Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Konfigurasi sumber daya untuk sumber daya VPC
Konfigurasi sumber daya mewakili sumber daya individu, sekelompok sumber daya, atau daftar rentang CIDR yang ingin Anda buat dapat diakses oleh klien di VPC dan akun lain. Dengan menentukan konfigurasi sumber daya, Anda dapat mengizinkan konektivitas jaringan pribadi, aman, searah ke sumber daya di VPC Anda dari klien di VPC dan akun lain. Konfigurasi sumber daya dikaitkan dengan gateway sumber daya yang melaluinya menerima lalu lintas.
Daftar Isi
Jenis konfigurasi sumber daya
Konfigurasi sumber daya dapat terdiri dari beberapa jenis. Jenis yang berbeda membantu mewakili berbagai jenis sumber daya. Jenis-jenisnya adalah:
-
Konfigurasi sumber daya tunggal: Alamat IP atau nama domain. Itu dapat dibagikan secara independen.
-
Konfigurasi sumber daya grup: Kumpulan konfigurasi sumber daya anak. Itu dapat dibagikan secara independen.
-
Konfigurasi sumber daya anak: Anggota konfigurasi sumber daya Grup. Ini mewakili alamat IP atau nama domain. Itu tidak dapat dibagikan secara independen, dan hanya dapat dibagikan sebagai bagian dari grup. Itu dapat ditambahkan dan dihapus dari grup dengan mulus. Ketika ditambahkan, secara otomatis dapat diakses oleh mereka yang dapat mengakses grup.
-
Konfigurasi sumber daya ARN: Jenis sumber daya yang didukung yang disediakan oleh AWS layanan. Misalnya, database Amazon RDS. Konfigurasi sumber daya anak dikelola secara otomatis oleh AWS. Itu dapat dibagikan secara independen.
-
Konfigurasi sumber daya CIDR: Daftar rentang CIDR. Itu dapat dibagikan secara independen.
Gateway sumber daya
Konfigurasi sumber daya dikaitkan dengan gateway sumber daya. Gateway sumber daya adalah sekumpulan ENI yang berfungsi sebagai titik masuk ke VPC tempat sumber daya berada. Beberapa konfigurasi sumber daya dapat dikaitkan dengan gateway sumber daya yang sama. Ketika klien di VPC atau akun lain mengakses sumber daya di VPC Anda, sumber daya melihat lalu lintas yang datang secara lokal dari gateway sumber daya di VPC tersebut.
Nama domain khusus untuk penyedia sumber daya
Penyedia sumber daya dapat melampirkan nama domain khusus ke konfigurasi sumber daya, sepertiexample.com, yang dapat digunakan konsumen sumber daya untuk mengakses konfigurasi sumber daya. Nama domain khusus dapat dimiliki dan diverifikasi oleh penyedia sumber daya, atau dapat berupa pihak ketiga atau AWS domain. Penyedia sumber daya dapat menggunakan konfigurasi sumber daya untuk berbagi cluster cache dan klaster Kafka, TLS-based aplikasi, atau AWS sumber daya lainnya.
Pertimbangan berikut berlaku untuk penyedia konfigurasi sumber daya:
-
Konfigurasi sumber daya hanya dapat memiliki satu domain khusus.
-
Nama domain kustom dari konfigurasi sumber daya tidak dapat diubah.
-
Nama domain kustom terlihat oleh semua konsumen konfigurasi sumber daya.
-
Anda dapat memverifikasi nama domain kustom Anda menggunakan proses verifikasi nama domain di VPC Lattice. Untuk informasi selengkapnya, lihat https://docs.aws.amazon.com/vpc-lattice/latest/ug/create-and-verify.html.
-
Untuk konfigurasi sumber daya tipe grup dan anak, Anda harus terlebih dahulu menentukan domain grup pada konfigurasi sumber daya grup. Setelah itu, konfigurasi sumber daya anak dapat memiliki domain kustom yang merupakan subdomain dari domain grup. Jika grup tidak memiliki domain grup, Anda dapat menggunakan nama domain kustom apa pun untuk anak, tetapi VPC Lattice tidak akan menyediakan zona yang dihosting untuk nama domain anak di VPC konsumen sumber daya.
-
Nama domain khusus tidak didukung untuk konfigurasi sumber daya CIDR.
Nama domain khusus untuk konsumen sumber daya
Ketika konsumen sumber daya mengaktifkan konektivitas ke konfigurasi sumber daya yang memiliki nama domain khusus, mereka dapat mengizinkan VPC Lattice mengelola zona host pribadi Route 53 di VPC mereka. Konsumen sumber daya memiliki opsi terperinci untuk domain mana yang ingin mereka izinkan VPC Lattice mengelola zona pribadi yang dihosting.
Konsumen sumber daya dapat mengatur private-dns-enabled parameter saat mengaktifkan konektivitas ke konfigurasi sumber daya melalui titik akhir sumber daya, titik akhir jaringan layanan, atau asosiasi VPC jaringan layanan. Seiring dengan private-dns-enabled parameter, konsumen dapat menggunakan opsi DNS untuk menentukan domain mana yang mereka inginkan untuk VPC Lattice mengelola zona pribadi yang dihosting. Konsumen dapat memilih antara preferensi DNS pribadi berikut:
ALL_DOMAINS-
VPC Lattice menyediakan zona host pribadi untuk semua nama domain khusus.
VERIFIED_DOMAINS_ONLY-
VPC Lattice menyediakan zona pribadi yang dihosting hanya jika nama domain khusus telah diverifikasi oleh penyedia.
VERIFIED_DOMAINS_AND_SPECIFIED_DOMAINS-
VPC Lattice menyediakan zona host pribadi untuk semua nama domain kustom terverifikasi dan nama domain lain yang ditentukan oleh konsumen sumber daya. Konsumen sumber daya menentukan nama domain dalam
private DNS specified domainsparameter. SPECIFIED_DOMAINS_ONLY-
VPC Lattice menyediakan zona host pribadi untuk nama domain yang ditentukan oleh konsumen sumber daya. Konsumen sumber daya menentukan nama domain dalam
private DNS specified domainsparameter.
Saat Anda mengaktifkan DNS pribadi, VPC Lattice membuat zona pribadi yang dihosting di VPC Anda untuk nama domain kustom yang terkait dengan konfigurasi sumber daya. Secara default, preferensi DNS pribadi diatur keVERIFIED_DOMAINS_ONLY. Ini berarti bahwa zona pribadi yang dihosting dibuat hanya jika nama domain kustom telah diverifikasi oleh penyedia sumber daya. Jika Anda menyetel preferensi DNS pribadi ke ALL_DOMAINS atau SPECIFIED_DOMAINS_ONLY kemudian VPC Lattice membuat zona yang dihosting pribadi terlepas dari status verifikasi nama domain kustom. Ketika zona pribadi yang dihosting dibuat untuk domain tertentu, semua lalu lintas ke domain tersebut dari VPC Anda dialihkan melalui VPC Lattice. Kami menyarankan Anda menggunakanALL_DOMAINS,VERIFIED_DOMAINS_AND_SPECIFIED_DOMAINS, atau SPECIFIED_DOMAINS_ONLY preferensi hanya jika Anda ingin lalu lintas ke nama domain khusus ini melewati VPC Lattice.
Sebaiknya konsumen sumber daya menyetel preferensi DNS pribadi mereka keVERIFIED_DOMAINS_ONLY. Hal ini memungkinkan konsumen memperketat perimeter keamanan mereka dengan hanya mengizinkan VPC Lattice menyediakan zona yang dihosting pribadi untuk domain terverifikasi di akun konsumen sumber daya.
Untuk memilih domain di domain tertentu DNS pribadi, konsumen sumber daya dapat memasukkan nama domain yang memenuhi syarat penuh, seperti my.example.com atau menggunakan wildcard seperti*.example.com.
Pertimbangan berikut berlaku untuk konsumen konfigurasi sumber daya:
Parameter yang diaktifkan DNS pribadi tidak dapat diubah.
-
DNS pribadi harus diaktifkan pada asosiasi sumber daya jaringan layanan untuk zona host pribadi yang akan dibuat di VPC. Untuk konfigurasi sumber daya, status diaktifkan DNS pribadi dari asosiasi sumber daya jaringan layanan menggantikan status aktif DNS pribadi dari titik akhir jaringan layanan atau asosiasi VPC jaringan layanan.
Untuk konfigurasi sumber daya yang merupakan target nama domain, entri zona yang dihosting pribadi tidak dibuat jika berikut ini benar:
Gateway sumber daya berada di VPC yang sama dengan asosiasi VPC jaringan layanan VPC endpoint/service jaringan VPC.
Resolusi DNS diatur ke IN_VPC pada gateway sumber daya.
Nama domain kustom atau domain grup adalah domain tingkat yang sama atau lebih tinggi dari target nama domain.
Untuk konfigurasi sumber daya yang bertipe ARN, VPC Lattice tidak membuat entri zona yang dihosting pribadi jika berikut ini benar:
Gateway sumber daya berada di VPC yang sama dengan asosiasi VPC jaringan layanan VPC endpoint/service jaringan VPC.
Nama domain khusus untuk pemilik jaringan layanan
Properti yang diaktifkan DNS pribadi dari asosiasi sumber daya jaringan layanan menggantikan properti yang diaktifkan DNS pribadi dari titik akhir jaringan layanan dan asosiasi VPC jaringan layanan.
Jika pemilik jaringan layanan membuat asosiasi sumber daya jaringan layanan dan tidak mengaktifkan DNS pribadi, VPC Lattice tidak akan menyediakan zona host pribadi untuk konfigurasi sumber daya tersebut di VPC mana pun yang terhubung ke jaringan layanan, meskipun DNS pribadi diaktifkan pada titik akhir jaringan layanan atau asosiasi VPC jaringan layanan.
Untuk konfigurasi sumber daya tipe ARN, bendera DNS pribadi adalah benar dan tidak dapat diubah. Oleh karena itu, VPC Lattice menyediakan zona host pribadi untuk jenis sumber daya ARN terlepas dari pengaturan properti DNS pribadi dari titik akhir jaringan layanan dan asosiasi VPC jaringan layanan, kecuali ketika gateway sumber daya juga berada di VPC yang sama. Dengan kata lain, ketika VPC adalah konsumen dan penyedia untuk konfigurasi sumber daya jenis ARN, VPC Lattice melewatkan pembuatan zona yang dihosting pribadi di VPC tersebut.
Definisi sumber daya
Dalam konfigurasi sumber daya, identifikasi sumber daya dengan salah satu cara berikut:
-
Dengan Nama Sumber Daya Amazon (ARN): Jenis sumber daya yang didukung yang disediakan oleh AWS layanan dapat diidentifikasi oleh ARN mereka. Hanya database Amazon RDS yang didukung. Anda tidak dapat membuat konfigurasi sumber daya untuk cluster yang dapat diakses publik.
-
Dengan target nama domain: Anda dapat menggunakan nama domain apa pun. Jika Anda menggunakan server DNS pribadi atau domain Anda berada di zona host pribadi Route 53, maka gateway sumber daya harus memiliki resolusi DNS yang disetel ke IN_VPC. Jika nama domain Anda menunjuk ke IP yang berada di luar VPC Anda, Anda harus memiliki gateway NAT di VPC Anda. Domain-name target yang diselesaikan ke alamat IPv6 publik tidak didukung.
-
Dengan alamat IP: Untuk IPv4, tentukan IP pribadi dari rentang berikut: 10.0.0. 0/8, 100,64,0. 0/10, 172.16.0. 0/12, 192,168,0. 0/16. Untuk IPv6, tentukan IP dari VPC. IP publik tidak didukung.
-
Dengan rent ang CIDR: Untuk konfigurasi sumber daya tipe CIDR, tentukan daftar CIDR yang ingin Anda bagikan (misalnya, 10.0.0. 0/24). CIDR harus dapat dijangkau dari gateway sumber daya. Untuk menyediakan akses jaringan penuh, tentukan 0.0.0. 0/0 jika menggunakan IPv4 atau: :/0 jika menggunakan IPv6.
Protokol
Ketika Anda membuat konfigurasi sumber daya, Anda dapat menentukan protokol yang akan didukung sumber daya. Saat ini, hanya protokol TCP yang didukung.
Untuk konfigurasi sumber daya CIDR, protokol harusTCP_UDP: hanya TCP yang didukung untuk lalu lintas aplikasi, UDP hanya didukung untuk kueri DNS.
Rentang pelabuhan
Saat Anda membuat konfigurasi sumber daya, Anda dapat menentukan port yang akan menerima permintaan. Akses klien di port lain tidak akan diizinkan.
Mengakses sumber daya
Konsumen dapat mengakses konfigurasi sumber daya langsung dari VPC mereka menggunakan titik akhir VPC atau melalui jaringan layanan. Sebagai konsumen, Anda dapat mengaktifkan akses dari VPC ke konfigurasi sumber daya yang ada di akun Anda atau yang telah dibagikan dengan Anda dari akun lain melalui AWS RAM.
-
Mengakses konfigurasi sumber daya secara langsung
Anda dapat mengakses konfigurasi sumber daya secara langsung melalui titik akhir sumber daya AWS PrivateLink berbasis dan titik akhir terowongan. Anda dapat membuat titik akhir sumber daya di VPC untuk mengakses konfigurasi sumber daya tipe ARN, Single, dan Group, dan dapat membuat titik akhir terowongan untuk mengakses konfigurasi sumber daya tipe CIDR. Untuk informasi selengkapnya tentang cara membuat titik akhir sumber daya dan terowongan, lihat Meng akses sumber daya VPC dan Meng akses segmen jaringan di panduan AWS PrivateLink pengguna.
-
Mengakses konfigurasi sumber daya melalui jaringan layanan
Anda dapat mengaitkan konfigurasi sumber daya dengan jaringan layanan, dan menghubungkan VPC Anda ke jaringan layanan. Anda dapat menghubungkan VPC Anda ke jaringan layanan baik melalui asosiasi atau menggunakan titik akhir jaringan layanan AWS PrivateLink berbasis. Konfigurasi sumber daya CIDR tidak dapat dikaitkan dengan jaringan layanan.
Untuk informasi selengkapnya tentang asosiasi jaringan layanan, lihat Mengel ola asosiasi untuk jaringan layanan VPC Lattice.
Untuk informasi selengkapnya tentang titik akhir VPC jaringan layanan, lihat Akses jaringan layanan di panduan AWS PrivateLink pengguna.
Saat DNS pribadi diaktifkan untuk VPC Anda, Anda tidak dapat membuat titik akhir sumber daya dan titik akhir jaringan layanan untuk konfigurasi sumber daya yang sama.
Asosiasi dengan jenis jaringan layanan
Ketika Anda berbagi konfigurasi sumber daya dengan akun konsumen, misalnya, melalui Account-B AWS RAM, Account-B dapat mengakses konfigurasi sumber daya baik secara langsung melalui titik akhir sumber daya atau titik akhir terowongan, atau melalui jaringan layanan. Konfigurasi sumber daya CIDR tidak dapat diakses melalui jaringan layanan. Mereka hanya dapat diakses langsung melalui titik akhir terowongan.
Untuk mengakses konfigurasi sumber daya melalui jaringan layanan, Account-B harus mengaitkan konfigurasi sumber daya dengan jaringan layanan. Jaringan layanan dapat dibagikan antar akun. Jadi, Account-B dapat berbagi jaringan layanan mereka (yang terkait dengan konfigurasi sumber daya) Account-C, membuat sumber daya Anda dapat diakses dari Account-C.
Untuk mencegah berbagi transitif seperti itu, Anda dapat menentukan bahwa konfigurasi sumber daya Anda tidak dapat ditambahkan ke jaringan layanan yang dapat dibagikan antar akun. Jika Anda menentukan ini, maka Account-B tidak akan dapat menambahkan konfigurasi sumber daya Anda ke jaringan layanan yang dibagikan atau dapat dibagikan dengan akun lain di masa mendatang.
Jenis jaringan layanan
Ketika Anda berbagi konfigurasi sumber daya dengan akun lain, misalnya melalui Account-B AWS RAM, Account-B dapat mengakses sumber daya dengan salah satu dari empat cara:
-
Menggunakan titik akhir sumber daya AWS PrivateLink berbasis (untuk konfigurasi sumber daya Tunggal, Grup, dan ARN).
-
Menggunakan titik akhir terowongan AWS PrivateLink berbasis (untuk konfigurasi sumber daya CIDR).
-
Menggunakan titik akhir jaringan layanan AWS PrivateLink berbasis.
-
Menggunakan asosiasi VPC jaringan layanan.
Saat Anda menggunakan asosiasi jaringan layanan, setiap sumber daya diberi IP per subnet dari 129.224.0. 0/17 blok, yang AWS dimiliki dan tidak dapat dirutekan. Ini merupakan tambahan dari daftar awalan ter kelola yang digunakan VPC Lattice untuk merutekan lalu lintas ke layanan melalui jaringan VPC Lattice. Kedua IP ini diperbarui ke tabel rute VPC Anda.
Untuk titik akhir jaringan layanan dan asosiasi VPC jaringan layanan, konfigurasi sumber daya harus dimasukkan ke dalam Account-B jaringan layanan. Jaringan layanan dapat dibagikan antar akun. Jadi, Account-B dapat berbagi jaringan layanan mereka (yang berisi konfigurasi sumber daya) dengan Account-C, membuat sumber daya Anda dapat diakses dari Account-C. Untuk mencegah berbagi transitif seperti itu, Anda dapat melarang konfigurasi sumber daya ditambahkan ke jaringan layanan yang dapat dibagikan antar akun. Jika Anda tidak mengizinkan ini Account-B , maka tidak akan dapat menambahkan konfigurasi sumber daya Anda ke jaringan layanan yang dibagikan atau dapat dibagikan dengan akun lain.
Berbagi konfigurasi sumber daya melalui AWS RAM
Konfigurasi sumber daya terintegrasi dengan AWS Resource Access Manager. Anda dapat membagikan konfigurasi sumber daya Anda dengan akun lain melalui AWS RAM. Saat Anda berbagi konfigurasi sumber daya dengan AWS akun, klien di akun tersebut dapat mengakses sumber daya secara pribadi. Anda dapat berbagi konfigurasi sumber daya menggunakan berbagi sumber daya di AWS RAM.
Gunakan AWS RAM konsol, untuk melihat berbagi sumber daya yang telah ditambahkan, sumber daya bersama yang dapat Anda akses, dan AWS akun yang telah berbagi sumber daya dengan Anda. Untuk informasi selengkapnya, lihat Sumber daya yang dibagikan dengan Anda di Panduan AWS RAM Pengguna.
Untuk mengakses sumber daya dari VPC lain di akun yang sama dengan konfigurasi sumber daya, Anda tidak perlu membagikan konfigurasi sumber daya melalui AWS RAM.
Memantau
Anda dapat mengaktifkan log pemantauan pada konfigurasi sumber daya Anda. Anda dapat memilih tujuan untuk mengirim log.
