Endpoint VPC per S3 Vectors

Per accedere a S3 Vectors dal tuo cloud privato virtuale (VPC), Amazon S3 supporta gli endpoint VPC di interfaccia utilizzando (). AWS PrivateLink PrivateLink PrivateLink fornisce una connettività privata tra VPC e S3 Vector senza richiedere un gateway Internet o un dispositivo NAT. Gli endpoint di interfaccia sono rappresentati da una o più interfacce di rete elastiche (ENI) a cui vengono assegnati indirizzi IP privati dalle sottoreti del VPC. Le richieste ai vettori S3 tramite gli endpoint di interfaccia rimangono sulla rete. AWS

Puoi anche accedere agli endpoint di interfaccia nel tuo VPC da applicazioni locali tramite AWS Direct Connect la nostra rete privata AWS virtuale (VPN).AWS Per ulteriori informazioni su come connettere il VPC alla rete locale, consulta la Guida per l'utente e la Guida per l'AWS Direct Connect utente della VPN. AWS Site-to-Site Per informazioni generali sugli endpoint di interfaccia, consulta Accedere a un AWS servizio utilizzando un endpoint VPC di interfaccia nella Guida. AWS PrivateLink

Vantaggi dell'utilizzo con PrivateLink S3 Vectors

L'utilizzo PrivateLink con S3 Vectors offre diversi vantaggi operativi e di sicurezza:

Nomi e risoluzione DNS degli endpoint VPC

Quando si crea un endpoint VPC, S3 Vectors genera due tipi di nomi DNS specifici degli endpoint: regionali e zonali.

I nomi DNS regionali e zonali degli endpoint VPC di interfaccia per S3 Vectors sono i seguenti:

Puoi anche utilizzare il nome DNS dell'endpoint pubblico s3vectors.region.api.aws come nome DNS privato del servizio endpoint se hai abilitato il DNS privato per l'endpoint VPC.

Indirizzamento IP per gli endpoint di interfaccia

Gli endpoint DNS regionali, zonali e privati di S3 Vector supportano i tipi di IP IPv4, IPv6 e dualstack per. AWS PrivateLink Per ulteriori informazioni, consulta Tipi di indirizzo IP e tipo IP di record DNS per i servizi nella Guida. AWS AWS PrivateLink

Di seguito sono riportate alcune cose che dovresti sapere prima di provare ad accedere agli indici vettoriali e ai bucket vettoriali di S3 Vectors tramite IPv6 nel tuo VPC:

Creazione di un endpoint di interfaccia VPC per S3 Vectors

È possibile creare un endpoint di interfaccia VPC per S3 Vectors utilizzando la console VPC, la CLI, gli SDK o l'API. AWS AWS AWS

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-12345678 \
    --service-name com.amazonaws.region.s3vectors \
    --vpc-endpoint-type Interface \
    --subnet-ids subnet-12345678 subnet-87654321 \
    --security-group-ids sg-12345678 \
    --ip-address-type dualstack \
    --private-dns-enabled

Per ulteriori informazioni sulla creazione di endpoint VPC, consulta Create a VPC endpoint nella VPC User Guide.

Policy sugli endpoint VPC per S3 Vectors

Analogamente alle policy basate sulle risorse, puoi allegare una policy sugli endpoint al tuo endpoint VPC per controllare l'accesso agli indici vettoriali e ai bucket vettoriali. Per ulteriori informazioni sulle politiche degli endpoint, consulta Controllare l'accesso agli endpoint VPC utilizzando le politiche degli endpoint nella Guida. AWS PrivateLink

Esempi di politiche per gli endpoint VPC

Il seguente esempio di policy sugli endpoint VPC consente l'accesso a tutte le operazioni di S3 Vectors per tutti i principali:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:*"
      ],
      "Resource": "*"
    }
  ]
}

Il seguente esempio di policy sugli endpoint VPC limita l'accesso a un bucket vettoriale specifico:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:GetVectorBucket",
        "s3vectors:ListIndexes",
        "s3vectors:GetIndex",
        "s3vectors:QueryVectors",
        "s3vectors:GetVectors"
      ],
      "Resource": [
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket/*"
      ]
    }
  ]
}

Il seguente esempio di policy sugli endpoint VPC consente l'accesso solo durante l'orario lavorativo utilizzando la chiave di condizione: aws:CurrentTime

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3vectors:*",
      "Resource": "*",
      "Condition": {
        "DateGreaterThan": {
          "aws:CurrentTime": "08:00Z"
        },
        "DateLessThan": {
          "aws:CurrentTime": "18:00Z"
        }
      }
    }
  ]
}

Configurazione dei client S3 Vectors per gli endpoint VPC

Quando si utilizzano endpoint VPC con S3 Vectors, è possibile configurare i client S3 Vectors in modo che utilizzino il nome DNS del servizio o il nome DNS dell'endpoint VPC.

Risoluzione dei problemi relativi agli endpoint VPC

Se riscontri problemi con il tuo endpoint VPC di interfaccia, considera i seguenti passaggi per la risoluzione dei problemi:

Monitoraggio dell'utilizzo degli endpoint VPC

Puoi monitorare l'utilizzo degli endpoint VPC di S3 Vectors tramite i registri degli eventi. CloudTrail NetworkActivity

Per ulteriori informazioni sulla registrazione di S3 Vectors, vedere. Registrazione con AWS CloudTrail per i vettori S3