Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris. # AWS PrivateLink untuk Amazon S3 Dengan AWS PrivateLink Amazon S3, Anda dapat menyediakan titik akhir *VPC antarmuka (titik akhir* antarmuka) di cloud pribadi virtual (VPC) Anda. Titik akhir ini dapat diakses secara langsung dari aplikasi yang ada di tempat melalui VPN dan Direct Connect, atau dalam pengintipan VPC yang berbeda Wilayah AWS . Endpoint antarmuka diwakili oleh satu atau lebih antarmuka jaringan elastis (ENIs) yang diberi alamat IP pribadi dari subnet di VPC Anda. Permintaan ke Amazon S3 melalui titik akhir antarmuka tetap berada di jaringan Amazon. Anda juga dapat mengakses titik akhir antarmuka di VPC Anda dari aplikasi lokal AWS Direct Connect melalui AWS Virtual Private Network atau ().Site-to-Site VPN Untuk informasi selengkapnya tentang cara menghubungkan VPC dengan jaringan on-premise Anda, lihat [Direct Connect Panduan Pengguna](https://docs.aws.amazon.com/directconnect/latest/UserGuide/Welcome.html) dan [AWS Site-to-Site VPN Panduan Pengguna](https://docs.aws.amazon.com/vpn/latest/s2svpn/VPC_VPN.html). Untuk informasi umum tentang titik akhir antarmuka, lihat [Antarmuka titik akhir VPC (AWS PrivateLink)](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html) dalam *Panduan AWS PrivateLink *. **Topics** + [Jenis titik akhir VPC untuk Amazon S3](#types-of-vpc-endpoints-for-s3) + [Pembatasan dan batasan AWS PrivateLink untuk Amazon S3](#privatelink-limitations) + [Membuat titik akhir VPC](#s3-creating-vpc) + [Mengakses titik akhir antarmuka Amazon S3](#accessing-s3-interface-endpoints) + [Jenis Alamat IP untuk titik akhir VPC](#privatelink-ip-address-types) + [Jenis IP rekaman DNS untuk titik akhir VPC](#privatelink-dns-record-types) + [DNS privat](#private-dns) + [Mengakses bucket, titik akses, serta operasi API Amazon S3 Control dari titik akhir antarmuka S3](#accessing-bucket-and-aps-from-interface-endpoints) + [Memperbarui konfigurasi DNS on-premise](#updating-on-premises-dns-config) + [Membuat kebijakan titik akhir VPC untuk Amazon S3](#creating-vpc-endpoint-policy) ## Jenis titik akhir VPC untuk Amazon S3 Anda dapat menggunakan dua jenis titik akhir VPC untuk mengakses Amazon S3: titik akhir *gateway dan titik akhir* *antarmuka* (dengan menggunakan). AWS PrivateLink*Titik akhir gateway* adalah gateway yang Anda tentukan dalam tabel rute untuk mengakses Amazon S3 dari VPC melalui jaringan. AWS *Titik akhir antarmuka memperluas fungsionalitas titik* akhir gateway dengan menggunakan alamat IP pribadi untuk merutekan permintaan ke Amazon S3 dari dalam VPC Anda, di tempat, atau dari VPC di tempat lain dengan menggunakan peering VPC atau. Wilayah AWS AWS Transit Gateway Untuk informasi selengkapnya, lihat [Apa itu peering VPC?](https://docs.aws.amazon.com/vpc/latest/peering/what-is-vpc-peering.html) dan [Transit Gateway vs Peering VPC](https://docs.aws.amazon.com/whitepapers/latest/building-scalable-secure-multi-vpc-network-infrastructure/transit-gateway-vs-vpc-peering.html). Titik akhir antarmuka kompatibel dengan titik akhir gateway. Jika Anda memiliki titik akhir gateway yang ada di VPC, Anda dapat menggunakan kedua jenis titik akhir di VPC yang sama. | Titik akhir gateway untuk Amazon S3 | Titik akhir antarmuka untuk Amazon S3 | | --- | --- | | Dalam kedua kasus, lalu lintas jaringan Anda tetap berada di AWS jaringan. | | Gunakan alamat IP publik Amazon S3 | Gunakan alamat IP privat dari VPC Anda untuk mengakses Amazon S3 | | Gunakan nama Amazon S3 DNS yang sama | [Memerlukan nama DNS Amazon S3 kustom titik akhir](https://docs.aws.amazon.com/AmazonS3/latest/userguide/privatelink-interface-endpoints.html#accessing-s3-interface-endpoints) | | Jangan izinkan mengakses dari on-premise | Izinkan mengakses dari on-premise | | Jangan izinkan akses dari yang lain Wilayah AWS | Izinkan akses dari VPC di VPC lain Wilayah AWS dengan menggunakan VPC peering atau AWS Transit Gateway | | Tidak ditagih | Ditagih | *Untuk informasi selengkapnya, lihat [titik akhir Gateway dan titik akhir](https://docs.aws.amazon.com/vpc/latest/privatelink/gateway-endpoints.html) [VPC antarmuka](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html) di Panduan.AWS PrivateLink * ## Pembatasan dan batasan AWS PrivateLink untuk Amazon S3 Batasan VPC berlaku AWS PrivateLink untuk Amazon S3. Untuk informasi selengkapnya, lihat [Pertimbangan antarmuka titik akhir](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html#vpce-interface-limitations) dan [AWS PrivateLink kuota](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-limits-endpoints.html) dalam *AWS PrivateLink Panduan*. Selain itu, larangan berikut juga berlaku. Titik akhir antarmuka untuk Amazon S3 tidak mendukung hal berikut: + [Titik Akhir Standar Proses Informasi Federal (FIPS)](https://aws.amazon.com/compliance/fips/) + [Titik akhir situs web](WebsiteEndpoints.md) + [Titik akhir warisan global](VirtualHosting.md#deprecated-global-endpoint) + [Titik akhir Wilayah dasbor S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/VirtualHosting.html) + Menggunakan [https://docs.aws.amazon.com/AmazonS3/latest/API/API_CopyObject.html](https://docs.aws.amazon.com/AmazonS3/latest/API/API_CopyObject.html)atau [https://docs.aws.amazon.com/AmazonS3/latest/API/API_UploadPartCopy.html](https://docs.aws.amazon.com/AmazonS3/latest/API/API_UploadPartCopy.html)di antara ember dalam berbagai Wilayah AWS + Keamanan Lapisan Transportasi (TLS) 1.0 + Keamanan Lapisan Pengangkutan (TLS) 1.1 + Keamanan Lapisan Transportasi (TLS) 1.3 + Keamanan Lapisan Transportasi pasca-kuantum hibrida (TLS) ## Membuat titik akhir VPC Untuk membuat titik akhir antarmuka VPC, lihat [ Membuat titik akhir VPC](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#create-interface-endpoint-aws) dalam *AWS PrivateLink Panduan*. *Untuk membuat titik akhir gateway VPC, lihat [Membuat titik akhir gateway](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-s3.html#create-gateway-endpoint-s3) di Panduan.AWS PrivateLink * ## Mengakses titik akhir antarmuka Amazon S3 Saat Anda membuat titik akhir antarmuka, Amazon S3 menghasilkan dua jenis nama DNS S3 khusus titik akhir: *Regional* dan *zonal*. + Nama DNS *Regional* mencakup ID titik akhir VPC unik, pengenal layanan, Wilayah AWS dan namanya. `vpce.amazonaws.com` Sebagai contoh, untuk ID titik akhir VPC `vpce-1a2b3c4d`, nama DNS yang dihasilkan mungkin mirip dengan `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com`. + Nama DNS *Zonal* mencakup Zona Ketersediaan—misalnya, `vpce-1a2b3c4d-5e6f-us-east-1a.s3.us-east-1.vpce.amazonaws.com`. Anda dapat menggunakan opsi ini jika arsitektur Anda mengisolasi Zona Ketersediaan. Contoh, Anda bisa menggunakannya untuk kontainer kesalahan atau untuk mengurangi biaya transfer data Regional. Nama DNS S3 spesifik titik akhir dapat diselesaikan dari domain DNS publik S3. Titik akhir VPC untuk Amazon S3 mendukung berbagai jenis pengalamatan IP, termasuk:,, dan Dualstack. IPv4 IPv6 Lihat [Jenis Alamat IP untuk titik akhir VPC](#privatelink-ip-address-types) dan [Jenis IP rekaman DNS untuk titik akhir VPC](#privatelink-dns-record-types). ## Jenis Alamat IP untuk titik akhir VPC Titik akhir VPC untuk Amazon S3 mendukung berbagai jenis pengalamatan IP, termasuk: + **IPv4** Titik akhir VPC dapat dikonfigurasi untuk hanya menggunakan IPv4 alamat untuk konektivitas. + **IPv6** Titik akhir VPC dapat dikonfigurasi untuk hanya menggunakan IPv6 alamat untuk konektivitas. + **Tumpukan ganda** Titik akhir VPC dapat dikonfigurasi dalam mode dual-stack, mendukung keduanya dan alamat secara bersamaan. IPv4 IPv6 Ini memberikan fleksibilitas untuk mengakses Amazon S3 melalui salah satu IPv4 atau IPv6 jaringan. Jenis alamat IP yang Anda pilih untuk titik akhir VPC Anda akan bergantung pada persyaratan jaringan aplikasi dan infrastruktur Anda. Pertimbangan dapat mencakup skema pengalamatan IP yang digunakan di VPC, jaringan lokal, dan konektivitas di seluruh internet ke Amazon S3. Untuk informasi selengkapnya, lihat jenis alamat IP untuk [titik akhir antarmuka dan titik](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html#aws-service-ip-address-type) [akhir gateway di panduan](https://docs.aws.amazon.com/vpc/latest/privatelink/gateway-endpoints.html#gateway-endpoint-ip-address-type) *Amazon Virtual Private Cloud*. ## Jenis IP rekaman DNS untuk titik akhir VPC Tergantung pada jenis alamat IP Anda, ketika Anda memanggil titik akhir VPC, Layanan AWS dapat mengembalikan `A` catatan, catatan, atau keduanya `A` dan `AAAA` catatan. `AAAA` Anda dapat menyesuaikan jenis rekaman yang dikembalikan AWS layanan Anda dengan memodifikasi jenis IP rekaman DNS. Tabel berikut menunjukkan jenis IP rekaman DNS yang didukung dan jenis alamat IP: | Jenis alamat IP yang didukung | Jenis IP rekaman DNS | | --- | --- | | IPv4 | IPv4 | | IPv6 | IPv6 | | Tumpukan ganda | Dualstack,, IPv4, Ditentukan Layanan IPv6 | ### Mengonfigurasi jenis IP rekaman DNS yang ditentukan layanan untuk Amazon S3 Jika Anda membuat titik akhir gateway untuk Amazon S3 dan mengonfigurasi jenis IP rekaman DNS sebagai yang ditentukan layanan dan menggunakan titik akhir layanan regional, (seperti)`s3.us-east-2.amazonaws.com`, Amazon S3 mengembalikan catatan ke klien Anda. `A` Sebaliknya, jika Anda membuat titik akhir gateway dan menggunakan titik akhir layanan dual-stack, (seperti`s3.dualstack.us-east-2.amazonaws.com`) dan memilih jenis IP record DNS as, Amazon `service-defined` S3 mengembalikan keduanya dan catatan ke klien Anda. `A` `AAAA` Demikian pula, jika Anda membuat titik akhir antarmuka dengan DNS Pribadi diaktifkan dan memilih yang ditentukan layanan sebagai jenis catatan DNS, untuk titik akhir layanan regional, (seperti,), `s3.us-east-2.amazonaws.com` Amazon S3 mengembalikan catatan ke klien Anda. `A` Sedangkan, untuk endpoint layanan dualstack, (seperti,`s3.dualstack.us-east-2.amazonaws.com`), Amazon S3 mengembalikan keduanya dan catatan. `A` `AAAA` *Untuk informasi selengkapnya, lihat Jenis IP rekaman DNS untuk [titik akhir antarmuka dan titik](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html#aws-services-dns-record-ip-type) [akhir gateway di Panduan](https://docs.aws.amazon.com/vpc/latest/privatelink/gateway-endpoints.html#gateway-endpoint-dns-record-ip-type) Pengguna VPC.* Tabel berikut menunjukkan jenis IP rekaman DNS yang didukung untuk titik akhir gateway dan antarmuka: | Jenis alamat IP | Jenis IP rekaman DNS yang didukung untuk titik akhir S3 Gateway | Jenis IP rekaman DNS yang didukung untuk titik akhir Antarmuka S3 | | --- | --- | --- | | IPv4 | IPv4, ditentukan layanan\$1 | IPv4 | | IPv6 | IPv6, ditentukan layanan\$1 | IPv6 | | Tumpukan ganda | IPv4,, Dualstack IPv6, ditentukan layanan\$1 | Dualstack\$1,,,, ditentukan layanan IPv4 IPv6 | \$1 Merupakan tipe IP catatan DNS default. Untuk mengaktifkan IPv6 konektivitas pada gateway S3 atau titik akhir antarmuka yang ada, perbarui jenis alamat IP untuk titik akhir ke. **Dualstack** Saat diperbarui, Amazon S3 secara otomatis memperbarui tabel perutean dengan IPv6 alamat untuk titik akhir gateway. Kemudian Anda dapat menggunakan endpoint layanan dualstack, seperti`s3.dualstack.us-east-2.amazonaws.com`, dan Amazon S3 akan mengembalikan keduanya `A` dan `AAAA` catatan untuk kueri DNS dualstack S3. Jika Anda ingin menggunakan IPV6 dengan titik akhir layanan regional, seperti`s3.us-east-2.amazonaws.com`, ubah jenis alamat IP untuk titik akhir menjadi**Dualstack**; dan jenis IP catatan DNS ke. **Dualstack** Kemudian Amazon S3 akan mengembalikan keduanya `A` dan `AAAA` catatan untuk kueri DNS S3 regional. **Pertimbangan-pertimbangan** Jika titik akhir gateway Anda memiliki konfigurasi default tipe alamat IP as `IPv4` dan tipe IP record DNS as`service-defined`, maka titik akhir layanan dualstack (seperti`s3.dualstack.us-east-2.amazonaws.com`), lalu lintas yang menggunakan `AAAA` catatan tidak akan dirutekan melalui titik akhir gateway. Sebaliknya, lalu lintas ini akan dijatuhkan atau dirutekan melalui jalur IPv6 yang kompatibel jika ada. Misalnya, jika virtual private cloud (VPC) Anda memiliki gateway internet, IPv6 lalu lintas Anda akan diarahkan melalui gateway internet di VPC Anda dalam skenario ini. Jika ingin memastikan lalu lintas selalu dirutekan melalui titik akhir VPC, Anda dapat menggunakan kebijakan bucket Amazon S3 yang membatasi akses ke bucket tertentu jika titik akhir VPC tertentu tidak digunakan. Untuk informasi selengkapnya, lihat [Membatasi akses ke titik akhir VPC tertentu](https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-bucket-policies-vpc-endpoint.html#example-bucket-policies-restrict-accesss-vpc-endpoint). Jika titik akhir antarmuka Anda memiliki konfigurasi default tipe alamat IP, yaitu IPv4, dan jenis IP catatan DNS sebagai IPv4, titik akhir layanan dualstack, seperti`ass3.dualstack.us-east-2.amazonaws.com`, tidak didukung. Lalu lintas yang menggunakan `A` atau `AAAA` catatan titik akhir layanan dualstack tidak akan dirutekan melalui titik akhir antarmuka. Sebaliknya, lalu lintas ini akan dijatuhkan atau diarahkan ke jalur lain yang kompatibel jika ada. Membuat atau memodifikasi titik akhir gateway dengan jenis IP catatan DNS selain yang ditentukan layanan memerlukan atribut dan `enableDnsSupport` `enableDnsHostnames` VPC disetel ke true. ## DNS privat Opsi DNS privat untuk titik akhir antarmuka VPC menyederhanakan perutean lalu lintas S3 melalui titik akhir VPC dan membantu Anda memanfaatkan jalur jaringan dengan biaya terendah yang tersedia untuk aplikasi Anda. Anda dapat menggunakan opsi DNS privat untuk merutekan lalu lintas S3 Regional tanpa memperbarui klien S3 Anda untuk menggunakan nama DNS spesifik titik akhir dari titik akhir antarmuka Anda, atau mengelola infrastruktur DNS. Dengan mengaktifkan nama DNS pribadi, kueri DNS S3 Regional menyelesaikan ke alamat IP pribadi AWS PrivateLink untuk titik akhir berikut: + Titik akhir bucket regional (misalnya, `s3.us-east-1.amazonaws.com`) + Kontrol titik akhir (misalnya, `s3-control.us-east-1.amazonaws.com`) + Titik akhir titik akses (misalnya, `s3-accesspoint.us-east-1.amazonaws.com`) Jika Anda memiliki titik akhir gateway di VPC Anda, Anda dapat secara otomatis merutekan permintaan dalam VPC melalui titik akhir gateway S3 yang ada dan on-premise melalui titik akhir antarmuka Anda. Pendekatan ini memungkinkan Anda untuk mengoptimalkan biaya jaringan Anda dengan menggunakan titik akhir gateway, yang tidak ditagih, untuk lalu lintas in-VPC Anda. Aplikasi lokal Anda dapat digunakan AWS PrivateLink dengan bantuan titik akhir Resolver masuk. Amazon menyediakan server DNS, yang disebut Resolver Route 53, untuk VPC Anda. Titik akhir Resolver masuk meneruskan kueri DNS dari jaringan on-premise ke Resolver Route 53. **penting** Untuk memanfaatkan jalur jaringan dengan biaya terendah saat menggunakan **Aktifkan DNS pribadi hanya untuk titik akhir masuk**, titik akhir gateway harus ada di VPC Anda. Kehadiran titik akhir gateway membantu memastikan bahwa lalu lintas dalam VPC selalu merutekan melalui jaringan AWS pribadi saat opsi **Aktifkan DNS pribadi hanya untuk titik akhir masuk** dipilih. Anda harus mempertahankan titik akhir gateway ini sementara Anda memiliki opsi **Aktifkan DNS pribadi hanya untuk titik akhir masuk** yang dipilih. Jika Anda ingin menghapus titik akhir gateway Anda, Anda harus terlebih dahulu menghapus **Aktifkan DNS pribadi hanya untuk titik akhir masuk**. Jika Anda ingin memperbarui titik akhir antarmuka yang ada ke **Aktifkan DNS pribadi hanya untuk titik akhir masuk**, konfirmasikan terlebih dahulu bahwa VPC Anda memiliki titik akhir gateway S3. Untuk informasi selengkapnya tentang titik akhir gateway dan mengelola nama DNS privat, lihat [Titik akhir VPC Gateway](https://docs.aws.amazon.com//vpc/latest/privatelink/vpce-gateway.html) dan [Kelola nama DNS](https://docs.aws.amazon.com//vpc/latest/privatelink/manage-dns-names.html) masing-masing di *Panduan AWS PrivateLink *. **Saat mengaktifkan **DNS Pribadi hanya untuk resolver masuk**, titik akhir gateway harus cocok dengan titik akhir antarmuka atau ditentukan layanan. `dnsRecordIpType`** Opsi **Aktifkan DNS pribadi hanya untuk titik akhir masuk** hanya tersedia untuk layanan yang mendukung titik akhir gateway. Untuk informasi selengkapnya tentang membuat titik akhir VPC yang menggunakan **Aktifkan DNS privat hanya untuk titik akhir yang masuk**, lihat [Membuat titik akhir antarmuka](https://docs.aws.amazon.com//vpc/latest/privatelink/create-interface-endpoint.html) di *Panduan AWS PrivateLink *. **Menggunakan konsol VPC** Di konsol Anda memiliki dua opsi: **Aktifkan nama DNS** dan **Aktifkan DNS pribadi hanya untuk titik akhir masuk**. **Aktifkan nama DNS** adalah opsi yang didukung oleh AWS PrivateLink. Dengan menggunakan opsi **Aktifkan nama DNS**, Anda dapat menggunakan konektivitas pribadi Amazon ke Amazon S3, sambil membuat permintaan ke nama DNS titik akhir publik default. Ketika opsi ini diaktifkan, pelanggan dapat memanfaatkan jalur jaringan biaya terendah yang tersedia untuk aplikasi mereka. Saat Anda mengaktifkan nama DNS pribadi pada titik akhir antarmuka VPC yang ada atau baru untuk Amazon S3, opsi **Aktifkan DNS pribadi hanya untuk titik akhir masuk** dipilih secara default. Jika opsi ini dipilih, aplikasi Anda hanya menggunakan titik akhir antarmuka untuk lalu lintas on-premise Anda. Lalu lintas in-VPC ini secara otomatis menggunakan titik akhir gateway berbiaya lebih rendah. Atau, Anda dapat menghapus **Aktifkan DNS pribadi hanya untuk titik akhir masuk untuk merutekan semua permintaan S3 melalui titik akhir** antarmuka Anda. **Menggunakan AWS CLI** Jika Anda tidak menentukan nilai untuk `PrivateDnsOnlyForInboundResolverEndpoint`, itu akan secara default diatur ke `true`. Namun, sebelum VPC Anda menerapkan pengaturan Anda, VPC melakukan pemeriksaan untuk memastikan bahwa Anda memiliki titik akhir gateway yang ada di VPC. Jika titik akhir gateway ada di VPC, panggilan berhasil. Jika tidak, Anda akan melihat pesan kesalahan berikut ini: Untuk disetel PrivateDnsOnlyForInboundResolverEndpoint ke true, VPC *vpce\$1id* harus memiliki titik akhir gateway untuk layanan. **Untuk titik akhir Antarmuka VPC baru** Gunakan atribut `private-dns-enabled` dan `dns-options` untuk mengaktifkan DNS pribadi melalui baris perintah. Opsi `PrivateDnsOnlyForInboundResolverEndpoint` dalam atribut `dns-options` harus diatur ke `true`. Ganti `user input placeholders` dengan informasi Anda sendiri. ``` aws ec2 create-vpc-endpoint \ --region us-east-1 \ --service-name s3-service-name \ --vpc-id client-vpc-id \ --subnet-ids client-subnet-id \ --vpc-endpoint-type Interface \ --private-dns-enabled \ --ip-address-type ip-address-type \ --dns-options PrivateDnsOnlyForInboundResolverEndpoint=true \ --security-group-ids client-sg-id ``` **Untuk titik akhir VPC yang ada** Jika Anda ingin menggunakan DNS pribadi untuk titik akhir VPC yang ada, gunakan perintah contoh berikut dan ganti dengan informasi Anda `user input placeholders` sendiri. ``` aws ec2 modify-vpc-endpoint \ --region us-east-1 \ --vpc-endpoint-id client-vpc-id \ --private-dns-enabled \ --dns-options PrivateDnsOnlyForInboundResolverEndpoint=false ``` Jika Anda ingin memperbarui titik akhir VPC yang ada untuk mengaktifkan DNS pribadi hanya untuk Inbound Resolver, gunakan contoh berikut dan ganti nilai sampel dengan milik Anda sendiri. ``` aws ec2 modify-vpc-endpoint \ --region us-east-1 \ --vpc-endpoint-id client-vpc-id \ --private-dns-enabled \ --dns-options PrivateDnsOnlyForInboundResolverEndpoint=true ``` ## Mengakses bucket, titik akses, serta operasi API Amazon S3 Control dari titik akhir antarmuka S3 Anda dapat menggunakan AWS CLI atau AWS SDKs untuk mengakses bucket, titik akses S3, dan operasi API Kontrol Amazon S3 melalui titik akhir antarmuka S3. Citra berikut menunjukkan konsol VPC tab **Detail**, di mana Anda dapat menemukan nama DNS titik akhir VPC. Dalam contoh ini, *ID titik akhir VPC (vpce-id)* adalah `vpce-0e25b8cdd720f900e` dan *Nama DNS* adalah `*.vpce-0e25b8cdd720f900e-argc85vg.s3.us-east-1.vpce.amazonaws.com`. ![\[Tab Detail di konsol VPC.\]](http://docs.aws.amazon.com/id_id/AmazonS3/latest/userguide/images/vpc-console-details-tab.png) Saat menggunakan nama DNS untuk mengakses sumber daya, ganti *\$1* dengan nilai yang sesuai. Nilai yang sesuai untuk digunakan sebagai pengganti `*` adalah sebagai berikut: + `bucket` + `accesspoint` + `control` Misalnya, untuk mengakses bucket, gunakan *nama DNS* seperti ini: `bucket.vpce-0e25b8cdd720f900e-argc85vg.s3.us-east-1.vpce.amazonaws.com` Untuk contoh cara menggunakan nama DNS untuk mengakses bucket, titik akses, dan operasi API Kontrol Amazon S3, lihat bagian berikut dari [AWS CLI contoh](#privatelink-aws-cli-examples) dan [AWS Contoh SDK](#privatelink-aws-sdk-examples). Untuk informasi selengkapnya tentang cara melihat nama DNS kustom titik akhir Anda, lihat [Melihat konfigurasi nama DNS privat layanan titik akhir](https://docs.aws.amazon.com/vpc/latest/privatelink/view-vpc-endpoint-service-dns-name.html) dalam *Panduan Pengguna VPC*. ### AWS CLI contoh Untuk mengakses bucket S3, titik akses S3, atau operasi API Kontrol Amazon S3 melalui titik akhir antarmuka S3 dalam AWS CLI perintah, gunakan dan parameter. `--region` `--endpoint-url` **Contoh: Gunakan URL titik akhir untuk daftar objek dalam bucket Anda** Pada contoh berikut, ganti nama bucket `my-bucket`, Region `us-east-1`, dan nama DNS `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` ID titik akhir VPC dengan informasi Anda sendiri. ``` aws s3 ls s3://my-bucket/ --region us-east-1 --endpoint-url https://bucket.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com ``` **Contoh: Gunakan URL titik akhir untuk membuat daftar objek dari titik akses** + **Metode 1**—Menggunakan Amazon Resource Name (ARN) dari titik akses dengan titik akhir titik akses Ganti ARN `us-east-1:123456789012:accesspoint/accesspointexamplename`, Wilayah `us-east-1`, dan ID `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` titik akhir VPC dengan informasi Anda sendiri. ``` aws s3api list-objects-v2 --bucket arn:aws:s3:us-east-1:123456789012:accesspoint/accesspointexamplename --region us-east-1 --endpoint-url https://accesspoint.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com ``` Jika Anda tidak berhasil menjalankan perintah, perbarui AWS CLI ke versi terbaru dan coba lagi. Untuk informasi selengkapnya tentang petunjuk pemutsufiks, lihat [ Menginstal atau memperbarui versi terbaru AWS CLI](https://docs.aws.amazon.com//cli/latest/userguide/getting-started-install.html#getting-started-install-instructions) dalam *AWS Command Line Interface Panduan Pengguna*. + **Metode 2**—Menggunakan alias titik akses dengan titik akhir bucket regional Dalam contoh berikut, ganti alias titik akses `accesspointexamplename-8tyekmigicmhun8n9kwpfur39dnw4use1a-s3alias`, Wilayah `us-east-1`, dan `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` ID titik akhir VPC dengan informasi Anda sendiri. ``` aws s3api list-objects-v2 --bucket accesspointexamplename-8tyekmigicmhun8n9kwpfur39dnw4use1a-s3alias --region us-east-1 --endpoint-url https://bucket.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com ``` + **Metode 3**—Menggunakan alias titik akses dengan titik akhir titik akses Pertama, untuk membuat titik akhir S3 dengan bucket yang disertakan sebagai bagian dari nama host, atur gaya pengalamatan `virtual` `aws s3api` untuk digunakan. Untuk informasi selengkapnya`AWS configure`, lihat [Pengaturan konfigurasi dan file kredensial](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-files.html) di *Panduan AWS Command Line Interface Pengguna*. ``` aws configure set default.s3.addressing_style virtual ``` Kemudian, dalam contoh berikut, ganti alias titik akses `accesspointexamplename-8tyekmigicmhun8n9kwpfur39dnw4use1a-s3alias`, Wilayah `us-east-1`, dan `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` ID titik akhir VPC dengan informasi Anda sendiri. Untuk informasi selengkapnya tentang alias titik akses, lihat[Alias titik akses](access-points-naming.md#access-points-alias). ``` aws s3api list-objects-v2 --bucket accesspointexamplename-8tyekmigicmhun8n9kwpfur39dnw4use1a-s3alias --region us-east-1 --endpoint-url https://accesspoint.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com ``` **Contoh: Gunakan URL titik akhir untuk mendaftarkan tugas dengan operasi API kontrol S3** Dalam contoh berikut, ganti Wilayah `us-east-1`, ID titik akhir VPC `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com`, dan ID akun `12345678` dengan informasi Anda sendiri. ``` aws s3control --region us-east-1 --endpoint-url https://control.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com list-jobs --account-id 12345678 ``` ### AWS Contoh SDK Untuk mengakses bucket S3, titik akses S3, atau operasi API Kontrol Amazon S3 melalui titik akhir antarmuka S3 saat menggunakan AWS SDKs, perbarui ke versi terbaru. SDKs Kemudian konfigurasikan klien Anda untuk menggunakan URL titik akhir untuk mengakses bucket, titik akses, atau operasi API Kontrol Amazon S3 melalui titik akhir antarmuka S3. ------ #### [ SDK for Python (Boto3) ] **Contoh: Gunakan URL titik akhir untuk mengakses bucket S3** Dalam contoh berikut, ganti Wilayah `us-east-1` dan ID titik akhir VPC `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` dengan informasi Anda sendiri. ``` s3_client = session.client( service_name='s3', region_name='us-east-1', endpoint_url='https://bucket.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com' ) ``` **Contoh: Gunakan URL titik akhir untuk mengakses titik akses bucket S3** Dalam contoh berikut, ganti Wilayah `us-east-1` dan ID titik akhir VPC `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` dengan informasi Anda sendiri. ``` ap_client = session.client( service_name='s3', region_name='us-east-1', endpoint_url='https://accesspoint.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com' ) ``` **Contoh: Gunakan URL titik akhir untuk mengakses API Kontrol Amazon S3** Dalam contoh berikut, ganti Wilayah `us-east-1` dan ID titik akhir VPC `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` dengan informasi Anda sendiri. ``` control_client = session.client( service_name='s3control', region_name='us-east-1', endpoint_url='https://control.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com' ) ``` ------ #### [ SDK for Java 1.x ] **Contoh: Gunakan URL titik akhir untuk mengakses bucket S3** Dalam contoh berikut, ganti titik akhir VPC `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` dengan informasi Anda sendiri. ``` // bucket client final AmazonS3 s3 = AmazonS3ClientBuilder.standard().withEndpointConfiguration( new AwsClientBuilder.EndpointConfiguration( "https://bucket.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com", Regions.DEFAULT_REGION.getName() ) ).build(); List buckets = s3.listBuckets(); ``` **Contoh: Gunakan URL titik akhir untuk mengakses titik akses bucket S3** Dalam contoh berikut, ganti ID titik akhir VPC dan `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` ARN `us-east-1:123456789012:accesspoint/prod` dengan informasi Anda sendiri. ``` // accesspoint client final AmazonS3 s3accesspoint = AmazonS3ClientBuilder.standard().withEndpointConfiguration( new AwsClientBuilder.EndpointConfiguration( "https://accesspoint.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com", Regions.DEFAULT_REGION.getName() ) ).build(); ObjectListing objects = s3accesspoint.listObjects("arn:aws:s3:us-east-1:123456789012:accesspoint/prod"); ``` **Contoh: Gunakan URL titik akhir untuk mengakses operasi API Kontrol Amazon S3** Dalam contoh berikut, ganti titik akhir VPC `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` dengan informasi Anda sendiri. ``` // control client final AWSS3Control s3control = AWSS3ControlClient.builder().withEndpointConfiguration( new AwsClientBuilder.EndpointConfiguration( "https://control.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com", Regions.DEFAULT_REGION.getName() ) ).build(); final ListJobsResult jobs = s3control.listJobs(new ListJobsRequest()); ``` ------ #### [ SDK for Java 2.x ] **Contoh: Gunakan URL titik akhir untuk mengakses bucket S3** Dalam contoh berikut, ganti ID titik akhir VPC `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` dan Wilayah `Region.US_EAST_1` dengan informasi Anda sendiri. ``` // bucket client Region region = Region.US_EAST_1; s3Client = S3Client.builder().region(region) .endpointOverride(URI.create("https://bucket.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com")) .build() ``` **Contoh: Gunakan URL titik akhir untuk mengakses titik akses bucket S3** Dalam contoh berikut, ganti ID titik akhir VPC `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` dan Wilayah `Region.US_EAST_1` dengan informasi Anda sendiri. ``` // accesspoint client Region region = Region.US_EAST_1; s3Client = S3Client.builder().region(region) .endpointOverride(URI.create("https://accesspoint.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com")) .build() ``` **Contoh: Gunakan URL titik akhir untuk mengakses API Kontrol Amazon S3** Dalam contoh berikut, ganti ID titik akhir VPC `vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com` dan Wilayah `Region.US_EAST_1` dengan informasi Anda sendiri. ``` // control client Region region = Region.US_EAST_1; s3ControlClient = S3ControlClient.builder().region(region) .endpointOverride(URI.create("https://control.vpce-1a2b3c4d-5e6f.s3.us-east-1.vpce.amazonaws.com")) .build() ``` ------ ## Memperbarui konfigurasi DNS on-premise Saat menggunakan nama DNS kustom titik akhir untuk mengakses titik akhir antarmuka untuk Amazon S3, Anda tidak perlu memperbarui penyelesai DNS on-premise Anda. Anda dapat menyelesaikan nama DNS titik akhir kustom dengan alamat IP privat titik akhir antarmuka dari domain Amazon S3 DNS publik. ### Menggunakan titik akhir antarmuka untuk mengakses Amazon S3 tanpa titik akhir gateway atau gateway internet di VPC Titik akhir antarmuka di VPC Anda dapat merutekan kedua aplikasi di VPC dan aplikasi on-premise ke Amazon S3 melalui jaringan Amazon, seperti yang digambarkan dalam diagram berikut. ![\[Diagram aliran data yang menunjukkan akses ke Amazon S3 menggunakan titik akhir antarmuka dan. AWS PrivateLink\]](http://docs.aws.amazon.com/id_id/AmazonS3/latest/userguide/images/interface-endpoints.png) Diagram ini menggambarkan hal sebagai berikut: + Jaringan lokal Anda menggunakan Direct Connect atau menyambung Site-to-Site VPN ke VPC A. + Aplikasi Anda on-premise dan di VPC A menggunakan nama DNS titik akhir kustom untuk mengakses Amazon S3 melalui titik akhir antarmuka S3. + Aplikasi lokal mengirim data ke titik akhir antarmuka di VPC melalui Direct Connect (atau). Site-to-Site VPN AWS PrivateLink memindahkan data dari titik akhir antarmuka ke Amazon S3 melalui AWS jaringan. + Aplikasi in-vPC juga mengirim lalu lintas ke titik akhir antarmuka. AWS PrivateLink memindahkan data dari titik akhir antarmuka ke Amazon S3 melalui AWS jaringan. ### Menggunakan titik akhir gateway dan antarmuka titik akhir bersama-sama dalam VPC yang sama untuk mengakses Amazon S3 Anda dapat membuat titik akhir antarmuka dan mempertahankan titik akhir gateway yang ada di VPC yang sama, seperti yang ditunjukkan diagram berikut. Dengan mengambil pendekatan ini, Anda mengizinkan aplikasi dalam VPC untuk terus mengakses Amazon S3 melalui titik akhir gateway, yang tidak ditagih. Kemudian, hanya aplikasi on-premise Anda yang akan menggunakan titik akhir antarmuka untuk mengakses Amazon S3. Untuk mengakses S3 dengan cara ini, Anda harus memperbarui aplikasi lokal Anda untuk menggunakan nama DNS kustom titik akhir untuk Amazon S3. ![\[Diagram aliran data yang menunjukkan akses ke Amazon S3 menggunakan titik akhir gateway dan titik akhir antarmuka.\]](http://docs.aws.amazon.com/id_id/AmazonS3/latest/userguide/images/interface-and-gateway-endpoints.png) Diagram ini menggambarkan hal sebagai berikut: + Aplikasi lokal menggunakan nama DNS khusus titik akhir untuk mengirim data ke titik akhir antarmuka dalam VPC melalui (atau). Direct Connect Site-to-Site VPN AWS PrivateLink memindahkan data dari titik akhir antarmuka ke Amazon S3 melalui AWS jaringan. + Menggunakan nama Amazon S3 Regional default, aplikasi in-VPC mengirim data ke titik akhir gateway yang terhubung ke Amazon S3 melalui jaringan. AWS Untuk informasi selengkapnya tentang titik akhir gateway, lihat [Gateway titik akhir VPC ](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-gateway.html)di *Panduan Pengguna VPC*. ## Membuat kebijakan titik akhir VPC untuk Amazon S3 Anda dapat melampirkan kebijakan titik akhir ke titik akhir VPC yang mengendalikan akses ke Amazon S3. Kebijakan titik akhir mencantumkan informasi berikut: + Prinsip AWS Identity and Access Management (IAM) yang dapat melakukan tindakan + Tindakan-tindakan yang dapat dilakukan + Sumber daya yang padanya tindakan dapat dilakukan Anda juga dapat menggunakan kebijakan bucket Amazon S3 untuk membatasi akses ke bucket tertentu dari titik akhir VPC tertentu menggunakan syarat `aws:sourceVpce` dalam kebijakan bucket Anda. Contoh berikut menunjukkan kebijakan yang membatasi akses ke bucket atau titik akhir. **Topics** + [Contoh: Membatasi Akses ke bucket kustom dari titik akhir VPC](#privatelink-example-restrict-access-to-bucket) + [Contoh: Membatasi akses ke bucket kustom di akun kustom dari titik akhir VPC](#privatelink-example-access-bucket-in-specific-account-only) + [Contoh: Membatasi Akses ke titik akhir VPC kustom di kebijakan bucket S3](#privatelink-example-restrict-access-to-vpc-endpoint) ### Contoh: Membatasi Akses ke bucket kustom dari titik akhir VPC Anda dapat membuat kebijakan titik akhir yang membatasi akses ke bucket S3 Amazon tertentu saja. Jenis kebijakan ini berguna jika Anda memiliki kebijakan lain Layanan AWS di VPC yang menggunakan bucket. Kebijakan bucket berikut hanya membatasi akses ke file `amzn-s3-demo-bucket1`. Untuk menggunakan kebijakan titik akhir ini, ganti `amzn-s3-demo-bucket1` dengan nama bucket Anda. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Id": "Policy1415115909151", "Statement": [ { "Sid": "Access-to-specific-bucket-only", "Principal": "*", "Action": [ "s3:GetObject", "s3:PutObject" ], "Effect": "Allow", "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket1", "arn:aws:s3:::amzn-s3-demo-bucket1/*"] } ] } ``` ------ ### Contoh: Membatasi akses ke bucket kustom di akun kustom dari titik akhir VPC Anda dapat membuat kebijakan titik akhir yang membatasi akses hanya ke bucket S3 di bucket tertentu. Akun AWS Untuk mencegah klien dalam VPC Anda mengakses bucket yang tidak Anda miliki, gunakan pernyataan berikut ini di kebijakan titik akhir Anda. Pernyataan contoh berikut membuat kebijakan yang membatasi akses ke sumber daya yang dimiliki oleh satu Akun AWS ID, *`111122223333`*. ``` { "Statement": [ { "Sid": "Access-to-bucket-in-specific-account-only", "Principal": "*", "Action": [ "s3:GetObject", "s3:PutObject" ], "Effect": "Deny", "Resource": "arn:aws:s3:::*", "Condition": { "StringNotEquals": { "aws:ResourceAccount": "111122223333" } } } ] } ``` **catatan** Untuk menentukan Akun AWS ID sumber daya yang diakses, Anda dapat menggunakan salah satu `aws:ResourceAccount` atau `s3:ResourceAccount` kunci dalam kebijakan IAM Anda. Namun, ketahuilah bahwa beberapa Layanan AWS mengandalkan akses ke bucket yang AWS dikelola. Oleh karena itu, menggunakan kunci `aws:ResourceAccount` atau `s3:ResourceAccount` dalam kebijakan IAM Anda juga dapat memengaruhi akses ke sumber daya ini. ### Contoh: Membatasi Akses ke titik akhir VPC kustom di kebijakan bucket S3 Kebijakan bucket Amazon S3 berikut memungkinkan akses ke bucket tertentu, `amzn-s3-demo-bucket2`, hanya dari titik akhir VPC `vpce-1a2b3c4d`. Kebijakan ini menolak semua akses ke bucket jika titik akhir yang ditentukan tidak digunakan. `aws:sourceVpce`Kondisi menentukan titik akhir dan tidak memerlukan Amazon Resource Name (ARN) untuk sumber daya titik akhir VPC, tetapi hanya ID titik akhir. Untuk menggunakan kebijakan bucket ini, ganti `amzn-s3-demo-bucket2` dan `vpce-1a2b3c4d` dengan nama bucket dan titik akhir Anda. **penting** Saat menerapkan kebijakan bucket Amazon S3 berikut untuk membatasi akses hanya ke titik akhir VPC tertentu, Anda dapat memblokir akses Anda ke bucket tanpa bermaksud melakukannya. Kebijakan bucket yang dimaksudkan untuk secara kustom membatasi akses bucket ke koneksi yang berasal dari titik akhir VPC Anda dapat memblokir semua koneksi ke bucket. Untuk informasi tentang cara mengatasi masalah ini, lihat [Kebijakan bucket saya memiliki ID titik akhir VPC atau VPC yang salah. Bagaimana saya dapat memperbaiki kebijakan tersebut sehingga saya dapat mengakses bucket?](https://aws.amazon.com/premiumsupport/knowledge-center/s3-regain-access/) dalam *Dukungan Pusat Pengetahuan*. Sebelum menggunakan kebijakan contoh berikut ini, ganti ID titik akhir VPC dengan nilai yang sesuai untuk kasus penggunaan Anda. Jika tidak, Anda tidak akan dapat mengakses bucket Anda. Kebijakan ini nonaktifkan akses *konsol* ke bucket tertentu, karena permintaan konsol tidak berasal dari titik akhir VPC tertentu. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Id": "Policy1415115909152", "Statement": [ { "Sid": "Access-to-specific-VPCE-only", "Principal": "*", "Action": "s3:*", "Effect": "Deny", "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket2", "arn:aws:s3:::amzn-s3-demo-bucket2/*"], "Condition": {"StringNotEquals": {"aws:sourceVpce": "vpce-1a2b3c4d"}} } ] } ``` ------ Untuk contoh kebijakan lainnya, lihat [Titik akhir untuk Amazon S3](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-s3.html#vpc-endpoints-policies-s3) di *Panduan Pengguna VPC*. Untuk informasi selengkapnya tentang konektivitas VPC, lihat opsi konektivitas di AWS whitepaper [Opsi Network-to-VPC Konektivitas](https://docs.aws.amazon.com/whitepapers/latest/aws-vpc-connectivity-options/network-to-amazon-vpc-connectivity-options.html) [Amazon Virtual Private Cloud](https://docs.aws.amazon.com/whitepapers/latest/aws-vpc-connectivity-options/welcome.html).