Configuration de l'accès VPC pour les pipelines Amazon Ingestion OpenSearch

Vous pouvez accéder à vos pipelines Amazon OpenSearch Ingestion à l'aide d'un point de terminaison VPC d'interface. Un VPC est un réseau virtuel qui vous est dédié. Compte AWS Il est logiquement isolé des autres réseaux virtuels du AWS cloud. L'accès à un pipeline via un point de terminaison VPC permet une communication sécurisée entre OpenSearch Ingestion et les autres services du VPC sans avoir besoin d'une passerelle Internet, d'un périphérique NAT ou d'une connexion VPN. Tout le trafic reste sécurisé dans le AWS cloud.

OpenSearch L'ingestion établit cette connexion privée en créant un point de terminaison d'interface, alimenté par AWS PrivateLink. Nous créons une interface réseau de point de terminaison dans chaque sous-réseau que vous spécifiez lors de la création du pipeline. Il s'agit d'interfaces réseau gérées par les demandeurs qui servent de point d'entrée pour le trafic destiné au pipeline d' OpenSearch ingestion. Vous pouvez également choisir de créer et de gérer vous-même les points de terminaison de l'interface.

L'utilisation d'un VPC vous permet d'appliquer le flux de données à travers vos pipelines d' OpenSearch ingestion dans les limites du VPC, plutôt que sur Internet public. Les pipelines qui ne font pas partie d'un VPC envoient et reçoivent des données via des points de terminaison publics et Internet.

Un pipeline avec accès VPC peut écrire dans des domaines publics ou de OpenSearch service VPC, ainsi que dans des collections publiques ou VPC sans serveur. OpenSearch

Considérations

Tenez compte des points suivants lorsque vous configurez l'accès VPC pour un pipeline.

Limites

Les pipelines dotés d'un accès VPC présentent les limites suivantes.

Prérequis

Avant de pouvoir provisionner un pipeline avec un accès VPC, vous devez effectuer les opérations suivantes :

Configuration de l'accès VPC pour un pipeline

Vous pouvez activer l'accès VPC pour un pipeline dans la console de OpenSearch service ou à l'aide du. AWS CLI

aws osis create-pipeline \
  --pipeline-name vpc-pipeline \
  --min-units 4 \
  --max-units 10 \
  --vpc-options SecurityGroupIds={sg-12345678,sg-9012345},SubnetIds=subnet-1212234567834asdf \
  --pipeline-configuration-body "file://pipeline-config.yaml"

Points de terminaison VPC autogérés

Lorsque vous créez un pipeline, vous pouvez utiliser la gestion des terminaux pour créer un pipeline avec des points de terminaison autogérés ou des points de terminaison gérés par des services. La gestion des terminaux est facultative et par défaut, ce sont les points de terminaison gérés par OpenSearch Ingestion.

Pour créer un pipeline avec un point de terminaison VPC autogéré dans AWS Management Console le, consultez la section Création de pipelines avec OpenSearch la console de service. Pour créer un pipeline avec un point de terminaison VPC autogéré dans AWS CLI le, vous pouvez utiliser le paramètre de --vpc-options la commande create-pipeline :

--vpc-options SubnetIds=subnet-abcdef01234567890,VpcEndpointManagement=CUSTOMER

Vous pouvez créer vous-même un point de terminaison pour votre pipeline lorsque vous spécifiez votre service de point de terminaison. Pour trouver votre service de point de terminaison, utilisez la commande get-pipeline, qui renvoie une réponse similaire à la suivante :

"vpcEndpointService" : "com.amazonaws.osis.us-east-1.pipeline-id-1234567890abcdef1234567890",
"vpcEndpoints" : [ 
  {
    "vpcId" : "vpc-1234567890abcdef0",
    "vpcOptions" : {
      "subnetIds" : [ "subnet-abcdef01234567890", "subnet-021345abcdef6789" ],
      "vpcEndpointManagement" : "CUSTOMER"
    }
  }

Utilisez le vpcEndpointService from de la réponse pour créer un point de terminaison VPC avec le AWS Management Console ou. AWS CLI

Si vous utilisez des points de terminaison VPC autogérés, vous devez activer les enableDnsSupport attributs DNS enableDnsHostnames dans votre VPC. Notez que si vous avez un pipeline avec un point de terminaison autogéré que vous arrêtez et redémarrez, vous devez recréer le point de terminaison VPC dans votre compte.

Rôle lié à un service pour l'accès VPC

Un rôle lié à un service est un type unique de rôle IAM qui délègue des autorisations à un service afin qu'il puisse créer et gérer des ressources en votre nom. Si vous choisissez un point de terminaison VPC géré par un service, OpenSearch Ingestion nécessite un rôle lié à un service appelé pour AWSServiceRoleForAmazonOpenSearchIngestionServiceaccéder à votre VPC, créer le point de terminaison du pipeline et placer les interfaces réseau dans un sous-réseau de votre VPC.

Si vous choisissez un point de terminaison VPC autogéré OpenSearch , Ingestion nécessite un rôle lié à un service appelé. AWSServiceRoleForOpensearchIngestionSelfManagedVpce Pour plus d'informations sur ces rôles, leurs autorisations et la procédure à suivre pour les supprimer, consultezUtilisation de rôles liés à un service pour créer des pipelines d'ingestion OpenSearch .

OpenSearch L'ingestion crée automatiquement le rôle lorsque vous créez un pipeline d'ingestion. Pour que cette création automatique réussisse, l'utilisateur qui crée le premier pipeline dans un compte doit disposer des autorisations nécessaires pour effectuer cette iam:CreateServiceLinkedRole action. Pour en savoir plus, consultez Autorisations de rôles liés à un service dans le Guide de l'utilisateur IAM. Vous pouvez consulter le rôle dans la console AWS Identity and Access Management (IAM) une fois qu'il a été créé.