API et interface Amazon DocumentDB, points de terminaison VPC (AWS PrivateLink)

Vous pouvez établir une connexion privée entre votre VPC et les points de terminaison de l'API Amazon DocumentDB en créant un point de terminaison VPC d'interface. Les points de terminaison de l'interface sont alimentés par AWS PrivateLink.

Bien que les clusters basés sur des instances Amazon DocumentDB ne nécessitent pas d'interface, de connexion au point de terminaison VPC, ils vous AWS PrivateLink permettent d'accéder en privé aux opérations de l'API Amazon DocumentDB sans passerelle Internet, périphérique NAT, connexion VPN ou connexion. Direct Connect Les instances Amazon DocumentDB de votre VPC n'ont pas besoin d'adresses IP publiques pour communiquer avec les points de terminaison de l'API Amazon DocumentDB afin de lancer, modifier ou arrêter des instances de base de données et des clusters de bases de données. Vos instances Amazon DocumentDB n'ont pas non plus besoin d'adresses IP publiques pour utiliser les opérations d'API Amazon DocumentDB disponibles. Le trafic entre votre VPC et Amazon DocumentDB ne quitte pas le réseau Amazon.

Chaque point de terminaison d'interface est représenté par une ou plusieurs interfaces réseau Elastic dans vos sous-réseaux. Pour plus d’informations, consultez Interfaces réseau Elastic dans le Guide de l’utilisateur Amazon EC2.

Pour plus d'informations sur les points de terminaison VPC, consultez Accès et Service AWS utilisation d'un point de terminaison VPC d'interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink). Pour plus d'informations sur les opérations d'Amazon DocumentDB, consultez la référence d'API Amazon DocumentDB.

Considérations relatives aux points de terminaison d'un VPC

Avant de configurer un point de terminaison VPC d'interface pour les points de terminaison de l'API Amazon DocumentDB, assurez-vous de consulter les prérequis du point de terminaison d'interface dans le guide de l'utilisateur Amazon Virtual Private Cloud ()AWS PrivateLink.

Toutes les opérations d'API Amazon DocumentDB pertinentes pour la gestion des ressources Amazon DocumentDB sont disponibles depuis votre VPC à l'aide de. AWS PrivateLink

Les politiques relatives aux terminaux VPC sont prises en charge pour les points de terminaison de l'API Amazon DocumentDB. Par défaut, l'accès complet aux opérations de l'API Amazon DocumentDB est autorisé via le point de terminaison. Pour plus d'informations, consultez la section Contrôler l'accès aux terminaux VPC à l'aide de politiques relatives aux terminaux dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Disponibilité dans les Régions

L'API Amazon DocumentDB prend actuellement en charge les points de terminaison VPC dans les domaines suivants : Régions AWS

Création d'un point de terminaison VPC d'interface pour l'API Amazon DocumentDB

Vous pouvez créer un point de terminaison VPC pour l'API Amazon DocumentDB à l'aide de la console Amazon VPC ou du AWS Command Line Interface ().AWS CLI Pour plus d'informations, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC avec interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Créez un point de terminaison VPC pour l'API Amazon DocumentDB en utilisant le nom du service. com.amazonaws.region.rds

Régions AWS À l'exception de la Chine, si vous activez le DNS privé pour le point de terminaison, vous pouvez envoyer des requêtes d'API à Amazon DocumentDB avec le point de terminaison VPC en utilisant son nom DNS par défaut pour, par exemple Régions AWS, rds.us-east-1.amazonaws.com. Pour la Chine (Pékin) et la Chine (Ningxia) Régions AWS, vous pouvez effectuer des demandes d'API avec le point de terminaison VPC en utilisant respectivement rds-api.cn-north-1.amazonaws.com .cn et rds-api.cn-northwest-1.amazonaws.com .cn.

Pour plus d'informations, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC avec interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Création d'une politique de point de terminaison VPC pour l'API Amazon DocumentDB

Vous pouvez associer une politique de point de terminaison à votre point de terminaison VPC qui contrôle l'accès à l'API Amazon DocumentDB. La politique spécifie les informations suivantes :

Pour plus d'informations, consultez la section Contrôler l'accès aux terminaux VPC à l'aide de politiques relatives aux terminaux dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Exemple : politique de point de terminaison VPC pour les actions d'API Amazon DocumentDB

Voici un exemple de politique de point de terminaison pour l'API Amazon DocumentDB. Lorsqu'elle est associée à un point de terminaison, cette politique donne accès aux actions d'API Amazon DocumentDB répertoriées pour tous les principaux utilisateurs de toutes les ressources.

{
"Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "docdb:CreateDBInstance",
            "docdb:ModifyDBInstance",
            "docdb:CreateDBSnapshot"
         ],
         "Resource":"*"
      }
   ]
}

Exemple : politique de point de terminaison VPC qui refuse tout accès depuis un compte spécifié AWS

La politique de point de terminaison VPC suivante refuse au AWS compte 123456789012 tout accès aux ressources via le point de terminaison. La politique autorise toutes les actions provenant d’autres comptes.

{
  "Statement": [
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": "*",
      "Principal": "*"
    },
    {
      "Action": "*",
      "Effect": "Deny",
      "Resource": "*",
      "Principal": { "AWS": [ "123456789012" ] }
     }
   ]
}