View a markdown version of this page

Mengkonfigurasi akses lintas akun ke Amazon Keyspaces menggunakan titik akhir VPC di VPC bersama - Amazon Keyspaces (untuk Apache Cassandra)

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengkonfigurasi akses lintas akun ke Amazon Keyspaces menggunakan titik akhir VPC di VPC bersama

Anda dapat membuat sumber daya yang berbeda Akun AWS untuk memisahkan dari aplikasi. Misalnya, Anda dapat membuat satu akun untuk tabel Amazon Keyspaces Anda, akun yang berbeda untuk aplikasi di lingkungan pengembangan, dan akun lain untuk aplikasi di lingkungan produksi. Topik ini memandu Anda melalui langkah-langkah konfigurasi yang diperlukan untuk mengatur akses lintas akun untuk Amazon Keyspaces menggunakan titik akhir VPC antarmuka di VPC bersama.

Untuk langkah-langkah terperinci cara mengonfigurasi titik akhir VPC untuk Amazon Keyspaces, lihat. Langkah 3: Buat titik akhir VPC untuk Amazon Keyspaces

Dalam contoh ini kita menggunakan tiga akun berikut dalam VPC bersama:

  • Account A:111111111111Akun ini berisi infrastruktur, termasuk titik akhir VPC, subnet VPC, dan tabel Amazon Keyspaces.

  • Account B:222222222222— Akun ini berisi aplikasi di lingkungan pengembangan yang perlu terhubung ke tabel Amazon Keyspaces diAccount A:111111111111.

  • Account C:333333333333— Akun ini berisi aplikasi di lingkungan produksi yang perlu terhubung ke tabel Amazon Keyspaces diAccount A:111111111111.

Diagram menunjukkan tiga akun berbeda yang dimiliki oleh organisasi yang sama di tempat yang sama Wilayah AWS yang menggunakan VPC bersama.

Account A:111111111111adalah akun yang berisi sumber daya (tabel Amazon Keyspaces) yang Account B:222222222222 dan Account C:333333333333 perlu diakses, begitu juga akun yang Account A:111111111111 diper caya. Account B:222222222222dan Account C:333333333333 adalah akun dengan prinsipal yang memerlukan akses ke sumber daya (tabel Amazon Keyspaces) diAccount A:111111111111, jadi Account B:222222222222 dan Account C:333333333333 merupakan akun te percaya. Akun yang dipercaya memberikan izin ke akun tepercaya dengan berbagi peran IAM. Prosedur berikut menguraikan langkah-langkah konfigurasi yang diperlukan diAccount A:111111111111.

Konfigurasi untuk Akun A:111111111111

  1. Gunakan AWS Resource Access Manager untuk membuat berbagi sumber daya untuk subnet dan berbagi subnet pribadi dengan Account B:222222222222 dan. Account C:333333333333

    Account B:222222222222dan sekarang Account C:333333333333 dapat melihat dan membuat sumber daya di subnet yang telah dibagikan dengan mereka.

  2. Buat titik akhir VPC pribadi Amazon Keyspaces yang didukung oleh. AWS PrivateLink Ini membuat beberapa titik akhir di seluruh subnet bersama dan entri DNS untuk titik akhir layanan Amazon Keyspaces.

  3. Buat ruang tombol dan tabel Amazon Keyspaces.

  4. Buat peran IAM Account A:111111111111 yang memiliki akses penuh ke tabel Amazon Keyspaces, akses baca ke tabel sistem Amazon Keyspaces, dan mampu menjelaskan sumber daya VPC Amazon EC2 seperti yang ditunjukkan pada contoh kebijakan berikut.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CrossAccountAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeVpcEndpoints",
                "cassandra:*"
            ],
            "Resource": "*"
        }
    ]
}

  5. Konfigurasikan kebijakan kepercayaan untuk peran IAM Account A:111111111111 sehingga Account B:222222222222 dan Account C:333333333333 dapat mengambil peran sebagai akun tepercaya. Seperti yang ditunjukkan dalam contoh berikut. 

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::222222222222:role/Cross-Account-Role-B",
          "arn:aws:iam::333333333333:role/Cross-Account-Role-C"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {}
    }
  ]
}

    Untuk informasi selengkapnya tentang kebijakan IAM lintas akun, lihat Cross-account kebijakan di Panduan Pengguna IAM.

Konfigurasi di Akun B:222222222222 and Akun C:333333333333

  1. Di Account B:222222222222 danAccount C:333333333333, buat peran baru dan lampirkan kebijakan berikut yang memungkinkan kepala sekolah untuk mengambil peran bersama yang dibuat diAccount A:111111111111.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ec2.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    Mengizinkan prinsipal untuk mengambil peran bersama diimplementasikan menggunakan AssumeRole API dari AWS Security Token Service (AWS STS). Untuk informasi selengkapnya, lihat Menyediakan akses ke pengguna IAM di pengguna lain Akun AWS yang Anda miliki di Panduan Pengguna IAM.

  2. Di Account B:222222222222 danAccount C:333333333333, Anda dapat membuat aplikasi yang menggunakan plugin otentikasi SIGV4, yang memungkinkan aplikasi untuk mengambil peran bersama untuk terhubung ke tabel Amazon Keyspaces yang terletak di Account A:111111111111 melalui titik akhir VPC di VPC bersama. Untuk informasi selengkapnya tentang plugin otentikasi SIGV4, lihatBuat kredensi untuk akses terprogram ke Amazon Keyspaces. Untuk informasi selengkapnya tentang cara mengonfigurasi aplikasi untuk mengambil peran di AWS akun lain, lihat Oten tikasi dan akses di Panduan Refer AWS ensi SDK dan Alat.