View a markdown version of this page

Uso de las API de Amazon MSK con puntos de conexión de VPC de interfaz - Transmisión administrada de Amazon para Apache Kafka
Control del acceso a los puntos de conexión de VPC

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Uso de las API de Amazon MSK con puntos de conexión de VPC de interfaz

Puede usar un punto de enlace de interfaz de VPC con tecnología de red eléctrica para evitar que el tráfico entre la Amazon VPC y las API de Amazon MSK abandone la red de Amazon. AWS PrivateLink Los puntos de enlace de Interface VPC no requieren una puerta de enlace a Internet, un dispositivo NAT, una conexión VPN o una conexión de Direct Connect. AWS AWS PrivateLinkes una AWS tecnología que permite la comunicación privada entre AWS servicios mediante una interfaz de red elástica con direcciones IP privadas en su Amazon VPC. Para obtener más información, consulte Amazon Virtual Private Cloud and Interface VPC Endpoints ().AWS PrivateLink

Sus aplicaciones se pueden conectar con las API Amazon MSK Provisioned y MSK Connect mediante. AWS PrivateLink Para empezar, cree un punto de enlace de interfaz de VPC para su API de Amazon MSK a fin de iniciar el flujo de tráfico desde y hacia sus recursos de Amazon VPC a través del punto de enlace de interfaz de VPC. FIPS-enabled Los puntos de enlace de la VPC de la interfaz están disponibles para las regiones comerciales de EE. UU. y Canadá. Para obtener más información, consulte Creación de un punto de conexión de interfaz.

Al utilizar esta característica, los clientes de Apache Kafka pueden recuperar dinámicamente las cadenas de conexión necesarias para conectarse a los recursos de MSK aprovisionado o MSK Connect, sin atravesar Internet para obtener dichas cadenas de conexión.

Cuando cree un punto de conexión de VPC de interfaz, elija uno de los siguientes puntos de conexión de nombre de servicio:

Para MSK aprovisionado:

  • Los siguientes puntos finales con nombres de servicio ya no son compatibles con las conexiones nuevas:

    • com.amazonaws.region.kafka

    • com.amazonaws.region.kafka-fips () FIPS-enabled

  • Los servicios de punto final de Dualstack que admiten el tráfico IPv4 e IPv6 son:

    • aws.api.region.kafka-api

    • aws.api.region.kafka-api-fips () FIPS-enabled

Para configurar los puntos de conexión de doble pila, debe seguir las directrices de la FIPS sobre puntos de conexión. Dual-stack

Donde “region” es el nombre de la región. Elija este nombre de servicio para trabajar con las API de MSK. Provisioned-compatible Para obtener más información, consulte Operaciones en. https://docs.aws.amazon.com/msk/1.0/apireference/

Para MSK Connect:

  • com.amazonaws.region.kafkaconnect

  • com.amazonaws.region.kafkaconnect-fips () FIPS-enabled

Donde “region” es el nombre de la región. Elija este nombre de servicio para que funcione con las API de MSK. Connect-compatible Para obtener más información, consulte Acciones en la Referencia de la API de Amazon MSK Connect.

Para obtener más información, incluidas instrucciones paso a paso para crear un punto de conexión de VPC de tipo interfaz, consulte Creación de un punto de conexión de interfaz en la Guía de AWS PrivateLink .

Control del acceso a los puntos de conexión de VPC para las API de MSK aprovisionado o MSK Connect

Las políticas de punto de conexión de VPC le permiten controlar el acceso asociando una política a un punto de conexión de VPC o utilizando campos adicionales en una política asociada a un usuario, grupo o rol de IAM para restringir el acceso para que solo se produzca a través del punto de conexión de VPC especificado. Utilice la política de ejemplo adecuada para definir los permisos de acceso para el servicio MSK aprovisionado o MSK Connect, según corresponda.

Si no adjunta una política al crear un punto de conexión, Amazon VPC adjunta una política predeterminada que le conceda acceso completo al servicio. Una política de punto de conexión no anula ni reemplaza las políticas basadas en identidad de IAM ni las políticas específicas del servicio. Se trata de una política independiente para controlar el acceso desde el punto de conexión al servicio especificado.

Para más información, consulte Control del acceso a los servicios con puntos de conexión de VPC en la Guía de AWS PrivateLink .

MSK Provisioned — VPC policy example
Read-only acceder

Esta política de ejemplo se puede asociar a un punto de conexión de VPC. (Para obtener más información, consulte Control de acceso a recursos de Amazon VPC). Restringe las acciones únicamente a las operaciones de listado y descripción a través del punto de conexión de VPC al que está asociada.

{
  "Statement": [
    {
      "Sid": "MSKReadOnly",
      "Principal": "*",
      "Action": [
        "kafka:List*",
        "kafka:Describe*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}
Ejemplo de política de punto de conexión de VPC para MSK aprovisionado

Restricción del acceso a un clúster de MSK específico

Esta política de ejemplo se puede asociar a un punto de conexión de VPC. Restringe el acceso a un clúster específico de Kafka a través del punto de conexión de VPC al que está asociada.

{
  "Statement": [
    {
      "Sid": "AccessToSpecificCluster",
      "Principal": "*",
      "Action": "kafka:*",
      "Effect": "Allow",
      "Resource": "arn:aws:kafka:us-east-1:123456789012:cluster/MyCluster"
    }
  ]
}
MSK Connect — VPC endpoint policy example
Enumeración de conectores y creación de un conector nuevo

El siguiente es un ejemplo de una política de punto de conexión para MSK Connect. Esta política permite que el rol especificado enumere conectores y cree un conector nuevo.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "MSKConnectPermissions",
            "Effect": "Allow",
            "Action": [
                "kafkaconnect:ListConnectors",
                "kafkaconnect:CreateConnector"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/MyMSKConnectExecutionRole"
                ]
            }
        }
    ]
}
Ejemplo de política de punto de conexión de VPC para MSK Connect

Permite únicamente solicitudes provenientes de una dirección IP específica dentro de la VPC especificada

En el siguiente ejemplo, se muestra una política que solo permite que las solicitudes procedentes de una dirección IP específica en la VPC especificada se ejecuten correctamente. Las solicitudes de otras direcciones IP devolverán un error.

{
    "Statement": [
        {
            "Action": "kafkaconnect:*",
            "Effect": "Allow",
            "Principal": "*",
            "Resource": "*",
            "Condition": {
                "IpAddress": {
                    "aws:VpcSourceIp": "192.0.2.123"
                },
        "StringEquals": {
                    "aws:SourceVpc": "vpc-555555555555"
                }
            }
        }
    ]
}