Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Cette section vous explique comment publier dans une rubrique Amazon SNS tout en gardant les messages sécurisés dans un réseau privé. Vous publiez un message depuis une EC2 instance Amazon hébergée sur Amazon Virtual Private Cloud (Amazon VPC). Le message reste sur le AWS réseau sans passer par l'Internet public. En publiant des messages de façon privée à partir d'un VPC, vous pouvez améliorer la sécurité du trafic entre vos applications et Amazon SNS. Cette sécurité est importante lorsque vous publiez des informations personnelles identifiables (PII) à propos de vos clients, ou lorsque votre application est soumise à des réglementations du marché. Par exemple, la publication en mode privé est utile si vous disposez d'un système de santé qui doit se conformer à la loi HIPAA (Health Insurance Portability and Accountability Act), ou d'un système financier qui doit se conformer à la norme PCI DSS (Payment Card Industry Data Security Standard).
Les étapes générales à suivre sont les suivantes :
-
Utilisez un AWS CloudFormation modèle pour créer automatiquement un réseau privé temporaire dans votre Compte AWS.
-
Créez un point de terminaison de VPC qui connecte le VPC avec Amazon SNS.
-
Connectez-vous à une EC2 instance Amazon et publiez un message en privé sur une rubrique Amazon SNS.
-
Vérifier que le message a été remis avec succès.
-
Supprimez les ressources que vous avez créées au cours de ce processus afin qu'elles ne restent pas dans votre Compte AWS.
Le schéma suivant décrit le réseau privé que vous créez dans votre AWS compte au fur et à mesure que vous effectuez ces étapes :
Ce réseau est constitué d'un VPC qui contient une instance Amazon EC2 . L'instance se connecte à Amazon SNS via un point de terminaison VPC d'interface. Ce type de point de terminaison se connecte à des services alimentés par AWS PrivateLink. Une fois cette connexion établie, vous pouvez vous connecter à l' EC2 instance Amazon et publier des messages sur la rubrique Amazon SNS, même si le réseau est déconnecté de l'Internet public. Le sujet répartit les messages qu'il reçoit vers deux AWS Lambda fonctions d'abonnement. Ces fonctions enregistrent les messages qu'elles reçoivent dans Amazon CloudWatch Logs.
Il vous faudra environ 20 minutes pour réaliser ces étapes.
Rubriques
Avant de commencer
Avant de commencer, vous avez besoin d'un compte Amazon Web Services (AWS). Lorsque vous vous inscrivez, votre compte est automatiquement connecté à tous les services AWS, y compris Amazon SNS et Amazon VPC. Si vous n'avez pas encore créé de compte, accédez à https://aws.amazon.com/
Étape 1 : créer une paire de EC2 clés Amazon
Une paire de clés est utilisée pour se connecter à une EC2 instance Amazon. Elle se compose d'une clé publique utilisée pour chiffrer vos informations de connexion et d'une clé privée utilisée pour les déchiffrer. Lorsque vous créez une paire de clés, vous téléchargez une copie de la clé privée. Vous utiliserez ensuite la paire de clés pour vous connecter à une EC2 instance Amazon. Pour vous connecter, vous spécifiez le nom de la paire de clés et vous fournissez la clé privée.
Pour créer la paire de clés
Connectez-vous à la EC2 console Amazon AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/ec2/
. -
Dans le menu de navigation de gauche, recherchez la section Network & Security (Réseau et sécurité). Choisissez ensuite Paires de clés.
-
Choisissez Create Key Pair (Créer une paire de clés).
-
Dans la fenêtre Créer une paire de clés, pour le champ Nom de la paire de clés, tapez
VPCE-Tutorial-KeyPair. Ensuite, choisissez Créer.
-
Le fichier de clé privée est automatiquement téléchargé dans votre navigateur. Enregistrez-la dans un emplacement sûr. Amazon EC2 attribue au fichier une extension de
.pem. -
(Facultatif) Si vous utilisez un client SSH sur un ordinateur Mac ou Linux pour vous connecter à votre instance Linux, utilisez la commande
chmodpour définir les autorisations de votre fichier de clé privée afin d'être la seule personne autorisée à le lire :-
Ouvrez un terminal et accédez au répertoire contenant la clé privée :
$cd /filepath_to_private_key/ -
Définissez les autorisations à l'aide de la commande suivante :
$chmod 400 VPCE-Tutorial-KeyPair.pem
-
Étape 2 : Création des AWS ressources
Pour configurer l'infrastructure, vous utilisez un AWS CloudFormation modèle. Un modèle est un fichier qui sert de modèle pour créer des AWS ressources, telles que des EC2 instances Amazon et des rubriques Amazon SNS. Le modèle de ce processus est fourni ci-dessous GitHub pour que vous puissiez le télécharger.
Vous fournissez le modèle et AWS CloudFormation vous AWS CloudFormation provisionnez les ressources dont vous avez besoin sous forme de pile dans votre Compte AWS. Une pile est un ensemble de ressources que vous gérez comme une seule unité. Lorsque vous avez terminé ces étapes, vous pouvez l'utiliser AWS CloudFormation pour supprimer toutes les ressources de la pile en une seule fois. Ces ressources ne restent pas dans votre mémoire Compte AWS, sauf si vous le souhaitez.
La pile pour ce processus inclut les ressources suivantes :
-
Un VPC et les ressources de mise en réseau associées, notamment un sous-réseau, un groupe de sécurité, une passerelle Internet et une table de routage.
-
Une EC2 instance Amazon lancée dans le sous-réseau du VPC.
-
Une rubrique Amazon SNS
-
Deux AWS Lambda fonctions Ces fonctions reçoivent des messages publiés sur la rubrique Amazon SNS et enregistrent les événements dans CloudWatch des journaux.
-
CloudWatch Métriques et journaux Amazon.
-
Un rôle IAM qui permet à l' EC2 instance Amazon d'utiliser Amazon SNS, et un rôle IAM qui permet aux fonctions Lambda d'écrire dans des journaux. CloudWatch
Pour créer les AWS ressources
-
Téléchargez le fichier modèle
depuis le GitHub site Web. -
Connectez-vous à la console AWS CloudFormation
. -
Sélectionnez Créer une pile.
-
Sur la page Select Template (Sélectionner un modèle), choisissez Upload a template to Amazon S3 (Charger un modèle dans Amazon S3), sélectionnez le fichier, puis Next (Suivant).
-
Sur la page Specify Details (Spécifier les détails), spécifiez les noms de pile et de clé :
-
Pour le Nom de la pile, tapez
VPCE-Tutorial-Stack. -
Pour KeyName, choisissez VPCE-Tutorial-. KeyPair
-
Pour SSHLocation, conservez la valeur par défaut de
0.0.0.0/0.
-
Choisissez Suivant.
-
-
Dans la page Options, conservez toutes les valeurs par défaut, puis choisissez Suivant.
-
Sur la page Review (Vérification), vérifiez les détails de la pile.
-
Sous Fonctionnalités, reconnaissez que cela AWS CloudFormation peut créer des ressources IAM avec des noms personnalisés.
-
Sélectionnez Create (Créer).
La AWS CloudFormation console ouvre la page Stacks. Le statut VPCE-Tutorial-Stack est CREATE_IN_PROGRESS. Après quelques minutes, une fois le processus de création terminé, l'état devient CREATE_COMPLETE.
Astuce
Choisissez le bouton Actualiser pour afficher l'état le plus récent de la pile.
Étape 3 : Vérifiez que votre EC2 instance Amazon n'a pas accès à Internet
L' EC2 instance Amazon qui a été lancée dans votre VPC à l'étape précédente n'a pas accès à Internet. Elle interdit le trafic sortant, et elle ne peut pas publier des messages dans Amazon SNS. Vous pouvez vérifier cela en vous connectant à l'instance. Essayez ensuite de vous connecter à un point de terminaison public et tentez d'envoyer un message à Amazon SNS.
À ce stade, la tentative de publication échoue. Dans une étape ultérieure, une fois que vous aurez créé un point de terminaison de VPC pour Amazon SNS, votre tentative de publication réussira.
Pour vous connecter à votre EC2 instance Amazon
-
Ouvrez la EC2 console Amazon à l'adresse https://console.aws.amazon.com/ec2/
. -
Dans le menu de navigation de gauche, recherchez la section Instances. Choisissez ensuite Instances.
-
Dans la liste des instances, sélectionnez VPCE- Tutorial-EC2Instance.
-
Copiez le nom d'hôte fourni dans la colonne Public DNS (IPv4).
-
Ouvrez un terminal . Dans le répertoire contenant la paire de clés, connectez-vous à l'instance à l'aide de la commande suivante, où se
instance-hostnametrouve le nom d'hôte que vous avez copié depuis la EC2 console Amazon :$ssh -i VPCE-Tutorial-KeyPair.pem ec2-user@instance-hostname
Pour vérifier que l'instance n'a pas de connectivité Internet
-
Dans votre terminal, essayez de vous connecter à n'importe quel point de terminaison public, comme amazon.com :
$ping amazon.comComme la tentative de connexion échoue, vous pouvez annuler à tout moment (Ctrl+C sur Windows ou Commande + C sur macOS).
Pour vérifier que l'instance n'a pas de connectivité vers Amazon SNS
-
Connectez-vous à la console Amazon SNS
. -
Dans le menu de navigation de gauche, choisissez Rubriques.
-
Sur la page Rubrique, copiez l'Amazon Resource Name (ARN) de la rubrique VPCE-Tutorial-Topic.
-
Dans votre terminal, essayez de publier un message dans la rubrique :
$aws sns publish --regionaws-region--topic-arnsns-topic-arn--message "Hello"Comme la tentative de publication échoue, vous pouvez annuler à tout moment.
Étape 4 : Création d'un point de terminaison Amazon VPC pour Amazon SNS
Pour connecter le VPC à Amazon SNS, vous définissez un point de terminaison de VPC d'interface. Après avoir ajouté le point de terminaison, vous pouvez vous connecter à l' EC2 instance Amazon dans votre VPC, puis utiliser l'API Amazon SNS. Vous pouvez publier des messages dans la rubrique, et les messages sont publiés en mode privé. Ils restent dans le AWS réseau et ne naviguent pas sur l'Internet public.
Note
L'instance n'a toujours pas accès aux autres AWS services et points de terminaison sur Internet.
Pour créer le point de terminaison
-
Ouvrez la console Amazon VPC à l’adresse https://console.aws.amazon.com/vpc/
. -
Dans le menu de navigation de gauche, choisissez Endpoints (Points de terminaison).
-
Choisissez Créer un point de terminaison.
-
Sur la page Créer un point de terminaison, pour Catégorie de services, conservez la valeur par défaut services AWS .
-
Pour Nom du service, choisissez le nom de service pour Amazon SNS.
Les noms de service varient en fonction de la région choisie. Par exemple, si vous avez choisi USA East (Virginie du Nord), le nom du service est com.amazonaws.
us-east-1.sns. -
Pour VPC, choisissez le VPC qui a le nom VPCE-Tutorial-VPC.
-
Pour Subnets (Sous-réseaux), choisissez le sous-réseau qui a VPCE-Tutorial-Subnet dans l'ID de sous-réseau.
-
Pour Enable Private DNS Name (Activer le nom DNS privé), sélectionnez Enable for this endpoint (Activer pour ce point de terminaison).
-
Pour Groupe de sécurité, choisissez Sélectionner un groupe de sécurité, puis choisissez VPCE-Tutorial-. SecurityGroup
-
Choisissez Créer un point de terminaison. La console Amazon VPC confirme qu'un point de terminaison de VPC a été créé.
-
Choisissez Close (Fermer).
La console Amazon VPC ouvre la page Points de terminaison. Le nouveau point de terminaison a l'état pending (en attente). Après quelques minutes, une fois le processus de création terminé, l'état devient available (disponible).
Étape 5 : Publication d'un message dans votre rubrique Amazon SNS
Maintenant que votre VPC inclut un point de terminaison pour Amazon SNS, vous pouvez vous connecter à l'instance EC2 Amazon et publier des messages sur le sujet.
Pour publier un message
-
Si votre terminal n'est plus connecté à votre EC2 instance Amazon, reconnectez-vous :
$ssh -i VPCE-Tutorial-KeyPair.pem ec2-user@instance-hostname -
Exécutez la même commande que celle que vous avez utilisée précédemment pour publier un message dans votre rubrique Amazon SNS. Cette fois, la tentative de publication aboutit et Amazon SNS renvoie un ID de message :
$aws sns publish --regionaws-region--topic-arnsns-topic-arn--message "Hello"{ "MessageId": "5b111270-d169-5be6-9042-410dfc9e86de" }
Étape 6 : Vérifier la livraison de vos messages
Lorsque la rubrique Amazon SNS reçoit un message, elle diffuse le message en l'envoyant aux deux fonctions Lambda abonnées. Lorsque ces fonctions reçoivent le message, elles enregistrent l'événement dans les CloudWatch journaux. Pour vérifier que la livraison de votre message a réussi, vérifiez que les fonctions ont été invoquées et que les CloudWatch journaux ont été mis à jour.
Pour vérifier que les fonctions Lambda ont été appelées
-
Ouvrez la AWS Lambda console à l'adresse https://console.aws.amazon.com/lambda/
. -
Sur la page Fonctions, choisissez VPCE-Tutorial-Lambda-1.
-
Choisissez Surveillance.
-
Vérifiez le graphique Nombre d'appels. Ce graphique montre le nombre de fois que la fonction Lambda a été exécutée.
Le nombre d'appels correspond au nombre de fois où vous avez publié un message dans la rubrique.
Pour vérifier que les CloudWatch journaux ont été mis à jour
-
Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/
. -
Dans le menu de navigation de gauche, choisissez Journaux.
-
Vérifiez les journaux qui ont été écrits par les fonctions Lambda :
-
Choisissez le groupe de journaux/aws/lambda/VPCE-Tutorial-Lambda-1/.
-
Choisissez le flux de journaux.
-
Vérifiez que le journal inclut l'entrée
From SNS: Hello.
-
Choisissez Log Groups (Groupes de journaux) en haut de la console pour renvoyer la page Log Groups (Groupes de journaux). Répétez ensuite les étapes précédentes pour le groupe de logs the /aws/lambda/VPCE -Tutorial-Lambda-2/.
-
Félicitations ! En ajoutant un point de terminaison pour Amazon SNS à un VPC, vous avez pu publier un message dans une rubrique depuis le réseau qui est géré par le VPC. Le message a été publié en mode privé sans être exposé sur l'Internet public.
Étape 7 : nettoyer
À moins que vous souhaitiez conserver les ressources que vous avez créées, vous pouvez les supprimer maintenant. En supprimant AWS les ressources que vous n'utilisez plus, vous évitez des frais inutiles pour votre Compte AWS.
Tout d'abord, supprimez votre point de terminaison de VPC à l'aide de la console Amazon VPC. Supprimez ensuite les autres ressources que vous avez créées en supprimant la pile dans la AWS CloudFormation console. Lorsque vous supprimez une pile, AWS CloudFormation les ressources de la pile sont supprimées de votre Compte AWS.
Pour supprimer votre point de terminaison de VPC
-
Ouvrez la console Amazon VPC à l’adresse https://console.aws.amazon.com/vpc/
. -
Dans le menu de navigation de gauche, choisissez Endpoints (Points de terminaison).
-
Sélectionnez le point de terminaison que vous avez créé.
-
Choisissez Actions, puis Delete Endpoint (Supprimer le point de terminaison).
-
Dans la fenêtre Delete Endpoint (Supprimer le point de terminaison), sélectionnez Yes, Delete (Oui, supprimer).
L'état du point de terminaison passe à deleting (en cours de suppression). Une fois la suppression terminée, le point de terminaison est supprimé de la page.
Pour supprimer votre AWS CloudFormation pile
-
Ouvrez la AWS CloudFormation console à l'adresse https://console.aws.amazon.com/cloudformation.
-
Sélectionnez la pile VPCE-Tutorial-Stack.
-
Choisissez Actions, puis Supprimer pile.
-
Dans la fenêtre Delete Stack (Supprimer la pile), sélectionnez Yes, Delete (Oui, supprimer).
L'état de la pile passe à DELETE_IN_PROGRESS. Une fois la suppression terminée, la pile est supprimée de la page.
Ressources connexes
Pour plus d'informations, veuillez consulter les ressources suivantes.
