Amazon VPC 与 Amazon S3 数据源一起使用

登录 AWS Management Console 并打开 Amazon VPC 控制台，网址为https://console.aws.amazon.com/vpc/。

创建具有私有子网和 S3 终端节点的 VPC Amazon Kendra 以供使用：

在导航窗格中，选择您的 VPC，然后选择创建 VPC。

1. 对于要创建的资源，选择 VPC 等。

2. 对于 “名称标签”，启用 “自动生成”，然后输入kendra-s3-example。

3. 对于 IPv4/IPv6 CIDR 块，请保留默认值。

4. 对于可用区 (AZ) 的数量，请选择数字 1。

5. 选择 “自定义可用区”，然后从第一个可用区列表中选择一个可用区。

   Amazon Kendra 仅支持一组特定的可用区。

6. 在 “公有子网数量” 中，选择数字 0。

7. 在私有子网数量中，选择数字 1。

8. 对于 NAT gateways（NAT 网关），选择 None（无）。

9. 对于 VPC 终端节点，请选择Amazon S3 网关。 。

10. 将其余值保留为默认设置。

11. 选择 Create VPC。

    等到创建 VPC 工作流程完成。然后，选择查看 VPC 以检查您刚刚创建的 VPC。

现在，您已经创建了一个带有私有子网的 VPC 网络，该子网无法访问公共互联网。

复制您的 Amazon S3 终端节点的 VPC 终端节点 ID：

1. 在导航窗格中，选择端点。

2. 在终端节点列表中，找到您刚刚与您的 VPC 一起创建的 Amazon S3 终端节点kendra-s3-example-vpce-s3。

3. 记下 VPC 终端节点 ID。

现在，您已经创建了一个 Amazon S3 网关终端节点，用于通过子网访问您的 Amazon S3 存储桶。

创建安全组 Amazon Kendra 以供使用：

1. 在导航窗格中，选择安全组，然后选择创建安全组。

2. 对于安全组名称，输入 s3-data-source-security-group。

3. 从Amazon VPC列表中选择您的 VPC。

4. 将入站规则和出站规则保留为默认值。

5. 选择创建安全组。

现在，您已经创建了一个 VPC 安全组。

打开 Amazon S3 控制台，网址为 https://console.aws.amazon.com/s3/。

从导航窗格中选择 Buckets。

选择您要与之同步的 Amazon S3 存储桶的名称 Amazon Kendra。

选择 “权限” 选项卡，向下滚动到 “存储桶策略”，然后单击 “编辑”。

添加或修改您的存储桶策略，使其仅允许从您创建的 VPC 终端节点进行访问。

下面是一个示例存储桶策略。将bucket-name和vpce-id替换为您的 Amazon S3 存储桶名称和您之前记下的 Amazon S3 终端节点 ID。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": "arn:aws:s3:::bucket-name/*",
      "Condition": {
        "StringNotEquals": {
          "aws:SourceVpce": "vpce-id"
        }
      }
    }
  ]
}

选择保存更改。