VPC Lattice 엔터티 공유

사전 조건 개체 공유 엔터티 공유 중지 책임 및 권한 교차 계정 이벤트

Amazon VPC Lattice는 AWS Resource Access Manager (AWS RAM)와 통합되어 서비스, 리소스 구성 및 서비스 네트워크를 공유할 수 있습니다. AWS RAM 는 일부 VPC Lattice 엔터티를 다른 AWS 계정 엔터티와 또는를 통해 공유할 수 있는 서비스입니다 AWS Organizations. 를 사용하면 리소스 AWS RAM공유를 생성하여 소유한 개체를 공유할 수 있습니다. 리소스 공유는 공유할 엔터티와 공유할 소비자를 지정합니다. 소비자에는 다음이 포함될 수 있습니다.

의 조직 AWS 계정 내부 또는 외부에 특정합니다 AWS Organizations.
AWS Organizations내 조직 내부의 조직 단위
AWS Organizations의 전체 조직.

에 대한 자세한 내용은 AWS RAM 사용 설명서를 AWS RAM참조하세요.

개체를 공유하려면에서 해당 개체를 소유해야 합니다 AWS 계정. 즉, 계정에 엔터티를 할당하거나 프로비저닝해야 합니다. 공유된 엔터티는 공유할 수 없습니다.
에서 조직 또는 조직 단위와 개체를 공유하려면 와의 공유를 활성화 AWS Organizations해야 합니다 AWS Organizations. 자세한 내용은 ‭AWS RAM 사용 설명서의 ‭‬‭AWS Organizations내 리소스 공유 활성화‭를 참조하세요.

개체를 공유하려면 먼저를 사용하여 리소스 공유를 생성합니다 AWS Resource Access Manager. 리소스 공유는 공유할 엔터티, 공유 대상 소비자, 보안 주체가 수행할 수 있는 작업을 지정합니다.

소유한 VPC Lattice 개체를 다른 엔터티와 공유할 때 해당 계정이 해당 엔터티를 계정의 엔터티와 연결할 수 있도록 AWS 계정합니다. 공유 엔터티에 대한 연결을 생성하면 엔터티 소유자 계정과 연결을 생성한 계정에 Amazon 리소스 이름(ARN)이 생성됩니다. 따라서 엔터티 소유자와 연결을 생성한 계정 모두 연결을 삭제할 수 있습니다.

의 조직에 속 AWS Organizations 해 있고 조직 내 공유가 활성화된 경우 조직의 소비자에게 공유 엔터티에 대한 액세스 권한이 자동으로 부여됩니다. 그렇지 않으면 소비자는 리소스 공유에 가입하라는 초대를 받고 초대를 수락한 후 공유 엔터티에 대한 액세스 권한이 부여됩니다.

고려 사항

서비스 네트워크, 서비스 및 리소스 구성의 세 가지 유형의 VPC Lattice 엔터티를 공유할 수 있습니다.
VPC Lattice 엔터티를와 공유할 수 있습니다 AWS 계정.
VPC Lattice 엔터티를 개별 IAM 사용자 및 역할과 공유할 수 없습니다.
VPC Lattice는 서비스, 리소스 구성 및 서비스 네트워크에 대한 고객 관리형 권한을 지원합니다.

VPC Lattice 콘솔을 사용하여 소유한 개체를 공유하려면

에서 Amazon VPC 콘솔을 엽니다https://console.aws.amazon.com/vpc/.
탐색 창의 VPC Lattice에서 서비스, 서비스 네트워크 또는 리소스 구성을 선택합니다.
개체 이름을 선택하여 세부 정보 페이지를 연 다음 공유 탭에서 서비스 공유, 서비스 네트워크 공유 또는 리소스 구성 공유를 선택합니다.
AWS RAM 리소스 공유에서 리소스 공유를 선택합니다. 리소스 공유를 생성하려면 RAM 콘솔에서 리소스 공유 생성을 선택합니다.
서비스 공유, 서비스 네트워크 공유 또는 리소스 구성 공유를 선택합니다.

AWS RAM 콘솔을 사용하여 소유한 개체를 공유하려면

AWS RAM 사용설명서의 리소스 공유 생성에 설명된 절차를 따릅니다.

를 사용하여 소유한 개체를 공유하려면 AWS CLI

associate-resource-share 명령을 사용합니다.

소유한 VPC Lattice 개체의 공유를 중지하려면 리소스 공유에서 제거해야 합니다. 기존 연결은 개체 공유를 중지한 후에도 유지됩니다. 이전에 공유된 엔터티에 대한 새 연결은 허용되지 않습니다. 개체 소유자 또는 연결 소유자가 연결을 삭제하면 두 계정에서 모두 삭제됩니다. 계정 소유자가 리소스 공유를 탈퇴하려는 경우 리소스 공유 소유자에게이 리소스가 공유된 계정 목록에서 계정을 제거하도록 요청해야 합니다.

VPC Lattice 콘솔을 사용하여 소유한 개체 공유를 중지하려면

에서 Amazon VPC 콘솔을 엽니다https://console.aws.amazon.com/vpc/.
탐색 창의 VPC Lattice에서 서비스, 서비스 네트워크 또는 리소스 구성을 선택합니다.
개체의 이름을 선택하여 세부 정보 페이지를 엽니다.
공유 탭에서 리소스 공유의 확인란을 선택한 다음 제거를 선택합니다.

AWS RAM 콘솔을 사용하여 소유한 개체 공유를 중지하려면

AWS RAM 사용 설명서의 리소스 공유 업데이트를 참조하세요.

를 사용하여 소유한 개체 공유를 중지하려면 AWS CLI

disassociate-resource-share 명령을 사용합니다.

공유 VPC Lattice 엔터티를 사용할 때 다음과 같은 책임과 권한이 적용됩니다.

개체 소유자

서비스 네트워크 소유자는 소비자가 만든 서비스를 수정할 수 없습니다.
서비스 네트워크 소유자는 소비자가 만든 서비스를 삭제할 수 없습니다.
서비스 네트워크 소유자는 서비스 네트워크에 대한 모든 서비스 연결을 설명할 수 있습니다.
서비스 네트워크 소유자는 누가 연결을 생성했는지에 상관없이 서비스 네트워크와 관련된 모든 서비스의 연결을 해제할 수 있습니다.
서비스 네트워크 소유자는 서비스 네트워크의 모든 VPC 연결을 설명할 수 있습니다.
서비스 네트워크 소유자는 소비자가 서비스 네트워크와 연결된 모든 VPC의 연결을 해제할 수 있습니다.
서비스 네트워크 소유자는 서비스 네트워크에 대한 모든 리소스 구성 연결을 설명할 수 있습니다.
서비스 네트워크 소유자는 누가 연결을 생성했는지에 관계없이 서비스 네트워크와 연결된 모든 리소스 구성을 연결 해제할 수 있습니다.
서비스 네트워크 소유자는 서비스 네트워크에 대한 모든 엔드포인트 연결을 설명할 수 있습니다.
서비스 네트워크 소유자는 누가 연결을 생성했는지에 관계없이 서비스 네트워크와 연결된 모든 엔드포인트의 연결을 해제할 수 있습니다.
서비스 소유자는 서비스와의 모든 서비스 네트워크 연결을 설명할 수 있습니다.
서비스 소유자는 서비스와 연결된 모든 서비스 네트워크에서 서비스의 연결을 해제할 수 있습니다.
리소스 구성 소유자는 리소스 구성과의 모든 네트워크 연결을 설명할 수 있습니다.
리소스 구성 소유자는 연결된 모든 서비스 네트워크에서 리소스 구성을 연결 해제할 수 있습니다.
VPC 엔드포인트 소유자는 연결된 서비스 네트워크를 설명할 수 있습니다.
VPC 엔드포인트 소유자는 서비스 네트워크에서 엔드포인트를 분리할 수 있습니다.
연결을 생성한 계정만 서비스 네트워크와 간의 연결을 업데이트할 수 있습니다VPC.

개체 소비자

소비자는 생성하지 않은 서비스 또는 리소스 구성을 삭제할 수 없습니다.
소비자는 서비스 네트워크와 연결된 서비스 또는 리소스 구성만 연결 해제할 수 있습니다.
소비자 및 네트워크 소유자는 서비스 네트워크와 서비스 또는 리소스 구성 간의 모든 연결을 설명할 수 있습니다.
소비자는 자신이 소유하지 않은 리소스 구성의 서비스 또는 리소스 구성 정보의 서비스 정보를 검색할 수 없습니다.
소비자는 공유 서비스 네트워크와의 모든 서비스 연결 및 리소스 구성을 설명할 수 있습니다.
소비자는 서비스 또는 리소스 구성을 공유 서비스 네트워크에 연결할 수 있습니다.
소비자는 공유 서비스 네트워크와의 모든 VPC 연결을 볼 수 있습니다.
소비자는 VPC를 공유 서비스 네트워크에 연결할 수 있습니다.
소비자는 서비스 네트워크와 VPCs 연결된 만 연결 해제할 수 있습니다.
소비자는 서비스 네트워크 VPC 엔드포인트를 생성하여 공유 VPC 서비스 네트워크에 연결할 수 있습니다.
소비자는 VPC 공유 서비스 네트워크에 연결하기 위해 생성한 서비스 네트워크 VPC 엔드포인트만 삭제할 수 있습니다.
공유 서비스의 소비자는 서비스를 자신이 소유하지 않은 서비스 네트워크와 연결할 수 없습니다.
공유 서비스 네트워크의 소비자는 자신이 소유하지 않은 VPC 또는 서비스를 연결할 수 없습니다.
공유 리소스 구성의 소비자는 자신이 소유하지 않은 서비스 네트워크에 리소스 구성을 연결할 수 없습니다.
공유 서비스 네트워크의 소비자는 자신이 소유하지 않은 VPC 또는 서비스 또는 리소스 구성을 연결할 수 없습니다.
소비자는 자신과 공유되는 서비스, 서비스 네트워크 또는 리소스 구성을 설명할 수 있습니다.
두 개체가 모두 공유된 경우 소비자는 두 개체를 연결할 수 없습니다.

교차 계정 이벤트

개체 소유자와 소비자가 공유 개체에 대해 작업을 수행할 때 해당 작업은에서 교차 계정 이벤트로 기록됩니다 AWS CloudTrail.

CreateServiceNetworkResourceAssociationBySharee: 엔터티 소비자가 공유 엔터티CreateServiceNetworkResourceAssociation 를 호출할 때 엔터티 소유자에게 전송됩니다. 호출자가 리소스 구성을 소유한 경우 이벤트는 서비스 네트워크의 소유자에게 전송됩니다. 호출자가 서비스 네트워크를 소유한 경우 이벤트는 리소스 구성의 소유자에게 전송됩니다.

CreateServiceNetworkServiceAssociationBySharee: 엔터티 소비자가 공유 엔터티CreateServiceNetworkServiceAssociation를 호출할 때 엔터티 소유자에게 전송됩니다. 호출자가 서비스를 소유한 경우 이벤트는 서비스 네트워크 소유자에게 전송됩니다. 호출자가 서비스 네트워크를 소유한 경우 이벤트는 서비스 소유자에게 전송됩니다.
CreateServiceNetworkVpcAssociationBySharee: 엔터티 소비자가 공유 서비스 네트워크를 CreateServiceNetworkVpcAssociation 호출할 때 엔터티 소유자에게 전송됩니다.
DeleteServiceNetworkResourceAssociationByOwner: 엔터티 소유자가 공유 엔터티DeleteServiceNetworkResourceAssociation 를 호출할 때 연결 소유자에게 전송됩니다. 호출자가 리소스 구성을 소유한 경우 이벤트는 서비스 네트워크 연결의 소유자에게 전송됩니다. 호출자가 서비스 네트워크를 소유한 경우 이벤트는 리소스 연결 소유자에게 전송됩니다.
DeleteServiceNetworkResourceAssociationBySharee: 엔터티 소비자가 공유 엔터티DeleteServiceNetworkResourceAssociation 를 호출할 때 엔터티 소유자에게 전송됩니다. 호출자가 리소스 구성을 소유한 경우 이벤트는 서비스 네트워크의 소유자에게 전송됩니다. 호출자가 서비스 네트워크를 소유한 경우 이벤트는 리소스 구성의 소유자에게 전송됩니다.
DeleteServiceNetworkServiceAssociationByOwner: 엔터티 소유자가 공유 엔터티DeleteServiceNetworkServiceAssociation를 호출할 때 연결 소유자에게 전송됩니다. 호출자가 서비스를 소유한 경우 이벤트는 서비스 네트워크 연결 소유자에게 전송됩니다. 호출자가 서비스 네트워크를 소유한 경우 이벤트는 서비스 연결 소유자에게 전송됩니다.
DeleteServiceNetworkServiceAssociationBySharee: 엔터티 소비자가 공유 엔터티DeleteServiceNetworkServiceAssociation를 호출할 때 엔터티 소유자에게 전송됩니다. 호출자가 서비스를 소유한 경우 이벤트는 서비스 네트워크 소유자에게 전송됩니다. 호출자가 서비스 네트워크를 소유한 경우 이벤트는 서비스 소유자에게 전송됩니다.
DeleteServiceNetworkVpcAssociationByOwner: 개체 소유자가 공유 서비스 네트워크를 DeleteServiceNetworkVpcAssociation 호출할 때 연결 소유자에게 전송됩니다.
DeleteServiceNetworkVpcAssociationBySharee: 엔터티 소비자가 공유 서비스 네트워크를 DeleteServiceNetworkVpcAssociation 호출할 때 엔터티 소유자에게 전송됩니다.
GetServiceBySharee: 개체 소비자가 공유 서비스를 GetService 호출할 때 개체 소유자에게 전송됩니다.
GetServiceNetworkBySharee: 엔터티 소비자가 공유 서비스 네트워크를 GetServiceNetwork 호출할 때 엔터티 소유자에게 전송됩니다.
GetServiceNetworkResourceAssociationBySharee: 엔터티 소비자가 공유 엔터티GetServiceNetworkResourceAssociation 를 호출할 때 엔터티 소유자에게 전송됩니다. 호출자가 리소스 구성을 소유한 경우 이벤트는 서비스 네트워크의 소유자에게 전송됩니다. 호출자가 서비스 네트워크를 소유한 경우 이벤트는 리소스 구성의 소유자에게 전송됩니다.
GetServiceNetworkServiceAssociationBySharee: 엔터티 소비자가 공유 엔터티GetServiceNetworkServiceAssociation를 호출할 때 엔터티 소유자에게 전송됩니다. 호출자가 서비스를 소유한 경우 이벤트는 서비스 네트워크 소유자에게 전송됩니다. 호출자가 서비스 네트워크를 소유한 경우 이벤트는 서비스 소유자에게 전송됩니다.
GetServiceNetworkVpcAssociationBySharee: 엔터티 소비자가 공유 서비스 네트워크를 GetServiceNetworkVpcAssociation 호출할 때 엔터티 소유자에게 전송됩니다.

다음은 CreateServiceNetworkServiceAssociationBySharee 이벤트의 예시 항목입니다.


{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "Unknown"
    },
    "eventTime": "2023-04-27T17:12:46Z",
    "eventSource": "vpc-lattice.amazonaws.com",
    "eventName": "CreateServiceNetworkServiceAssociationBySharee",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "vpc-lattice.amazonaws.com",
    "userAgent": "ec2.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "additionalEventData": {
        "callerAccountId": "111122223333"
    },
    "requestID": "ddabb0a7-70c6-4f70-a6c9-00cbe8a6a18b",
    "eventID": "bd03cdca-7edd-4d50-b9c9-eaa89f4a47cd",
    "readOnly": false,
    "resources": [
        {
            "accountId": "123456789012",
            "type": "AWS::VpcLattice::ServiceNetworkServiceAssociation",
            "ARN": "arn:aws:vpc-lattice:region:123456789012:servicenetworkserviceassociation/snsa-0d5ea7bc72EXAMPLE"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "123456789012",
    "eventCategory": "Management"
}

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

연결 관리

보안

내용