での Amazon Data Firehose の使用 AWS PrivateLink

にサインイン AWS Management Console し、https://console.aws.amazon.com/vpc/ で Amazon VPC コンソールを開きます。

VPC ダッシュボードで、[エンドポイント] を選択します。

[エンドポイントの作成] を選択します。

サービス名のリストで、[com.amazonaws.your_region.kinesis-firehose] を選択します。

エンドポイントを作成する VPC および 1 つ以上のサブネットを選択します。

エンドポイントに関連付ける 1 つ以上のセキュリティグループを選択します。

[ポリシー] で [カスタム] を選択し、次のポリシーを貼り付けます。

{
    "Statement": [
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:ListDeliveryStreams"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:DescribeDeliveryStream"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}

[エンドポイントの作成] を選択します。

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

左側のペインから、[Roles (ロール)] を選択してから、[Create role (ロールの作成)] をクリックします。

[Select type of trusted entity (信頼されたエンティティのタイプの選択)] で、デフォルトの選択である [AWS のサービス] をそのままにします。

[このロールを使用するサービスを選択] の下で、[Lambda] を選択します。

[Next: Permissions (次へ: アクセス許可)] を選択します。

ポリシーのリストで、AWS LambdaVPCAccessExecutionRole および AmazonDataFirehoseReadOnlyAccess という名前の 2 つのポリシーを探して追加します。

[Next: Tags] (次へ: タグ) を選択します。この演習の目的を達成するにはタグは不要です。[次へ: レビュー] を選択します。

ロールの名前を入力し、[ロールの作成] を選択します。

https://console.aws.amazon.com/lambda/ で AWS Lambda コンソールを開きます。

関数の作成 を選択します。

Author from scratch（製作者を最初から） を選択します。

関数の名前を入力し、Runtime を Python 3.9 以上に設定します。

[Permissions (アクセス許可)] で、[実行ロールの選択または作成] を選択します。

[実行ロール] リストから [既存のロールを使用する] を選択します。

[既存のロール] リストで、上記で作成したロールを選択します。

関数を作成 を選択します。

[関数コード] に次のコードを貼り付けます。

    import json
    import boto3
    import os
    from botocore.exceptions import ClientError
     
    def lambda_handler(event, context):
        REGION = os.environ['AWS_REGION']
        client = boto3.client(
            'firehose',
            REGION
            
        )
        print("Calling list_delivery_streams with ListDeliveryStreams allowed policy.")
        delivery_stream_request = client.list_delivery_streams()
        print("Successfully returned list_delivery_streams request %s." % (
            delivery_stream_request
        ))
        describe_access_denied = False
        try:
            print("Calling describe_delivery_stream with DescribeDeliveryStream denied policy.")
            delivery_stream_info = client.describe_delivery_stream(DeliveryStreamName='test-describe-denied')
        except ClientError as e:
            error_code = e.response['Error']['Code']
            print ("Caught %s." % (error_code))
            if error_code == 'AccessDeniedException':
                describe_access_denied = True
        
        if not describe_access_denied:
            raise
        else:
            print("Access denied test succeeded.")

[基本設定] で、タイムアウトを 1 分に設定します。

[ネットワーク] で、上記でエンドポイントを作成した VPC を選択し、作成時にエンドポイントに関連付けたサブネットとセキュリティグループを選択します。

ページの上部付近にある [Save (保存)] を選択します。

[テスト] を選択します。

イベント名を入力し、[Create (作成)] を選択します。

[テスト] を再度選択します。これにより、関数が実行されます。実行結果が表示されたら [詳細] を展開し、ログ出力を関数コードと比較します。成功すると、リージョン内の Firehose ストリームのリストと、次の出力が表示されます。

Calling describe_delivery_stream.

AccessDeniedException

Access denied test succeeded.