As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Conector para terminais SCEP VPC (AWS PrivateLink)
Você pode criar uma conexão privada entre sua VPC e o Connector for SCEP configurando uma interface de VPC endpoint. Os endpoints de interface são alimentados por AWS PrivateLink uma tecnologia para acessar de forma privada o Connector para operações da API SCEP. AWS PrivateLink encaminha todo o tráfego de rede entre sua VPC e o Connector for SCEP pela rede Amazon, evitando a exposição na Internet aberta. Cada VPC endpoint é representado por uma ou mais interfaces de rede elástica com endereços IP privados em suas sub-redes da VPC.
A interface VPC endpoint conecta sua VPC diretamente ao Connector for SCEP sem um gateway de internet, dispositivo NAT, conexão VPN ou conexão. Direct Connect As instâncias em sua VPC não precisam de endereços IP públicos para se comunicar com a API Connector for SCEP.
Para usar o Connector for SCEP por meio de sua VPC, você deve se conectar a partir de uma instância que esteja dentro da VPC. Como alternativa, você pode conectar sua rede privada à sua VPC usando um AWS Virtual Private Network (Site-to-Site VPN) ou. Direct Connect Para obter informações sobre Site-to-Site VPN, consulte Conexões VPN no Guia do usuário do Amazon VPC. Para obter informações sobre a Direct Connect, consulte Criar uma conexão no Manual do usuário da Direct Connect .
O conector para SCEP não requer o uso de AWS PrivateLink, mas nós o recomendamos como uma camada adicional de segurança. Para obter mais informações sobre endpoints AWS PrivateLink de VPC, consulte Acessando serviços por meio de. AWS PrivateLink
Considerações sobre o Connector for SCEP VPC endpoints
Antes de configurar os endpoints VPC da interface para o Connector for SCEP, esteja ciente das seguintes considerações:
-
O Connector for SCEP pode não oferecer suporte a endpoints VPC em algumas zonas de disponibilidade. Ao criar um endpoint de VPC, primeiro verifique o suporte no console de gerenciamento. Zonas de disponibilidade sem suporte são marcadas como “Serviço sem suporte nesta zona de disponibilidade”.
-
Os VPC endpoints não são compatíveis com solicitações entre regiões. Certifique-se de criar seu endpoint na mesma região em que criou seu conector.
-
Os endpoints da VPC oferecem suporte somente a DNS fornecidos pela Amazon por meio do Amazon Route 53. Se quiser usar seu próprio DNS, você pode usar o encaminhamento de DNS condicional. Para obter mais informações, consulte Conjuntos de Opções de DHCP no Manual do Usuário da Amazon VPC.
-
O grupo de segurança anexado ao endpoint da VPC deve permitir entrada conectada a porta 443 na sub-rede privada da VPC.
Criação do endpoint VPC para o Connector for SCEP
Você pode criar um endpoint VPC para o serviço Connector for SCEP usando o console VPC em ou o. https://console.aws.amazon.com/vpc/
Ao criar o endpoint, especifique com.amazonaws. como nome do serviço.region.pca-connector-scep
Se você habilitou nomes de host DNS privados para o endpoint, o Connector padrão para endpoint SCEP agora é resolvido para seu endpoint VPC. Para obter uma lista abrangente de endpoints de serviço padrão, consulte Endpoints e cotas de serviço.
Se você não habilitar nomes de host DNS privados, a Amazon VPC fornecerá um nome de endpoint DNS que você poderá usar no seguinte formato:
vpc-endpoint-id.pca-connector-scep.region.vpce.amazonaws.com
Para obter mais informações, consulte VPC endpoints (AWS PrivateLink) no Guia do usuário do Amazon VPC.
Crie uma política de endpoint de VPC para o Connector for SCEP
Você pode criar uma política para endpoints do Amazon VPC para o Connector for SCEP para especificar o seguinte:
-
A entidade principal que pode executar ações
-
As ações que podem ser executadas
-
Os recursos nos quais as ações podem ser executadas
Para obter mais informações, consulte Controle do acesso a serviços com VPC Endpoints no Guia do Amazon VPC.
Exemplo — política de endpoint de VPC para ações do Connector for SCEP
Quando anexada a um endpoint, a política a seguir concede acesso a todos os principais ao Conector listado para ações de SCEP no recurso de conector especificado.
{ "Statement": [ { "Principal": "*", "Effect": "Allow", "Action": [ "pca-connector-scep:GetConnector", "pca-connector-scep:ListConnectors" ], "Resource": "arn:aws:pca-connector-scep:region:account:connector/connector-id" } ] }
Criação de um endpoint VPC para o Connector para operações de inscrição no SCEP
O Connector for SCEP fornece um serviço de endpoint VPC separado para operações de registro, como e. GetCACaps PKIOperation
Ao criar o endpoint de registro, especifique com.amazonaws. como nome do serviço.region.pca-connector-scep.enroll
Ao criar um conector, você pode, opcionalmente, especificar um VpcEndpointId para restringir o conector a ser acessível somente por meio desse endpoint VPC específico.
Se você não habilitar nomes de host DNS privados, a Amazon VPC fornecerá um nome de endpoint DNS que você poderá usar no seguinte formato:
vpc-endpoint-id.enroll.pca-connector-scep.region.vpce.amazonaws.com
nota
Para acessar seu conector, você deve usar o URL do endpoint incluído nos detalhes do conector, não diretamente o nome DNS do endpoint da VPC. No entanto, você pode substituir a parte do nome DNS do URL do endpoint do conector por qualquer nome DNS válido do endpoint VPC, como um nome DNS. AZ-specific
Por exemplo, para usar um nome DNS específico de AZ, você pode substituir
https://vpc-endpoint-id.enroll.pca-connector-scep.region.vpce.amazonaws.com/account-id-connector-id/UUID
por
https://vpc-endpoint-id-availability-zone.enroll.pca-connector-scep.region.vpce.amazonaws.com/account-id-connector-id/UUID
Exemplo — política de endpoint de VPC para operações de inscrição no Connector for SCEP
Você pode anexar uma política de endpoint de VPC para controlar o acesso às operações de inscrição. Quando anexada a um endpoint, a política a seguir concede acesso a todos os diretores às operações GetCACaps e. PKIOperation O recurso na estrofe é um conector.
O conector para operações de inscrição no SCEP não é autenticado com o SigV4. Por isso, eles não estão associados a um principal do IAM e, em vez disso, são considerados anônimos pelas políticas de endpoint da VPC. Dessa forma, sua política de endpoint de VPC deve permitir que todos os diretores realizem essas ações.
{ "Statement": [ { "Principal": "*", "Effect": "Allow", "Action": [ "pca-connector-scep:GetCACaps", "pca-connector-scep:GetCACert", "pca-connector-scep:PKIOperation" ], "Resource": [ arn:aws:pca-connector-scep:us-east-1:111122223333:connector/11223344-1234-1122-2233-112233445566] } ] }
