AWS PrivateLink per DynamoDB

Con AWS PrivateLink for DynamoDB, puoi effettuare il provisioning degli endpoint Amazon VPC di interfaccia (endpoint di interfaccia) nel tuo cloud privato virtuale (Amazon VPC). Questi endpoint sono accessibili direttamente dalle applicazioni locali tramite VPN e/o in un altro modo Regione AWS tramite il peering Amazon VPC. AWS Direct Connect Utilizzando AWS PrivateLink e interfacciando gli endpoint, puoi semplificare la connettività di rete privata dalle tue applicazioni a DynamoDB.

Le applicazioni nel tuo VPC non necessitano di indirizzi IP pubblici per comunicare con gli endpoint VPC dell'interfaccia DynamoDB per le operazioni DynamoDB. Gli endpoint dell'interfaccia sono rappresentati da una o più interfacce di rete elastiche (ENIs) a cui vengono assegnati indirizzi IP privati dalle sottoreti del tuo Amazon VPC. Le richieste a DynamoDB tramite endpoint di interfaccia rimangono sulla rete Amazon. Puoi anche accedere agli endpoint di interfaccia nel tuo Amazon VPC da applicazioni locali AWS Direct Connect tramite AWS Virtual Private Network o ().AWS VPNPer ulteriori informazioni su come connettere Amazon VPC alla rete locale, consulta la Guida per l'utente e la Guida per AWS Direct Connect l'utente.AWS Site-to-Site VPN

Per informazioni generali sugli endpoint di interfaccia, consulta Interface Amazon VPC endpoints AWS PrivateLink() nella Guida.AWS PrivateLink

Tipi di endpoint Amazon VPC per Amazon DynamoDB

Puoi utilizzare due tipi di endpoint Amazon VPC per accedere ad Amazon DynamoDB: endpoint gateway ed endpoint di interfaccia (utilizzando). AWS PrivateLink Un endpoint gateway è un gateway specificato nella tabella di routing per accedere a DynamoDB dal tuo Amazon VPC attraverso la rete. AWS Gli endpoint di interfaccia estendono la funzionalità degli endpoint gateway utilizzando indirizzi IP privati per instradare le richieste a DynamoDB dall'interno del tuo Amazon VPC, in locale o da un Amazon VPC in un altro tramite il peering Amazon VPC o. Regione AWS AWS Transit Gateway Per ulteriori informazioni, consulta Cos'è il peering di Amazon VPC? e il peering Transit Gateway e Amazon VPC.

Gli endpoint di interfaccia sono compatibili con gli endpoint gateway. Se disponi di un endpoint gateway esistente in Amazon VPC, puoi utilizzare entrambi i tipi di endpoint nello stesso Amazon VPC.

Per ulteriori informazioni sugli endpoint gateway, consulta gli endpoint Gateway Amazon VPC nella Guida.AWS PrivateLink

Considerazioni sull'utilizzo AWS PrivateLink per Amazon DynamoDB

Le considerazioni relative ad Amazon VPC si applicano ad Amazon AWS PrivateLink DynamoDB. Per ulteriori informazioni, consulta Considerazioni di un endpoint di interfaccia e Quote di AWS PrivateLink nella Guida di AWS PrivateLink . Inoltre, si applicano le limitazioni seguenti:

AWS PrivateLink per Amazon DynamoDB non supporta quanto segue:

AWS PrivateLink attualmente non è supportato per gli Amazon DynamoDB Streams endpoint.

Puoi inviare fino a 50.000 richieste al secondo per ogni AWS PrivateLink endpoint abilitato.

Creazione di un endpoint Amazon VPC

Per creare un endpoint di interfaccia Amazon VPC, consulta Creare un endpoint Amazon VPC nella Guida.AWS PrivateLink

Accesso agli endpoint dell'interfaccia Amazon DynamoDB

Quando si crea un endpoint di interfaccia, DynamoDB genera due tipi di nomi DNS DynamoDB specifici dell'endpoint: regionali e zonali.

I nomi DNS DynamoDB specifici dell'endpoint possono essere risolti dal dominio DNS pubblico DynamoDB.

Accesso alle tabelle DynamoDB e controllo delle operazioni delle API dagli endpoint dell'interfaccia DynamoDB

È possibile utilizzare AWS CLI o AWS SDKs per accedere alle tabelle DynamoDB e controllare le operazioni delle API tramite gli endpoint dell'interfaccia DynamoDB.

AWS CLI esempi

Per accedere alle tabelle DynamoDB o alle operazioni dell'API di controllo DynamoDB tramite gli endpoint dell'interfaccia DynamoDB nei comandi, utilizza i parametri and. AWS CLI --region --endpoint-url

Esempio: creazione di un endpoint VPC

aws ec2 create-vpc-endpoint \
--region us-east-1 \
----service-name dynamodb \
--vpc-id client-vpc-id \
--subnet-ids client-subnet-id \
--vpc-endpoint-type Interface \
--security-group-ids client-sg-id

Esempio: modifica di un endpoint VPC

aws ec2 modify-vpc-endpoint \
--region us-east-1 \
--vpc-endpoint-id client-vpc-endpoint-id \
--policy-document policy-document \ #example optional parameter
--add-security-group-ids security-group-ids \ #example optional parameter 
# any additional parameters needed, see Privatelink documentation for more details 

Esempio: elenca le tabelle utilizzando un URL di endpoint

Nell'esempio seguente, sostituisci la regione us-east-1 e il nome DNS dell'vpce-1a2b3c4d-5e6f---dynamodb---us-east-1---vpce.amazonaws.com.rproxy.goskope.comID dell'endpoint VPC con le tue informazioni.

aws dynamodb --region us-east-1 —endpoint https://vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com list-tables

AWS Esempi SDK

Per accedere alle tabelle DynamoDB o alle operazioni dell'API di controllo DynamoDB tramite gli endpoint dell'interfaccia DynamoDB quando si utilizza DynamoDB, è necessario aggiornare la versione alla versione più recente. AWS SDKs SDKs Quindi, configura i tuoi client in modo che utilizzino un URL di endpoint per accedere a una tabella o a un'operazione dell'API di controllo DynamoDB tramite gli endpoint dell'interfaccia DynamoDB.

ddb_client = session.client(
service_name='dynamodb',
region_name='us-east-1',
endpoint_url='https://vpce-1a2b3c4d-5e6f.dynamodb.us-east-1.vpce.amazonaws.com'
)

Aggiornamento di una configurazione DNS locale

Quando si utilizzano nomi DNS specifici dell'endpoint per accedere agli endpoint dell'interfaccia per DynamoDB, non è necessario aggiornare il resolver DNS locale. È possibile risolvere il nome DNS specifico dell'endpoint con l'indirizzo IP privato dell'endpoint di interfaccia dal dominio DNS pubblico DynamoDB.

Utilizzo degli endpoint di interfaccia per accedere a DynamoDB senza un endpoint gateway o un gateway Internet in Amazon VPC

Gli endpoint di interfaccia nel tuo Amazon VPC possono instradare sia applicazioni interne ad Amazon VPC che applicazioni locali verso DynamoDB tramite la rete Amazon, come illustrato nel diagramma seguente.

Il diagramma illustra quanto segue:

Utilizzo congiunto degli endpoint gateway e degli endpoint di interfaccia nello stesso Amazon VPC per accedere a DynamoDB

È possibile creare endpoint di interfaccia e conservare l'endpoint gateway esistente nello stesso Amazon VPC, come illustrato nel diagramma seguente. Adottando questo approccio, consenti alle applicazioni VPC interne ad Amazon di continuare ad accedere a DynamoDB tramite l'endpoint gateway, senza fatturazione. Quindi, solo le applicazioni locali utilizzeranno gli endpoint di interfaccia per accedere a DynamoDB. Per accedere a DynamoDB in questo modo, è necessario aggiornare le applicazioni locali per utilizzare nomi DNS specifici dell'endpoint per DynamoDB.

Il diagramma illustra quanto segue:

Per ulteriori informazioni sugli endpoint gateway, consulta gli endpoint Gateway Amazon VPC nella Amazon VPC User Guide.

Creazione di una policy di endpoint Amazon VPC per DynamoDB

Puoi allegare una policy per gli endpoint al tuo endpoint Amazon VPC che controlla l'accesso a DynamoDB. Questa policy specifica le informazioni riportate di seguito:

Esempio: limitazione dell'accesso a una tabella specifica da un endpoint Amazon VPC

È possibile creare una policy per gli endpoint che limiti l'accesso solo a tabelle DynamoDB specifiche. Questo tipo di policy è utile se Servizi AWS nel tuo Amazon VPC ne hai altre che utilizzano tabelle. La politica della tabella seguente limita l'accesso solo a. DOC-EXAMPLE-TABLE Per utilizzare questa policy per gli endpoint, DOC-EXAMPLE-TABLE sostituiscila con il nome della tabella.

{
"Version": "2012-10-17",
  "Id": "Policy1216114807515",
  "Statement": [
    { "Sid": "Access-to-specific-table-only",
      "Principal": "*",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem"
      ],
      "Effect": "Allow",
      "Resource": ["arn:aws:dynamodb:::DOC-EXAMPLE-TABLE",
                   "arn:aws:dynamodb:::DOC-EXAMPLE-TABLE/*"]
    }
  ]
}