Uso de Amazon Data Firehose con AWS PrivateLink

Inicie sesión en la consola de Amazon VPC AWS Management Console y ábrala en https://console.aws.amazon.com/vpc/.

En el panel de la VPC, elija Endpoints (Puntos de enlace).

Seleccione Crear punto de conexión.

En la lista de nombres de servicio, elija com.amazonaws.your_region.kinesis-firehose.

Elija la VPC y una o varias subredes en las que se debe crear el punto de enlace.

Elija uno o varios grupos de seguridad para asociar con el punto de enlace.

En Policy (Política), elija Custom (Personalizada) y pegue la siguiente política:

{
    "Statement": [
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:ListDeliveryStreams"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:DescribeDeliveryStream"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}

Seleccione Crear punto de conexión.

Abra la consola de IAM en https://console.aws.amazon.com/iam/.

En el panel de la izquierda, elija Roles y, a continuación, seleccione Crear rol.

En Seleccionar tipo de entidad de confianza, deje la selección predeterminada Servicio de AWS .

En Choose the service that will use this role (Elegir el servicio que usará este rol), elija Lambda.

Elija Next: Permissions (Siguiente: permisos).

En la lista de políticas, busque y añada las dos políticas denominadas AWS LambdaVPCAccessExecutionRole y AmazonDataFirehoseReadOnlyAccess.

Elija Siguiente: etiquetas. Para este ejercicio, no es necesario que añada ninguna etiqueta. Elija Siguiente: Revisar.

Ingrese un nombre para el rol y, a continuación, seleccione Crear rol.

Abra la AWS Lambda consola en https://console.aws.amazon.com/lambda/.

Elija Crear función.

Elija Crear desde cero.

Introduzca un nombre para la función y, a continuación, establezca Runtime en Python 3.9 o en una posición superior.

En Permissions (Permisos), expanda Choose or create an execution role (Seleccionar o crear un rol de ejecución).

En la lista Execution role (Rol de ejecución), elija Use an existing role (Usar un rol existente).

En la lista Existing role (Rol existente), elija el rol que creó antes.

Elija Crear función.

En Function code (Código de la función), pegue el siguiente código.

    import json
    import boto3
    import os
    from botocore.exceptions import ClientError
     
    def lambda_handler(event, context):
        REGION = os.environ['AWS_REGION']
        client = boto3.client(
            'firehose',
            REGION
            
        )
        print("Calling list_delivery_streams with ListDeliveryStreams allowed policy.")
        delivery_stream_request = client.list_delivery_streams()
        print("Successfully returned list_delivery_streams request %s." % (
            delivery_stream_request
        ))
        describe_access_denied = False
        try:
            print("Calling describe_delivery_stream with DescribeDeliveryStream denied policy.")
            delivery_stream_info = client.describe_delivery_stream(DeliveryStreamName='test-describe-denied')
        except ClientError as e:
            error_code = e.response['Error']['Code']
            print ("Caught %s." % (error_code))
            if error_code == 'AccessDeniedException':
                describe_access_denied = True
        
        if not describe_access_denied:
            raise
        else:
            print("Access denied test succeeded.")

En Basic settings (Configuración básica), establezca el tiempo de espera en 1 minuto.

En Network (Red), elija la VPC en la que creó el punto de enlace y, a continuación, elija las subredes y el grupo de seguridad con los que asoció el punto de enlace cuando lo creó.

Cerca de la parte superior de la página, elija Guardar.

Seleccione Probar.

Ingrese un nombre de evento y, a continuación, elija Crear.

Elija Test (Probar) de nuevo. Esto hace que la función se ejecute. Cuando aparezca el resultado de la ejecución, expanda Details (Detalles) y compare la salida de registro con el código de la función. Los resultados satisfactorios muestran una lista de los arroyos Firehose de la región, así como el siguiente resultado:

Calling describe_delivery_stream.

AccessDeniedException

Access denied test succeeded.