sie unter Elastic Network-Schnittstellen im Benutzerhandbuch für Amazon EC2.

Weitere Informationen zu VPC-Endpunkten finden Sie unter Zugreifen auf und AWS-Service mithilfe eines Schnittstellen-VPC-Endpunkts im Amazon Virtual Private Cloud () -Benutzerhandbuch.AWS PrivateLink Weitere Informationen zu Amazon DocumentDB-Vorgängen finden Sie in der Amazon DocumentDB-API-Referenz.

Überlegungen zu VPC-Endpunkten

Bevor Sie einen Schnittstellen-VPC-Endpunkt für Amazon DocumentDB-API-Endpunkte einrichten, stellen Sie sicher, dass Sie die Voraussetzungen für Schnittstellenendpunkte im Amazon Virtual Private Cloud () -Benutzerhandbuch überprüfen.AWS PrivateLink

Alle Amazon DocumentDB-API-Operationen, die für die Verwaltung von Amazon DocumentDB-Ressourcen relevant sind, sind über Ihre VPC verfügbar. AWS PrivateLink

VPC-Endpunktrichtlinien werden für Amazon DocumentDB-API-Endpunkte unterstützt. Standardmäßig ist der vollständige Zugriff auf Amazon DocumentDB-API-Operationen über den Endpunkt zulässig. Weitere Informationen finden Sie unter Steuern des Zugriffs auf VPC-Endpunkte mithilfe von Endpunktrichtlinien im Amazon Virtual Private Cloud (AWS PrivateLink) -Benutzerhandbuch.

Verfügbarkeit in Regionen

Die Amazon DocumentDB-API unterstützt derzeit VPC-Endpunkte in den folgenden Bereichen: AWS-Regionen

Erstellen eines VPC-Schnittstellen-Endpunkts für die Amazon DocumentDB-API

Sie können einen VPC-Endpunkt für die Amazon DocumentDB-API erstellen, indem Sie entweder die Amazon VPC-Konsole oder die () verwenden. AWS Command Line Interface AWS CLI Weitere Informationen finden Sie unter Zugreifen und AWS-Service Verwenden eines Schnittstellen-VPC-Endpunkts im Amazon Virtual Private Cloud (AWS PrivateLink) -Benutzerhandbuch.

Erstellen Sie mithilfe des Servicenamens einen VPC-Endpunkt für die Amazon DocumentDB-API. com.amazonaws.region.rds

Außer AWS-Regionen in China können Sie, wenn Sie privates DNS für den Endpunkt aktivieren, API-Anfragen an Amazon DocumentDB stellen, wobei der VPC-Endpunkt seinen Standard-DNS-Namen für den verwendet AWS-Regionen, zum Beispiel rds.us-east-1.amazonaws.com. Für China (Peking) und China (Ningxia) AWS-Regionen können Sie API-Anfragen mit dem VPC-Endpunkt über rds-api.cn-north-1.amazonaws.com .cn bzw. rds-api.cn-northwest-1.amazonaws.com .cn stellen.

Weitere Informationen finden Sie im Amazon Virtual Private Cloud () -Benutzerhandbuch unter Zugreifen auf und AWS-Service mithilfe eines Schnittstellen-VPC-Endpunkts.AWS PrivateLink

Erstellen einer VPC-Endpunktrichtlinie für die Amazon DocumentDB-API

Sie können Ihrem VPC-Endpunkt eine Endpunktrichtlinie hinzufügen, die den Zugriff auf die Amazon DocumentDB-API steuert. Die Richtlinie gibt die folgenden Informationen an:

Weitere Informationen finden Sie unter Steuern des Zugriffs auf VPC-Endpunkte mithilfe von Endpunktrichtlinien im Amazon Virtual Private Cloud ()AWS PrivateLink-Benutzerhandbuch.

Beispiel: VPC-Endpunktrichtlinie für Amazon DocumentDB-API-Aktionen

Im Folgenden finden Sie ein Beispiel für eine Endpunktrichtlinie für die Amazon DocumentDB-API. Wenn diese Richtlinie an einen Endpunkt angehängt ist, gewährt sie allen Prinzipalen auf allen Ressourcen Zugriff auf die aufgelisteten Amazon DocumentDB-API-Aktionen.

{
"Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "docdb:CreateDBInstance",
            "docdb:ModifyDBInstance",
            "docdb:CreateDBSnapshot"
         ],
         "Resource":"*"
      }
   ]
}

Beispiel: VPC-Endpunktrichtlinie, die jeglichen Zugriff von einem bestimmten Konto aus verweigert AWS

Die folgende VPC-Endpunktrichtlinie verweigert dem AWS Konto 123456789012 jeglichen Zugriff auf Ressourcen, die den Endpunkt verwenden. Die Richtlinie erlaubt alle Aktionen von anderen Konten.

{
  "Statement": [
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": "*",
      "Principal": "*"
    },
    {
      "Action": "*",
      "Effect": "Deny",
      "Resource": "*",
      "Principal": { "AWS": [ "123456789012" ] }
     }
   ]
}