Utilisation d'Amazon Data Firehose avec AWS PrivateLink

Connectez-vous à la console Amazon VPC AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/vpc/.

Dans le tableau de bord VPC, choisissez Endpoints (Points de terminaison).

Choisissez Créer un point de terminaison.

Dans la liste des noms de service, choisissez com.amazonaws.your_region.kinesis-firehose.

Choisissez le VPC et un ou plusieurs sous-réseaux dans lesquels créer le point de terminaison.

Choisissez un ou plusieurs groupes de sécurité à associer au point de terminaison.

Pour Policy (Stratégie), choisissez Custom (Personnalisée) et collez la stratégie suivante :

{
    "Statement": [
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:ListDeliveryStreams"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:DescribeDeliveryStream"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}

Choisissez Créer un point de terminaison.

Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/iam/.

Dans le panneau de navigation, choisissez Rôles, puis Créer un rôle.

Sous Sélectionner le type d'entité de confiance, conservez la sélection par défaut Service AWS .

Sous Choose the service that will use this role (Choisir le service qui utilisera ce rôle), choisissez Lambda.

Sélectionnez Next: Permissions (Suivant : autorisations).

Dans la liste des stratégies, recherchez et ajoutez les deux stratégies nommées AWS LambdaVPCAccessExecutionRole et AmazonDataFirehoseReadOnlyAccess.

Choisissez Suivant : Balises. Vous n'avez pas besoin d'ajouter des balises dans le cadre de cet exercice. Choisissez Suivant : vérification.

Entrez un nom pour le rôle, puis choisissez Créer un rôle.

Ouvrez la AWS Lambda console à l'adresse https://console.aws.amazon.com/lambda/.

Choisissez Créer une fonction.

Choisissez Créer à partir de zéro.

Entrez le nom de la fonction, puis définissez Runtime sur Python 3.9 ou une valeur supérieure.

Sous Permissions (Autorisations), développez Choose or create an execution role (Choisir ou créer un rôle d'exécution).

Dans la liste Execution role (Rôle d'exécution), choisissez Use an existing role (Utiliser un rôle existant).

Dans la liste Existing role (Rôle existant), choisissez le rôle que vous avez créé ci-dessus.

Choisissez Créer une fonction.

Sous Function code (Code de fonction), Collez le code suivant.

    import json
    import boto3
    import os
    from botocore.exceptions import ClientError
     
    def lambda_handler(event, context):
        REGION = os.environ['AWS_REGION']
        client = boto3.client(
            'firehose',
            REGION
            
        )
        print("Calling list_delivery_streams with ListDeliveryStreams allowed policy.")
        delivery_stream_request = client.list_delivery_streams()
        print("Successfully returned list_delivery_streams request %s." % (
            delivery_stream_request
        ))
        describe_access_denied = False
        try:
            print("Calling describe_delivery_stream with DescribeDeliveryStream denied policy.")
            delivery_stream_info = client.describe_delivery_stream(DeliveryStreamName='test-describe-denied')
        except ClientError as e:
            error_code = e.response['Error']['Code']
            print ("Caught %s." % (error_code))
            if error_code == 'AccessDeniedException':
                describe_access_denied = True
        
        if not describe_access_denied:
            raise
        else:
            print("Access denied test succeeded.")

Sous Basic settings (Paramètres de base), définissez le délai d'expiration sur 1 minute.

Sous Network (Réseau), sélectionnez le VPC dans lequel vous avez créé le point de terminaison ci-dessus, puis choisissez les sous-réseaux et le groupe de sécurité que vous avez associés au point de terminaison lorsque vous l'avez créé.

Dans le haut de la page, choisissez Enregistrer.

Sélectionnez Tester).

Entrez un nom d'événement, puis choisissez Créer.

Choisissez Test à nouveau. La fonction est alors exécutée. Une fois que le résultat d'exécution s'affiche, développez Details (Détails) et comparez la sortie de journal au code de la fonction. Les résultats positifs indiquent une liste des streams Firehose de la région, ainsi que le résultat suivant :

Calling describe_delivery_stream.

AccessDeniedException

Access denied test succeeded.