Amazon Data Firehose와 함께 사용하기 AWS PrivateLink

AWS Management Console 로그인하고 https://console.aws.amazon.com/vpc/ 에서 Amazon VPC 콘솔을 엽니다.

VPC 대시보드에서 엔드포인트를 선택합니다.

엔드포인트 생성을 선택합니다.

서비스 이름 목록에서 com.amazonaws.your_region.kinesis-firehose를 선택합니다.

엔드포인트를 생성할 VPC와 서브넷(한 개 이상)을 선택합니다.

보안 그룹을 한 개 이상 선택하여 엔드포인트와 연결합니다.

정책에서 사용자 지정을 선택하고 다음 정책을 붙여 넣습니다.

{
    "Statement": [
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:ListDeliveryStreams"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:DescribeDeliveryStream"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}

Create endpoint(엔드포인트 생성)을 선택합니다.

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

왼쪽 탐색 창에서 Roles(역할)을 선택한 다음 Create role(역할 생성)을 선택합니다.

신뢰할 수 있는 유형의 엔터티 선택에서 기본 선택인 AWS 서비스를 그대로 둡니다.

Choose the service that will use this role(이 역할을 사용할 서비스 선택) 아래에서 Lambda를 선택합니다.

Next: Permissions(다음: 권한)를 선택합니다.

정책 목록에서 AWS LambdaVPCAccessExecutionRole 정책과 AmazonDataFirehoseReadOnlyAccess 정책을 검색하여 추가합니다.

다음: 태그를 선택합니다. 이 연습에서는 태그를 추가할 필요가 없습니다. 다음: 검토를 선택합니다.

역할 이름을 입력한 다음 Create role(역할 생성)을 선택합니다.

https://console.aws.amazon.com/lambda/ 에서 AWS Lambda 콘솔을 엽니다.

함수 생성을 선택합니다.

새로 작성을 선택합니다.

함수 이름을 입력한 다음 런타임을 Python 3.9 이상으로 설정합니다.

권한에서 실행 역할 선택 또는 생성을 확장합니다.

실행 역할 목록에서 기존 역할 사용을 선택합니다.

기존 역할 목록에서 앞서 만든 역할을 선택합니다.

함수 생성을 선택합니다.

함수 코드 아래에 다음 코드를 붙여 넣습니다.

    import json
    import boto3
    import os
    from botocore.exceptions import ClientError
     
    def lambda_handler(event, context):
        REGION = os.environ['AWS_REGION']
        client = boto3.client(
            'firehose',
            REGION
            
        )
        print("Calling list_delivery_streams with ListDeliveryStreams allowed policy.")
        delivery_stream_request = client.list_delivery_streams()
        print("Successfully returned list_delivery_streams request %s." % (
            delivery_stream_request
        ))
        describe_access_denied = False
        try:
            print("Calling describe_delivery_stream with DescribeDeliveryStream denied policy.")
            delivery_stream_info = client.describe_delivery_stream(DeliveryStreamName='test-describe-denied')
        except ClientError as e:
            error_code = e.response['Error']['Code']
            print ("Caught %s." % (error_code))
            if error_code == 'AccessDeniedException':
                describe_access_denied = True
        
        if not describe_access_denied:
            raise
        else:
            print("Access denied test succeeded.")

기본 설정에서 제한 시간을 1분으로 설정합니다.

네트워크에서 앞서 엔드포인트를 생성한 VPC를 선택한 후, 엔드포인트를 생성할 때 엔드포인트와 연결한 서브넷 및 보안 그룹을 선택합니다.

페이지 상단에서 Save(저장)를 선택합니다.

테스트를 선택합니다.

이벤트 이름을 입력한 다음 Create(생성)를 선택합니다.

테스트를 다시 선택합니다. 그러면 함수가 실행됩니다. 실행 결과가 나타나면 세부 정보를 확장하고 로그 출력과 함수 코드를 비교합니다. 성공적인 결과에는 해당 지역의 Firehose 스트림 목록과 다음 출력이 표시됩니다.

Calling describe_delivery_stream.

AccessDeniedException

Access denied test succeeded.