Cos'è Amazon VPC Lattice?

Un'unità software distribuibile in modo indipendente che svolge un'attività o una funzione specifica. Un servizio può essere eseguito su istanze EC2 o contenitori ECS o come funzioni Lambda, all'interno di un account o di un cloud privato virtuale (VPC). Un servizio VPC Lattice ha i seguenti componenti: gruppi target, ascoltatori e regole.

Una raccolta di risorse, note anche come destinazioni, che eseguono l'applicazione o il servizio. Le destinazioni possono essere istanze EC2, indirizzi IP, funzioni Lambda, Application Load Balancer o Kubernetes Pods. Questi sono simili ai gruppi target forniti da Elastic Load Balancing, ma non sono intercambiabili.

Un processo che verifica le richieste di connessione e le indirizza verso le destinazioni di un gruppo target. Si configura un listener con un protocollo e un numero di porta.

Un componente predefinito di un listener che inoltra le richieste alle destinazioni in un gruppo di target VPC Lattice. Ogni regola consiste in una priorità, una o più operazioni e una o più condizioni. Le regole determinano il modo in cui il listener indirizza le richieste dei client.

Un limite logico per un insieme di servizi. Un client è qualsiasi risorsa distribuita in un VPC associata alla rete di servizi. I client e i servizi associati alla stessa rete di servizi possono comunicare tra loro se sono autorizzati a farlo.

Nella figura seguente, i client possono comunicare con entrambi i servizi, poiché il VPC e i servizi sono associati alla stessa rete di servizi.

Un registro centrale di tutti i servizi VPC Lattice di tua proprietà o condivisi con il tuo account tramite AWS Resource Access Manager ().AWS RAM

Politiche di autorizzazione granulari che possono essere utilizzate per definire l'accesso ai servizi. È possibile allegare politiche di autenticazione separate ai singoli servizi o alla rete di servizi. Ad esempio, puoi creare una policy che stabilisca come un servizio di pagamento in esecuzione su un gruppo di istanze EC2 con scalabilità automatica debba interagire con un servizio di fatturazione in esecuzione. AWS Lambda

Tutti i client e i servizi in VPC associati alla rete di servizi possono comunicare con altri servizi all'interno della stessa rete di servizi. Indirizzi client-to-service e service-to-service traffico DNS attraverso l'endpoint VPC Lattice. Quando un client desidera inviare una richiesta a un servizio, utilizza il nome DNS del servizio. Il Route 53 Resolver invia il traffico a VPC Lattice, che quindi identifica il servizio di destinazione.

La lient-to-service connettività C viene stabilita utilizzando il piano dati VPC Lattice all'interno dell' AWS infrastruttura di rete. Quando associ un VPC alla rete di servizi, qualsiasi client all'interno del VPC può connettersi ai servizi della rete di servizio, se dispone dell'accesso richiesto.

VPC Lattice genera metriche e log per ogni richiesta e risposta che attraversa la rete di servizi, per aiutarti a monitorare e risolvere i problemi delle applicazioni. Per impostazione predefinita, VPC Lattice pubblica le metriche nell'account del proprietario del servizio e offre la possibilità di attivare la registrazione. Se i client sono associati anche alla stessa rete di servizi, il proprietario della rete di servizi riceve i registri per tutti i servizi associati alla rete di servizi. Il proprietario del servizio riceve i registri di tutti i client che effettuano richieste al proprio servizio.

VPC Lattice funziona con i seguenti strumenti per aiutarti a monitorare e risolvere i problemi dei tuoi servizi: CloudWatch gruppi di log, flussi di distribuzione Firehose e bucket S3.

VPC Lattice fornisce un framework che puoi utilizzare per implementare una strategia di difesa su più livelli della rete. Il primo livello è l'associazione tra servizio e VPC. Senza un VPC e un'associazione di servizi, i clienti non possono accedere al servizio. Il secondo livello consente agli utenti di collegare gruppi di sicurezza all'associazione tra il VPC e la rete di servizi. Il terzo e il quarto livello sono politiche di autenticazione che possono essere applicate singolarmente a livello di rete di servizio e a livello di servizio.