API do Amazon DocumentDB e endpoints da VPC de interface (AWS PrivateLink)

É possível estabelecer uma conexão privada entre a VPC e os endpoints da API do Amazon DocumentDB criando um endpoint da VPC de interface. Os endpoints de interface são desenvolvidos pelo AWS PrivateLink.

Embora os clusters do Amazon DocumentDB não exijam uma conexão de endpoint da VPC de interface, o AWS PrivateLink permite que você acesse as operações de API do Amazon DocumentDB sem um gateway da Internet, um dispositivo NAT, uma conexão VPN ou uma conexão do AWS Direct Connect. As instâncias do Amazon DocumentDB na VPC não precisam de endereços IP públicos para se comunicarem com endpoints de API do Amazon DocumentDB para iniciar, modificar ou encerrar instâncias e clusters de banco de dados. As instâncias do Amazon DocumentDB também não precisam de endereços IP públicos para usar qualquer uma das operações de API do Amazon DocumentDB disponíveis. O tráfego entre seu VPC e Amazon DocumentDB não sai da rede da Amazon.

Cada endpoint de interface é representado por uma ou mais interfaces de rede elástica nas sub-redes. Para obter mais informações, consulte Interfaces de rede elástica no Guia do usuário do Amazon EC2.

Para obter informações sobre endpoints da VPC, consulte Acessar um AWS service (Serviço da AWS) usando um endpoint da VPC de interface no Guia do usuário do Amazon Virtual Private Cloud (AWS PrivateLink). Para obter mais informações sobre operações do Amazon DocumentDB, consulte Referência de API de gerenciamento de recursos, instâncias e clusters do Amazon DocumentDB.

Considerações sobre endpoints da VPC do

Antes de configurar um endpoint da VPC de interface para endpoints da API Amazon DocumentDB, revise os pré-requisitos do endpoint de interface no Guia do usuário da Amazon Virtual Private Cloud (AWS PrivateLink).

Todas as operações da API do Amazon DocumentDB relevantes ao gerenciamento de recursos do Amazon DocumentDB estão disponíveis na VPC usando o AWS PrivateLink.

As políticas de endpoint da VPC têm suporte para endpoints da API do Amazon DocumentDB. Por padrão, o acesso total às operações de API do Amazon DocumentDB é permitido pelo endpoint. Para obter mais informações, consulte Controlar o acesso aos endpoints da VPC usando políticas de endpoint no Guia do usuário do Amazon Virtual Private Cloud (AWS PrivateLink).

Disponibilidade de regiões

No momento, a API do Amazon DocumentDB é compatível com endpoint da VPC nas seguintes Regiões da AWS:

Como criar um endpoint da VPC de interface para a API do Amazon DocumentDB

Você pode criar um endpoint da VPC para a API do Amazon DocumentDB usando o console da Amazon VPC ou a AWS Command Line Interface (AWS CLI). Para obter informações, consulte Acessar um AWS service (Serviço da AWS) usando um endpoint da VPC de interface no Guia do usuário do Amazon Virtual Private Cloud (AWS PrivateLink).

Crie um endpoint da VPC para a API do Amazon DocumentDB usando o nome de serviço com.amazonaws.region.rds.

Ao excluir as Regiões da AWS na China, se você ativar o DNS privado para o endpoint, poderá realizar solicitações de API ao Amazon DocumentDB com o endpoint da VPC usando o nome DNS padrão para a Regiões da AWS, por exemplo, rds.us-east-1.amazonaws.com. Para as Regiões da AWS China (Pequim) e China (Ningxia), é possível fazer solicitações de API com o endpoint da VPC usando rds-api---cn-north-1.amazonaws.com.rproxy.goskope.com.cn e rds-api---cn-northwest-1.amazonaws.com.rproxy.goskope.com.cn, respectivamente.

Para obter informações, consulte Acessar um AWS service (Serviço da AWS) usando um endpoint da VPC de interface no Guia do usuário do Amazon Virtual Private Cloud (AWS PrivateLink).

Criar uma política de endpoint da VPC para a API do Amazon DocumentDB

É possível anexar uma política de endpoint ao endpoint da VPC que controla o acesso à API do Amazon DocumentDB. Essa política especifica as seguintes informações:

Para obter mais informações, consulte Controlar o acesso aos endpoints da VPC usando políticas de endpoint no Guia do usuário do Amazon Virtual Private Cloud (AWS PrivateLink).

Exemplo: política de endpoint da VPC para ações da API do Amazon DocumentDB

Veja a seguir um exemplo de uma política de endpoint da API do Amazon DocumentDB. Quando anexada a um endpoint, essa política concede acesso às ações indicadas da API do Amazon DocumentDB para todos os principais em todos os recursos.

{
"Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "docdb:CreateDBInstance",
            "docdb:ModifyDBInstance",
            "docdb:CreateDBSnapshot"
         ],
         "Resource":"*"
      }
   ]
}

Exemplo: política de endpoint da VPC que nega todo o acesso de uma conta da AWS especificada

A política de endpoint da VPC a seguir nega à conta 123456789012 da AWS todos os acessos aos recursos que usam o endpoint. A política permite todas as ações de outras contas.

{
  "Statement": [
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": "*",
      "Principal": "*"
    },
    {
      "Action": "*",
      "Effect": "Deny",
      "Resource": "*",
      "Principal": { "AWS": [ "123456789012" ] }
     }
   ]
}