As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Acessando o AWS Transform aplicativo web a partir de uma VPC

Quando você usa AWS PrivateLink para acessar a AWS Transform API de forma privada a partir da sua VPC, o aplicativo web exige configuração de rede adicional. Ele fornece conteúdo estático (HTML JavaScript, CSS) CloudFront, o que requer conectividade com a Internet. As chamadas de API do aplicativo web passam pelo seu VPC endpoint e permanecem totalmente privadas.

Este guia mostra como configurar a saída controlada da Internet da sua VPC para que a aplicação web possa ser carregada e, ao mesmo tempo, manter sua VPC bloqueada somente nos domínios necessários.

Como funciona

O aplicativo AWS Transform web usa dois caminhos de rede:

Para habilitar o aplicativo web enquanto mantém a segurança, você cria um caminho de saída controlado usando o AWS Network Firewall com filtragem baseada em domínio. Isso permite que sua VPC alcance somente os domínios específicos exigidos pelo aplicativo web e bloqueie todos os outros tráfegos da Internet.

Arquitetura

O diagrama a seguir mostra o caminho de rede para o tráfego de aplicativos web:

EC2 Instance / Workspace (Private Subnet)
    |
    | Route: 0.0.0.0/0 → Network Firewall Endpoint
    v
AWS Network Firewall (Firewall Subnet)
    | Allows: *.cloudfront.net, *.transform.<region>.on.aws,
    |         <region>.signin.aws, SSO domains, S3 presigned URLs
    | Blocks: everything else (TLS SNI inspection)
    |
    | Route: 0.0.0.0/0 → NAT Gateway
    v
NAT Gateway (Public Subnet)
    |
    | Route: 0.0.0.0/0 → Internet Gateway
    v
Internet Gateway → CloudFront Edge Locations
        

Pré-requisitos

Antes de começar, verifique se você tem:

Configurando a política de VPC endpoint

Se seu com.amazonaws.region.api.transform VPC endpoint tiver uma política de endpoint personalizada, você deverá adicionar uma declaração que permita operações. AWS Transform Sem isso, o aplicativo web não conseguirá fazer chamadas de API por meio do endpoint.

Adicione a seguinte declaração à sua política de VPC endpoint. AWS_TRANSFORM_PROFILE_ARNSubstitua pelo ARN do seu perfil de AWS Transform serviço, que você pode encontrar no AWS Transform console na página Configurações.

{
    "Statement": [
        {
            "Sid": "AllowAWSTransform",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalArn": [
                        "AWS_TRANSFORM_PROFILE_ARN"
                    ]
                }
            }
        }
    ]
}

Configurando a saída controlada da Internet

Conclua as etapas a seguir para configurar o Firewall de Rede com filtragem baseada em domínio para o AWS Transform aplicativo web.

Etapa 1: criar a sub-rede do firewall

Crie uma pequena sub-rede /28 dedicada ao endpoint do Network Firewall. Essa sub-rede deve estar na mesma zona de disponibilidade da sua sub-rede privada.

aws ec2 create-subnet \
  --vpc-id your-vpc-id \
  --cidr-block firewall-subnet-cidr \
  --availability-zone your-az \
  --region region
            

Etapa 2: Criar uma sub-rede pública para o NAT Gateway

aws ec2 create-subnet \
  --vpc-id your-vpc-id \
  --cidr-block public-subnet-cidr \
  --availability-zone your-az \
  --region region
            

Etapa 3: Configurar a tabela de rotas de sub-rede pública

Crie uma tabela de rotas para a sub-rede pública que roteia o tráfego da Internet para o gateway da Internet.

# Create route table
PUB_RTB=$(aws ec2 create-route-table \
  --vpc-id your-vpc-id \
  --region region \
  --query 'RouteTable.RouteTableId' --output text)

# Add default route to internet gateway
aws ec2 create-route \
  --route-table-id $PUB_RTB \
  --destination-cidr-block 0.0.0.0/0 \
  --gateway-id your-igw-id \
  --region region

# Associate with public subnet
aws ec2 associate-route-table \
  --route-table-id $PUB_RTB \
  --subnet-id public-subnet-id \
  --region region
            

Etapa 4: Criar o gateway NAT

# Allocate an Elastic IP
EIP=$(aws ec2 allocate-address --domain vpc \
  --region region --query 'AllocationId' --output text)

# Create NAT Gateway in the public subnet
NAT_ID=$(aws ec2 create-nat-gateway \
  --subnet-id public-subnet-id \
  --allocation-id $EIP \
  --region region \
  --query 'NatGateway.NatGatewayId' --output text)

# Wait for NAT Gateway to become available (~2 minutes)
aws ec2 wait nat-gateway-available \
  --nat-gateway-ids $NAT_ID --region region
            

Etapa 5: Criar o grupo de regras do Firewall de Rede

Crie um grupo de regras com estado que permita tráfego somente para os domínios exigidos pelo aplicativo AWS Transform web.

aws network-firewall create-rule-group \
  --rule-group-name transform-webapp-domains \
  --type STATEFUL \
  --capacity 100 \
  --rule-group '{
    "StatefulRuleOptions": {
      "RuleOrder": "STRICT_ORDER"
    },
    "RulesSource": {
      "RulesSourceList": {
        "Targets": [
          ".cloudfront.net",
          ".transform.region.on.aws",
          "region.signin.aws",
          ".s3.region.amazonaws.com",
          "oidc.region.amazonaws.com",
          "portal.sso.region.amazonaws.com",
          "assets.sso-portal.region.amazonaws.com",
          "directory-id.awsapps.com"
        ],
        "TargetTypes": ["TLS_SNI", "HTTP_HOST"],
        "GeneratedRulesType": "ALLOWLIST"
      }
    }
  }' \
  --region region
            

regionSubstitua pela AWS região em que seu AWS Transform perfil está instalado (por exemplo,us-east-1). directory-idSubstitua pelo ID do diretório do IAM Identity Center (por exemplo,d-1234567890). Você pode encontrar seu ID de diretório no console do IAM Identity Center.

A tabela a seguir explica os domínios permitidos.

Etapa 6: criar a política de firewall

A política deve usar a avaliação da STRICT_ORDER regra com drop_established como ação padrão. Isso garante que qualquer tráfego que não corresponda à lista de permissões seja descartado.

# Get the rule group ARN
RG_ARN=$(aws network-firewall describe-rule-group \
  --rule-group-name transform-webapp-domains \
  --type STATEFUL --region region \
  --query 'RuleGroupResponse.RuleGroupArn' --output text)

# Create the firewall policy
aws network-firewall create-firewall-policy \
  --firewall-policy-name transform-webapp-policy \
  --firewall-policy "{
    \"StatelessDefaultActions\": [\"aws:forward_to_sfe\"],
    \"StatelessFragmentDefaultActions\": [\"aws:forward_to_sfe\"],
    \"StatefulRuleGroupReferences\": [
      {
        \"ResourceArn\": \"$RG_ARN\",
        \"Priority\": 1
      }
    ],
    \"StatefulEngineOptions\": {
      \"RuleOrder\": \"STRICT_ORDER\"
    },
    \"StatefulDefaultActions\": [\"aws:drop_established\", \"aws:alert_established\"]
  }" \
  --region region
            

Etapa 7: Criar o Firewall de Rede

# Get the policy ARN
FW_POLICY_ARN=$(aws network-firewall describe-firewall-policy \
  --firewall-policy-name transform-webapp-policy \
  --region region \
  --query 'FirewallPolicyResponse.FirewallPolicyArn' --output text)

# Create the firewall
aws network-firewall create-firewall \
  --firewall-name transform-webapp-firewall \
  --firewall-policy-arn $FW_POLICY_ARN \
  --vpc-id your-vpc-id \
  --subnet-mappings SubnetId=firewall-subnet-id \
  --region region

# Wait for the firewall to become READY (3-5 minutes)
while true; do
  STATUS=$(aws network-firewall describe-firewall \
    --firewall-name transform-webapp-firewall \
    --region region \
    --query 'FirewallStatus.Status' --output text)
  echo "Status: $STATUS"
  if [ "$STATUS" = "READY" ]; then break; fi
  sleep 15
done
            

Etapa 8: Obter o ID do endpoint do firewall

FW_ENDPOINT=$(aws network-firewall describe-firewall \
  --firewall-name transform-webapp-firewall \
  --region region \
  --query "FirewallStatus.SyncStates.\"your-az\".Attachment.EndpointId" \
  --output text)
echo "Firewall endpoint: $FW_ENDPOINT"
            

Etapa 9: Configurar a tabela de rotas de sub-rede do firewall

Roteie o tráfego vinculado à Internet da sub-rede do firewall para o NAT Gateway.

FW_RTB=$(aws ec2 create-route-table \
  --vpc-id your-vpc-id \
  --region region \
  --query 'RouteTable.RouteTableId' --output text)

aws ec2 create-route \
  --route-table-id $FW_RTB \
  --destination-cidr-block 0.0.0.0/0 \
  --nat-gateway-id $NAT_ID \
  --region region

aws ec2 associate-route-table \
  --route-table-id $FW_RTB \
  --subnet-id firewall-subnet-id \
  --region region
            

Etapa 10: Atualizar a tabela de rotas da sub-rede privada

Encaminhe todo o tráfego vinculado à Internet da sub-rede privada por meio do firewall.

aws ec2 create-route \
  --route-table-id private-subnet-route-table-id \
  --destination-cidr-block 0.0.0.0/0 \
  --vpc-endpoint-id $FW_ENDPOINT \
  --region region
            

Se já existir uma rota padrão, use replace-route em vez decreate-route.

Etapa 11: Adicionar a rota de retorno simétrica (obrigatório)

aws ec2 create-route \
  --route-table-id $PUB_RTB \
  --destination-cidr-block private-subnet-cidr \
  --vpc-endpoint-id $FW_ENDPOINT \
  --region region
            

private-subnet-cidrSubstitua pelo bloco CIDR da sua sub-rede privada (por exemplo,10.0.144.0/20).

Sem roteamento simétrico, o firewall vê apenas uma direção do tráfego. O mecanismo de inspeção TLS não pode extrair a Indicação de Nome do Servidor (SNI) do handshake TLS, e todas as regras baseadas em domínio falharão silenciosamente.

Etapa 12: Remover a rota padrão IPv6 (se presente)

Se a tabela de rotas da sub-rede privada tiver uma rota padrão IPv6 (::/0) apontando diretamente para um gateway da Internet, ela ignorará o firewall para os destinos. IPv6-capable Remova-o:

aws ec2 delete-route \
  --route-table-id private-subnet-route-table-id \
  --destination-ipv6-cidr-block ::/0 \
  --region region
            

Verificação

Em uma instância na sub-rede privada, verifique a configuração:

# Should SUCCEED - web application content via CloudFront (allowed)
curl -vL --connect-timeout 15 \
  'https://tenant-id.transform.region.on.aws'

# Should SUCCEED - API via PrivateLink (does not use firewall)
curl -v --connect-timeout 15 \
  'https://api.transform.region.on.aws/'

# Should FAIL - non-allowlisted domain (blocked by firewall)
curl -v --connect-timeout 15 'https://www.example.com'
# Expected: TLS connection error (firewall drops after SNI inspection)
        

Solução de problemas

Considerações sobre custos

O custo base estimado é de aproximadamente $ 325/month para uma única implantação de zona de disponibilidade. Para implantações de produção, implante o firewall, o NAT Gateway e as sub-redes associadas em cada zona de disponibilidade em que existam sub-redes privadas.

Limpeza

Para remover todos os recursos criados por este guia, execute os comandos a seguir na ordem inversa. Substitua os espaços reservados pelos IDs de recursos da sua implantação. Você pode encontrar esses valores no AWS Management Console ou usando os describe comandos das etapas de configuração.

# Remove return route from NAT Gateway subnet
aws ec2 delete-route --route-table-id pub-rtb-id \
  --destination-cidr-block private-subnet-cidr \
  --region region

# Remove route from private subnet
aws ec2 delete-route \
  --route-table-id private-subnet-route-table-id \
  --destination-cidr-block 0.0.0.0/0 --region region

# Delete Network Firewall (takes ~5 minutes)
aws network-firewall delete-firewall \
  --firewall-name transform-webapp-firewall \
  --region region

# Delete firewall policy and rule group
aws network-firewall delete-firewall-policy \
  --firewall-policy-name transform-webapp-policy \
  --region region
aws network-firewall delete-rule-group \
  --rule-group-name transform-webapp-domains \
  --type STATEFUL --region region

# Delete NAT Gateway (wait ~5 minutes for full deletion)
aws ec2 delete-nat-gateway --nat-gateway-id nat-gateway-id \
  --region region

# Release Elastic IP
aws ec2 release-address --allocation-id eip-allocation-id \
  --region region

# Delete subnets
aws ec2 delete-subnet --subnet-id firewall-subnet-id \
  --region region
aws ec2 delete-subnet --subnet-id public-subnet-id \
  --region region