Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Akses Amazon OpenSearch Tanpa Server menggunakan titik akhir antarmuka ()AWS PrivateLink

Anda dapat menggunakan AWS PrivateLink untuk membuat koneksi pribadi antara Anda VPC dan Amazon Tanpa OpenSearch Server. Anda dapat mengakses OpenSearch Tanpa Server seolah-olah itu ada di AndaVPC, tanpa menggunakan gateway internet, NAT perangkat, VPN koneksi, atau AWS Direct Connect koneksi. Instans di Anda VPC tidak memerlukan alamat IP publik untuk mengakses Tanpa OpenSearch Server. Untuk informasi selengkapnya tentang akses VPC jaringan, lihat Pola konektivitas jaringan untuk Amazon Tanpa OpenSearch Server.

Anda membuat koneksi pribadi ini dengan membuat titik akhir antarmuka, yang didukung oleh AWS PrivateLink. Kami membuat antarmuka jaringan endpoint di setiap subnet yang Anda tentukan untuk titik akhir antarmuka. Ini adalah antarmuka jaringan yang dikelola pemohon yang berfungsi sebagai titik masuk untuk lalu lintas yang ditujukan untuk Tanpa Server. OpenSearch

Untuk informasi selengkapnya, lihat Mengakses Layanan AWS melalui AWS PrivateLink di Panduan AWS PrivateLink .

DNSresolusi titik akhir koleksi

Saat Anda membuat VPC titik akhir, layanan akan membuat zona host Amazon Route 53 pribadi baru dan melampirkannya ke. VPC Zona host pribadi ini terdiri dari catatan untuk menyelesaikan DNS catatan wildcard untuk koleksi OpenSearch Tanpa Server (*.aoss.us-east-1.amazonaws.com) ke alamat antarmuka yang digunakan untuk titik akhir. Anda hanya memerlukan satu VPC titik akhir OpenSearch Tanpa Server di a VPC untuk mengakses setiap dan semua koleksi dan Dasbor di masing-masing. Wilayah AWS Setiap VPC dengan titik akhir untuk OpenSearch Tanpa Server memiliki zona host pribadinya sendiri yang terpasang.

OpenSearch Tanpa server juga membuat DNS catatan wildcard Route 53 publik untuk semua koleksi di Wilayah. DNSNama diselesaikan ke alamat IP publik OpenSearch Tanpa Server. Klien VPCs yang tidak memiliki VPC titik akhir OpenSearch Tanpa Server atau klien di jaringan publik dapat menggunakan resolver Route 53 publik dan mengakses koleksi dan Dasbor dengan alamat IP tersebut. Jenis alamat IP (IPv4,IPv6, atau Dualstack) dari VPC titik akhir ditentukan berdasarkan subnet yang disediakan saat Anda Membuat titik akhir antarmuka untuk Tanpa Server. OpenSearch

Alamat DNS resolver untuk yang diberikan VPC adalah alamat IP kedua dari. VPC CIDR Setiap klien yang VPC perlu menggunakan resolver itu untuk mendapatkan alamat VPC titik akhir untuk koleksi apa pun. Penyelesai menggunakan zona host pribadi yang dibuat oleh OpenSearch Tanpa Server. Cukup menggunakan resolver itu untuk semua koleksi di akun apa pun. Dimungkinkan juga untuk menggunakan VPC resolver untuk beberapa titik akhir koleksi dan resolver publik untuk yang lain, meskipun biasanya tidak diperlukan.

VPCsdan kebijakan akses jaringan

Untuk memberikan izin jaringan OpenSearch APIs dan Dasbor untuk koleksi Anda, Anda dapat menggunakan kebijakan akses jaringan OpenSearch Tanpa Server. Anda dapat mengontrol akses jaringan ini baik dari VPC titik akhir Anda atau internet publik. Karena kebijakan jaringan Anda hanya mengontrol izin lalu lintas, Anda juga harus menyiapkan kebijakan akses data yang menentukan izin untuk beroperasi pada data dalam koleksi dan indeksnya. Pikirkan VPC titik akhir OpenSearch Tanpa Server sebagai titik akses ke layanan, kebijakan akses jaringan sebagai titik akses tingkat jaringan ke koleksi dan Dasbor, dan kebijakan akses data sebagai titik akses untuk kontrol akses berbutir halus untuk operasi apa pun pada data dalam pengumpulan.

Karena Anda dapat menentukan beberapa VPC titik akhir IDs dalam kebijakan jaringan, sebaiknya Anda membuat VPC titik akhir untuk setiap VPC yang perlu mengakses koleksi. Ini VPCs dapat dimiliki oleh AWS akun yang berbeda dari akun yang memiliki koleksi OpenSearch Tanpa Server dan kebijakan jaringan. Kami tidak menyarankan Anda membuat VPC-to-VPC peering atau solusi proksi lainnya antara dua akun sehingga satu akun VPC dapat menggunakan titik akhir akun lain. VPC Ini kurang aman dan hemat biaya daripada masing-masing VPC memiliki titik akhir sendiri. Yang pertama tidak VPC akan mudah terlihat oleh admin VPC orang lain, yang telah mengatur akses ke titik akhir VPC itu dalam kebijakan jaringan.

VPCsdan kebijakan endpoint

Amazon OpenSearch Serverless mendukung kebijakan titik akhir untuk. VPCs Kebijakan endpoint adalah kebijakan IAM berbasis sumber daya yang Anda lampirkan ke titik akhir untuk mengontrol AWS prinsipal mana yang dapat menggunakan VPC titik akhir untuk mengakses layanan Anda. AWS Untuk informasi selengkapnya, lihat Mengontrol akses ke VPC titik akhir menggunakan kebijakan titik akhir.

Untuk menggunakan kebijakan endpoint, Anda harus terlebih dahulu membuat endpoint antarmuka. Anda dapat membuat titik akhir antarmuka menggunakan konsol OpenSearch Tanpa Server atau Tanpa Server. OpenSearch API Setelah membuat titik akhir antarmuka, Anda perlu menambahkan kebijakan titik akhir ke titik akhir. Untuk informasi selengkapnya, lihat Mengakses Amazon OpenSearch Tanpa Server menggunakan titik akhir antarmuka ().AWS PrivateLink

Kebijakan endpoint tidak mengesampingkan atau mengganti kebijakan berbasis identitas lainnya, kebijakan berbasis sumber daya, kebijakan jaringan, atau kebijakan akses data yang mungkin telah Anda konfigurasikan. Untuk informasi selengkapnya tentang memperbarui kebijakan titik akhir, lihat Mengontrol akses ke VPC titik akhir menggunakan kebijakan titik akhir.

Secara default, kebijakan titik akhir memberikan akses penuh ke titik akhir AndaVPC.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Meskipun kebijakan VPC titik akhir default memberikan akses titik akhir penuh, Anda dapat mengonfigurasi kebijakan VPC titik akhir untuk mengizinkan akses ke peran dan pengguna tertentu. Untuk melakukan ini, lihat contoh berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "123456789012",
                    "987654321098"
                ]
            },
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Anda dapat menentukan koleksi OpenSearch Tanpa Server yang akan disertakan sebagai elemen bersyarat dalam kebijakan titik akhir AndaVPC. Untuk melakukan ini, lihat contoh berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aoss:collection": [
                        "coll-abc"
                    ]
                }
            }
        }
    ]
}

Support aoss:CollectionId untuk didukung.

Condition": {
         "StringEquals": {
               "aoss:CollectionId": "collection-id"
          }
}

Anda dapat menggunakan SAML identitas dalam kebijakan VPC titik akhir untuk menentukan akses titik VPC akhir. Anda harus menggunakan wildcard (*) di bagian utama kebijakan VPC endpoint Anda. Untuk melakukan ini, lihat contoh berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:SamlGroups": [
                        "saml/123456789012/idp123/group/football",
                        "saml/123456789012/idp123/group/soccer",
                        "saml/123456789012/idp123/group/cricket"
                    ]
                }
            }
        }
    ]
}

Selain itu, Anda dapat mengonfigurasi kebijakan titik akhir Anda untuk menyertakan kebijakan SAML utama tertentu. Untuk melakukan ini, lihat yang berikut ini:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aoss:SamlPrincipal": [
                        "saml/123456789012/idp123/user/user1234"]
                    }
                }
            }
        ]
    }

Untuk informasi selengkapnya tentang menggunakan SAML otentikasi dengan Amazon OpenSearch Tanpa Server, lihat SAMLautentikasi untuk Amazon Tanpa Server. OpenSearch

Anda juga dapat menyertakan IAM dan SAML pengguna dalam kebijakan VPC endpoint yang sama. Untuk melakukan ini, lihat contoh berikut:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aoss:SamlGroups": [
                        "saml/123456789012/idp123/group/football",
                        "saml/123456789012/idp123/group/soccer",
                        "saml/123456789012/idp123/group/cricket"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "123456789012"
                ]
            },
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Pertimbangan

Sebelum Anda menyiapkan titik akhir antarmuka untuk OpenSearch Tanpa Server, pertimbangkan hal berikut:

Izin diperlukan

VPCakses untuk OpenSearch Tanpa Server menggunakan izin AWS Identity and Access Management (IAM) berikut. Anda dapat menentukan IAM kondisi untuk membatasi pengguna ke koleksi tertentu.

Selain itu, Anda memerlukan izin Amazon EC2 dan Route 53 berikut untuk membuat titik VPC akhir.

Buat titik akhir antarmuka untuk Tanpa Server OpenSearch

Anda dapat membuat titik akhir antarmuka untuk OpenSearch Tanpa Server menggunakan konsol atau Tanpa Server. OpenSearch API

Untuk membuat VPC endpoint menggunakan OpenSearch ServerlessAPI, gunakan perintah. CreateVpcEndpoint

Langkah selanjutnya: Berikan akses endpoint ke koleksi

Setelah membuat titik akhir antarmuka, Anda harus menyediakannya akses ke koleksi melalui kebijakan akses jaringan. Untuk informasi selengkapnya, lihat Akses jaringan untuk Amazon Tanpa OpenSearch Server.