Verwenden von Amazon Data Firehose mit AWS PrivateLink

Melden Sie sich bei der Amazon VPC-Konsole an AWS Management Console und öffnen Sie sie unter https://console.aws.amazon.com/vpc/.

Wählen Sie im VPC-Dashboard Endpoints (Endpunkte) aus.

Klicken Sie auf Endpunkt erstellen.

Wählen Sie in der Liste der Servicenamen com.amazonaws.your_region.kinesis-firehose aus.

Wählen Sie die VPC und ein oder mehrere Subnetze aus, in dem/denen Sie den Endpunkt erstellen möchten.

Wählen Sie eine oder mehrere Sicherheitsgruppen aus, die mit den Endpunkten verknüpft werden soll(en).

Wählen Sie für Policy (Richtlinie)​ ​Custom (Benutzerdefiniert)​ aus und fügen Sie die folgende Richtlinie ein:

{
    "Statement": [
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:ListDeliveryStreams"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:DescribeDeliveryStream"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}

Wählen Sie Endpunkt erstellen aus.

Öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im linken Navigationsbereich Rollen und dann Rolle erstellen aus.

Belassen Sie es unter Typ der vertrauenswürdigen Entität auswählen bei der Standard-Auswahl AWS -Service.

Wählen Sie unter Choose the service that will use this role (Die Rolle auswählen, die diese Rollen verwenden wird) die Option Lambda aus.

Wählen Sie Next: Permissions (Weiter: Berechtigungen) aus.

Suchen Sie in der Liste der Richtlinien nach den beiden Richtlinien mit den Namen AWS LambdaVPCAccessExecutionRole und AmazonDataFirehoseReadOnlyAccess.

Wählen Sie Weiter: Markierungen. Das Hinzufügen von Tags ist für diese Übung nicht zweckmäßig. Wählen Sie Weiter: Prüfen aus.

Geben Sie einen Namen für die Rolle ein, wählen Sie dann Rolle erstellen aus.

Öffnen Sie die AWS Lambda Konsole unter https://console.aws.amazon.com/lambda/.

Wählen Sie Funktion erstellen.

Wählen Sie Von Grund auf neu schreiben aus.

Geben Sie einen Namen für die Funktion ein und setzen Sie dann Runtime auf Python 3.9 oder höher.

Erweitern Sie unter Permissions (Berechtigungen) den Bereich Choose or create an execution role (Ausführungsrolle wählen oder erstellen).

Wählen Sie in der Liste Execution role (Ausführungsrolle) die Option Use an existing role (Verwenden einer vorhandenen Rolle) aus.

Wählen Sie in der Liste Existing role (Vorhandene Rolle) die oben erstellte Rolle aus.

Wählen Sie Funktion erstellen.

Fügen Sie unter Function code (Funktionscode) den folgenden Code ein.

    import json
    import boto3
    import os
    from botocore.exceptions import ClientError
     
    def lambda_handler(event, context):
        REGION = os.environ['AWS_REGION']
        client = boto3.client(
            'firehose',
            REGION
            
        )
        print("Calling list_delivery_streams with ListDeliveryStreams allowed policy.")
        delivery_stream_request = client.list_delivery_streams()
        print("Successfully returned list_delivery_streams request %s." % (
            delivery_stream_request
        ))
        describe_access_denied = False
        try:
            print("Calling describe_delivery_stream with DescribeDeliveryStream denied policy.")
            delivery_stream_info = client.describe_delivery_stream(DeliveryStreamName='test-describe-denied')
        except ClientError as e:
            error_code = e.response['Error']['Code']
            print ("Caught %s." % (error_code))
            if error_code == 'AccessDeniedException':
                describe_access_denied = True
        
        if not describe_access_denied:
            raise
        else:
            print("Access denied test succeeded.")

Legen Sie unter Basic settings (Grundlegende Einstellungen) die Zeitüberschreitung auf 1 Minute fest.

Wählen Sie unter Network (Netzwerk) die VPC aus, für die Sie den obigen Endpunkt erstellt haben, und wählen Sie dann die Subnetze sowie die Sicherheitsgruppe aus, die mit dem Endpunkt bei der Erstellung verknüpft wurden.

Wählen Sie oben auf der Seite Speichern aus.

Wählen Sie Test aus.

Geben Sie einen Ereignisnamen ein und wählen Sie dann Erstellen.

Wählen Sie erneut Test (Testen) aus. Dies bewirkt, dass die Funktion ausgeführt wird. Erweitern Sie nach Anzeige des Ausführungsergebnisses den Bereich Details (Details) und vergleichen Sie die Protokollausgabe mit dem Funktionscode. Erfolgreiche Ergebnisse zeigen eine Liste der Firehose-Streams in der Region sowie die folgende Ausgabe:

Calling describe_delivery_stream.

AccessDeniedException

Access denied test succeeded.