Configuración del acceso a la VPC para canalizaciones de Amazon OpenSearch Ingestion

Puede acceder a las canalizaciones de Amazon OpenSearch Ingestion con un punto de conexión de VPC de interfaz. Una VPC es una red virtual dedicada para Cuenta de AWS. Esta infraestructura en la nube está aislada lógicamente de otras redes virtuales de la nube de AWS. Al acceder a una canalización a través de un punto de conexión de VPC, se consigue una comunicación segura entre OpenSearch Ingestion y los demás servicios dentro de la VPC sin necesidad de utilizar una puerta de enlace de Internet, un dispositivo NAT o una conexión de VPN. Todo el tráfico permanece seguro dentro de la nube de AWS.

OpenSearch Ingestion establece esta conexión privada mediante la creación de un punto de conexión de interfaz alimentado por AWS PrivateLink. Crearemos una interfaz de red de punto de conexión en cada subred que especifique durante la creación de la canalización. Se trata de interfaces de red administradas por el solicitante que sirven como punto de entrada para el tráfico destinado a la canalización de OpenSearch Ingestion. También puede elegir crear y administrar los puntos de conexión de la interfaz.

El uso de una VPC le permite hacer cumplir el flujo de datos a través de sus canalizaciones de OpenSearch Ingestion dentro de los límites de la VPC, en lugar de hacerlo a través de la Internet pública. Las canalizaciones que no están dentro de una VPC envían y reciben datos a través de puntos de conexión públicos e Internet.

Una canalización con acceso a VPC puede escribir en dominios de OpenSearch Service públicos o de VPC y en colecciones de OpenSearch sin servidor públicas o de VPC.

Consideraciones

Tenga en cuenta lo siguiente cuando configure el acceso mediante VPC para una canalización.

Limitaciones

Las canalizaciones con acceso a la VPC presentan las siguientes limitaciones.

Requisitos previos

Antes de poder aprovisionar una canalización con acceso a la VPC, debe hacer lo siguiente:

Configuración del acceso mediante VPC para una canalización

Puede habilitar el acceso mediante VPC para una canalización desde la consola de OpenSearch Service o mediante el AWS CLI.

aws osis create-pipeline \
  --pipeline-name vpc-pipeline \
  --min-units 4 \
  --max-units 10 \
  --vpc-options SecurityGroupIds={sg-12345678,sg-9012345},SubnetIds=subnet-1212234567834asdf \
  --pipeline-configuration-body "file://pipeline-config.yaml"

Puntos de conexión de VPC autogestionados

Al crear una canalización, puede utilizar la administración de puntos de conexión para crear una canalización con puntos de conexión autogestionados o puntos de conexión administrados por el servicio. La administración de puntos de conexión es opcional y utiliza de forma predeterminada los puntos de conexión administrados por OpenSearch Ingestion.

Para crear una canalización con un punto de conexión de VPC autogestionado en la AWS Management Console, consulte Creating pipelines with the OpenSearch Service console. Para crear una canalización con un punto de conexión de VPC autogestionado en la AWS CLI, puede usar el parámetro --vpc-options en el comando create-pipeline:

--vpc-options SubnetIds=subnet-abcdef01234567890,VpcEndpointManagement=CUSTOMER

Puede crear un punto de conexión para la canalización al especificar el servicio del punto de conexión. Para encontrar el servicio del punto de conexión, use el comando get-pipeline, que devuelve una respuesta similar a la siguiente:

"vpcEndpointService" : "com.amazonaws.osis.us-east-1.pipeline-id-1234567890abcdef1234567890",
"vpcEndpoints" : [ 
  {
    "vpcId" : "vpc-1234567890abcdef0",
    "vpcOptions" : {
      "subnetIds" : [ "subnet-abcdef01234567890", "subnet-021345abcdef6789" ],
      "vpcEndpointManagement" : "CUSTOMER"
    }
  }

Utilice el vpcEndpointService de la respuesta para crear un punto de conexión de VPC con la AWS Management Console o la AWS CLI.

Si utiliza puntos de conexión de VPC autogestionados, debe habilitar los atributos de DNS enableDnsSupport y enableDnsHostnames en su VPC. Tenga en cuenta que, si tiene una canalización con un punto de conexión autogestionado que debe detener y reiniciar, debe volver a crear el punto de conexión de VPC en tu cuenta.

Roles vinculados a servicios para el acceso mediante VPC

Un rol vinculado a un servicio es un tipo único de rol de IAM; que delega permisos en un servicio para que pueda crear y administrar recursos en nombre del usuario. Si elige un punto de conexión de VPC administrado por el servicio, OpenSearch Ingestion requiere un rol vinculado a un servicio denominado AWSServiceRoleForAmazonOpenSearchIngestionService para acceder a la VPC, crear el punto de conexión de la canalización y situar interfaces de red en una subred de la VPC.

Si elige un punto de conexión de VPC autogestionado, OpenSearch Ingestion requiere un rol vinculado a un servicio denominado AWSServiceRoleForOpensearchIngestionSelfManagedVpce. Para obtener más información sobre estos roles, sus permisos y cómo se eliminan, consulte Uso de roles vinculados a servicios para crear canalizaciones de ingestión OpenSearch .

OpenSearch Ingestion crea automáticamente el rol al crear una canalización de incorporación. Para que esta creación automática se realice correctamente, el usuario que cree la primera canalización en una cuenta debe tener permisos para realizar la acción iam:CreateServiceLinkedRole. Para obtener más información, consulte Permisos de roles vinculados a servicios en la Guía del usuario de IAM. Puede ver el rol en la consola (IAM) de AWS Identity and Access Management una vez creado.