Amazon DocumentDB API et points de VPC terminaison d'interface ()AWS PrivateLink

Vous pouvez établir une connexion privée entre vos points de terminaison VPC et Amazon DocumentDB en créant un API point de terminaison d'interface. VPC Les points de terminaison de l'interface sont alimentés par AWS PrivateLink.

Bien que les clusters Amazon DocumentDB ne nécessitent pas de connexion au point de VPC terminaison d'interface, ils vous AWS PrivateLink permettent d'accéder de manière privée aux opérations Amazon API DocumentDB sans passerelle InternetNAT, appareilVPN, connexion ou connexion. AWS Direct Connect Les instances Amazon DocumentDB présentes dans votre ordinateur VPC n'ont pas besoin d'adresses IP publiques pour communiquer avec les points de terminaison Amazon API DocumentDB afin de lancer, de modifier ou de résilier des instances de base de données et des clusters de bases de données. Vos instances Amazon DocumentDB n'ont pas non plus besoin d'adresses IP publiques pour utiliser les opérations Amazon API DocumentDB disponibles. Le trafic entre votre base de données VPC et Amazon DocumentDB ne quitte pas le réseau Amazon.

Chaque point de terminaison d'interface est représenté par une ou plusieurs interfaces réseau Elastic dans vos sous-réseaux. Pour plus d'informations, consultez la section Elastic network interfaces dans le guide de EC2 l'utilisateur Amazon.

Pour plus d'informations sur les VPC points de terminaison, consultez Accéder et Service AWS utiliser un point de VPC terminaison d'interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink). Pour plus d'informations sur les opérations Amazon DocumentDB, consultez le. Référence de gestion des clusters, des instances et des ressources Amazon DocumentDB API

Considérations relatives aux VPC terminaux

Avant de configurer un point de VPC terminaison d'interface pour les API points de terminaison Amazon DocumentDB, assurez-vous de consulter les conditions requises pour le point de terminaison d'interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud ()AWS PrivateLink.

Toutes les API opérations Amazon DocumentDB relatives à la gestion des ressources Amazon DocumentDB sont disponibles auprès de vous. VPC AWS PrivateLink

VPCles politiques relatives aux points de terminaison sont prises en charge pour les points de terminaison Amazon DocumentDB. API Par défaut, l'accès complet aux API opérations Amazon DocumentDB est autorisé via le point de terminaison. Pour plus d'informations, consultez la section Contrôler l'accès aux VPC points de terminaison à l'aide des politiques relatives aux points de terminaison dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Disponibilité dans les Régions

Amazon DocumentDB prend API actuellement en charge les VPC points de terminaison suivants : Régions AWS

Création d'un point de VPC terminaison d'interface pour Amazon DocumentDB API

Vous pouvez créer un VPC point de terminaison pour Amazon DocumentDB API à l'aide de la VPC console Amazon ou du AWS Command Line Interface ()AWS CLI. Pour plus d'informations, consultez la section Accès et Service AWS utilisation d'un point de VPC terminaison d'interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Créez un VPC point de terminaison pour Amazon DocumentDB à API l'aide du nom du service. com.amazonaws.region.rds

Sauf Régions AWS en Chine, si vous activez le mode privé DNS pour le point de terminaison, vous pouvez envoyer des API demandes à Amazon DocumentDB avec le VPC point de terminaison en utilisant son DNS nom par défaut Régions AWS, par exemple rds.us-east-1.amazonaws.com. Pour la Chine (Pékin) et la Chine (Ningxia) Régions AWS, vous pouvez effectuer des API demandes auprès du VPC point de terminaison en utilisant respectivement rds-api.cn-north-1.amazonaws.com .cn et rds-api.cn-northwest-1.amazonaws.com .cn.

Pour plus d'informations, consultez la section Accès et Service AWS utilisation d'un point de VPC terminaison d'interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Création d'une politique de VPC point de terminaison pour Amazon DocumentDB API

Vous pouvez associer une politique de point de terminaison à votre VPC point de terminaison qui contrôle l'accès à Amazon DocumentDBAPI. La politique spécifie les informations suivantes :

Pour plus d'informations, consultez la section Contrôler l'accès aux VPC points de terminaison à l'aide des politiques relatives aux points de terminaison dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Exemple : politique de point de VPC terminaison pour les actions Amazon DocumentDB API

Voici un exemple de politique de point de terminaison pour Amazon DocumentDBAPI. Lorsqu'elle est attachée à un point de terminaison, cette politique accorde l'accès aux API actions Amazon DocumentDB répertoriées pour tous les principaux sur toutes les ressources.

{
"Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "docdb:CreateDBInstance",
            "docdb:ModifyDBInstance",
            "docdb:CreateDBSnapshot"
         ],
         "Resource":"*"
      }
   ]
}

Exemple : politique de VPC point de terminaison qui refuse tout accès à partir d'un AWS compte spécifié

La politique de point de VPC terminaison suivante refuse au AWS compte 123456789012 tout accès aux ressources utilisant le point de terminaison. La politique autorise toutes les actions provenant d'autres comptes.

{
  "Statement": [
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": "*",
      "Principal": "*"
    },
    {
      "Action": "*",
      "Effect": "Deny",
      "Resource": "*",
      "Principal": { "AWS": [ "123456789012" ] }
     }
   ]
}