Utilizzo di Amazon Data Firehose con AWS PrivateLink

Accedi AWS Management Console e apri la console Amazon VPC all'indirizzo https://console.aws.amazon.com/vpc/.

Nel Pannello di controllo VPC scegliere Endpoint.

Scegliere Create Endpoint (Crea endpoint).

Nell'elenco dei nomi dei servizi scegliere com.amazonaws.your_region.kinesis-firehose.

Scegliere il VPC e una o più sottoreti in cui creare l'endpoint.

Scegliere uno o più gruppi di sicurezza da associare all'endpoint.

Per Policy, scegliere Personalizza e incollare la seguente policy:

{
    "Statement": [
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:ListDeliveryStreams"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:DescribeDeliveryStream"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}

Seleziona Crea endpoint.

Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

Nel pannello di navigazione sinistro scegli Ruoli, quindi Crea ruolo.

Per Seleziona il tipo di entità attendibile, lasci il valore predefinito Servizio AWS .

In Choose the service that will use this role (Scegli il servizio che utilizzerà questo ruolo), seleziona Lambda.

Seleziona Next: Permissions (Successivo: Autorizzazioni).

Nell'elenco delle policy, cercare e aggiungere le due policy denominate AWS LambdaVPCAccessExecutionRole e AmazonDataFirehoseReadOnlyAccess.

Scegli Successivo: Tag. Non è necessario aggiungere tag ai fini di questo esercizio. Scegli Prossimo: Rivedi.

Immetti un nome del ruolo, quindi scegli Crea ruolo.

Apri la AWS Lambda console all'indirizzo https://console.aws.amazon.com/lambda/.

Selezionare Create function (Crea funzione).

Scegli Author from scratch (Crea da zero).

Immettete un nome per la funzione, quindi impostate Runtime su Python 3.9 o superiore.

In Autorizzazioni, espandere Scegli o crea un ruolo di esecuzione.

Nell'elenco Ruolo di esecuzione scegliere Utilizza un ruolo esistente.

Nell'elenco Ruolo esistente scegliere il ruolo creato in precedenza.

Scegli Crea funzione.

In Codice della funzione, incollare il seguente codice.

    import json
    import boto3
    import os
    from botocore.exceptions import ClientError
     
    def lambda_handler(event, context):
        REGION = os.environ['AWS_REGION']
        client = boto3.client(
            'firehose',
            REGION
            
        )
        print("Calling list_delivery_streams with ListDeliveryStreams allowed policy.")
        delivery_stream_request = client.list_delivery_streams()
        print("Successfully returned list_delivery_streams request %s." % (
            delivery_stream_request
        ))
        describe_access_denied = False
        try:
            print("Calling describe_delivery_stream with DescribeDeliveryStream denied policy.")
            delivery_stream_info = client.describe_delivery_stream(DeliveryStreamName='test-describe-denied')
        except ClientError as e:
            error_code = e.response['Error']['Code']
            print ("Caught %s." % (error_code))
            if error_code == 'AccessDeniedException':
                describe_access_denied = True
        
        if not describe_access_denied:
            raise
        else:
            print("Access denied test succeeded.")

In Impostazioni di base, impostare il timeout su 1 minuto.

In Rete, scegliere il VPC in cui è stato creato l'endpoint in precedenza, quindi scegliere le sottoreti e il gruppo di sicurezza che è stato associato all'endpoint quando è stato creato.

Nella parte superiore della pagina, scegli Salva.

Scegli Test (Esegui test).

Immetti il nome di un evento e scegli Crea.

Scegliere Test di nuovo. In tal modo si avvia l'esecuzione della funzione. Quando viene visualizzato il risultato dell'esecuzione, espandere Dettagli e confrontare l'output del log con il codice della funzione. I risultati positivi mostrano un elenco degli stream Firehose nella regione, oltre al seguente output:

Calling describe_delivery_stream.

AccessDeniedException

Access denied test succeeded.