Usando o Amazon Data Firehose com AWS PrivateLink

Faça login AWS Management Console e abra o console da Amazon VPC em https://console.aws.amazon.com/vpc/.

No painel da VPC, selecione Endpoints.

Escolha Criar Endpoint.

Na lista de nomes de serviço, escolha com.amazonaws.your_region.kinesis-firehose.

Escolha a VPC e uma ou mais sub-redes nas quais criar o endpoint.

Escolha um ou mais grupos de segurança para associar ao endpoint.

Para Policy (Política), selecione Custom (Personalizar) e cole a seguinte política:

{
    "Statement": [
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:ListDeliveryStreams"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:DescribeDeliveryStream"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}

Escolha Criar endpoint.

Abra o console do IAM em https://console.aws.amazon.com/iam/.

No painel de navegação à esquerda, escolha Perfis e Criar perfil.

Em Selecionar o tipo de entidade confiável, deixe a seleção padrão Serviço da AWS .

Em Choose the service that will use this role (Escolha o serviço que usará essa função), escolha Lambda.

Escolha Next: Permissions (Próximo: Permissões).

Na lista de políticas, procure e adicione as duas políticas chamadas AWS LambdaVPCAccessExecutionRole e AmazonDataFirehoseReadOnlyAccess.

Escolha Próximo: etiquetas. Para a finalidade deste exercício, não é necessário adicionar tags. Selecione Next: Review (Próximo: revisar).

Insira um nome para o perfil e escolha Criar perfil.

Abra o AWS Lambda console em https://console.aws.amazon.com/lambda/.

Escolha Create function (Criar função).

Escolha Author from scratch (Criar do zero).

Insira um nome para a função e, em seguida, defina Tempo de Execução como Python 3.9 ou superior.

Em Permissions (Permissões), expanda Choose or create an execution role (Escolher ou criar uma função de execução).

Na lista Execution role (Função de execução), selecione Use an existing role (Usar uma função existente).

Na lista Existing role (Função existente), selecione a função criada acima.

Escolha a opção Criar função.

Em Function code (Código da função), cole o código a seguir.

    import json
    import boto3
    import os
    from botocore.exceptions import ClientError
     
    def lambda_handler(event, context):
        REGION = os.environ['AWS_REGION']
        client = boto3.client(
            'firehose',
            REGION
            
        )
        print("Calling list_delivery_streams with ListDeliveryStreams allowed policy.")
        delivery_stream_request = client.list_delivery_streams()
        print("Successfully returned list_delivery_streams request %s." % (
            delivery_stream_request
        ))
        describe_access_denied = False
        try:
            print("Calling describe_delivery_stream with DescribeDeliveryStream denied policy.")
            delivery_stream_info = client.describe_delivery_stream(DeliveryStreamName='test-describe-denied')
        except ClientError as e:
            error_code = e.response['Error']['Code']
            print ("Caught %s." % (error_code))
            if error_code == 'AccessDeniedException':
                describe_access_denied = True
        
        if not describe_access_denied:
            raise
        else:
            print("Access denied test succeeded.")

Em Basic settings (Configurações básicas), defina o tempo limite como 1 minuto.

Em Network (Rede), selecione a VPC onde você criou o endpoint acima e selecione as sub-redes e o grupo de segurança que foram associados ao endpoint quando ele foi criado.

Próximo ao alto da página, selecione Salvar.

Escolha Testar.

Insira o nome de um evento e escolha Criar.

Escolha Test (Testar) novamente. Isso faz com que a função seja executada. Depois que o resultado da execução for exibido, expanda Details (Detalhes) e compare a saída do log com o código da função. Os resultados bem-sucedidos mostram uma lista dos fluxos do Firehose na região, bem como a seguinte saída:

Calling describe_delivery_stream.

AccessDeniedException

Access denied test succeeded.