VPC-connected 工作流程的互联网接入

当您将 AWS HealthOmics 运行连接到 VPC 时，该运行只能访问该 VPC 中的可用资源。要允许您运行访问 VPC 外部的公共互联网或 AWS 服务，您必须使用相应的网络资源配置 VPC。

本主题介绍如何设置您的 VPC，以便为您的 VPC-connected 运行提供互联网访问和高效的 AWS 服务连接。有关将运行连接到 VPC 的信息，请参阅将 HealthOmics 工作流程连接到 VPC。

设置可访问互联网的 VPC

要让您的 VPC-connected 运行访问互联网，请创建具有私有子网的 VPC，通过 NAT 网关路由出站流量。

此配置提供：

受支持的区域和可用区

HealthOmics 工作流程在以下区域和可用区运行。创建 VPC 时，请确保您的子网位于这些可用区中的一个或多个中。

创建 HealthOmics VPC 配置时，请指定私有子网。这些运行使用公有子网中的 NAT 网关来访问互联网。

VPC 终端节点 AWS 务

您可以配置 VPC 终端节点，以允许运行者无需穿越公共互联网即可访问 AWS 服务。这提高了安全性并可以降低数据传输成本。

下表列出了 HealthOmics 运行时常用的 VPC 终端节点：

您可以通过 AWS PrivateLink 终端节点访问的服务的完整列表可在与集成的AWS 服务中找到 AWS PrivateLink。有关端点设置的详细说明，请参阅AWS PrivateLink 指南 AWS PrivateLink中的通过访问 AWS 服务。

NAT 网关要求

对于需要公共互联网接入的跑步：

安全组配置

配置您的安全组，以允许出站流量到达您的运行需要访问的目的地：

以下示例显示了公共互联网访问的安全组规则：

路由表配置

确保您的私有子网有路由表条目，可将互联网绑定流量定向到 NAT 网关：

要访问本地资源，请配置指向虚拟专用网关或网关的路由。

的 IAM 权限 AWS 务

当您的工作流程任务在 VPC 联网模式下访问亚马逊 Athena、 AWS Glue 或 Amazon DynamoDB 等 AWS 服务时，您必须向传递给 API 的服务角色添加必要的权限。StartRun如果没有这些权限，您的工作流程任务将失败AccessDeniedException或UnauthorizedException出现错误。

如果您的工作流程因权限错误而失败，请检查工作流程运行的 CloudWatch 日志日志。常见的错误消息包括AccessDeniedException: You are not authorized to perform: action on the resource（服务角色缺少所需的 IAM 权限）或UnrecognizedClientException: The security token included in the request is invalid（服务角色信任策略可能配置错误，或者传递给的角色 ARN 不StartRun正确）。

通用服务权限

以下示例显示了 VPC 模式工作流程中常用 AWS 服务的 IAM 权限。根据您的工作流程访问的服务，将这些权限添加到您的服务角色策略中。

{
  "Effect": "Allow",
  "Action": [
    "athena:StartQueryExecution",
    "athena:GetQueryExecution",
    "athena:GetQueryResults",
    "athena:StopQueryExecution"
  ],
  "Resource": "arn:aws:athena:region:account-id:workgroup/workgroup-name"
}

{
  "Effect": "Allow",
  "Action": [
    "glue:GetDatabase",
    "glue:GetTable",
    "glue:GetPartitions",
    "glue:CreateTable",
    "glue:UpdateTable"
  ],
  "Resource": [
    "arn:aws:glue:region:account-id:catalog",
    "arn:aws:glue:region:account-id:database/database-name",
    "arn:aws:glue:region:account-id:table/database-name/*"
  ]
}

{
  "Effect": "Allow",
  "Action": [
    "dynamodb:GetItem",
    "dynamodb:PutItem",
    "dynamodb:Query",
    "dynamodb:Scan"
  ],
  "Resource": "arn:aws:dynamodb:region:account-id:table/table-name"
}

{
  "Effect": "Allow",
  "Action": [
    "s3tables:GetTableData",
    "s3tables:PutTableData"
  ],
  "Resource": "arn:aws:s3tables:region:account-id:bucket/bucket-name/table/table-id"
}

测试 VPC 连接

在运行生产工作流程之前，请验证您的 VPC 配置是否允许连接到所需的外部服务。

创建测试工作流程

创建一个简单的工作流程来测试与外部服务的连接。例如，创建一个尝试通过 TCP 连接至目标服务端点的工作流程。

运行测试

aws omics start-run \
  --workflow-id test-workflow-id \
  --role-arn role-arn \
  --output-uri s3://bucket-name/test-outputs/ \
  --networking-mode VPC \
  --configuration-name configuration-name \
  --parameters file://test-parameters.json

验证结果

检查工作流程输出以确认成功连接：

{
  "connectivity_test.result": "Testing connection to external service...\nSUCCESS: Connection successful!\nTest completed"
}

如果测试失败，请验证以下内容：

示例

使用 API 身份验证访问 NCBI 数据

此示例演示如何使用带有身份验证的 NCBI 数据集 API 访问 NCBI 数据。

要获取 NCBI API 密钥，请访问 NCBI API 密钥文档。

示例工作流程定义：

version 1.0
#WORKFLOW DEFINITION

# Meant to be used as integration test for public internet access via VPC tunnel
workflow TestFlow {
    input {
        String ncbi_api_url = "https://api.ncbi.nlm.nih.gov/datasets/v2/gene/accession/NM_021803.4?api_key=<YOUR_API_KEY>"
    }

    call DataProcessTask{
        input:
            ncbi_api_url = ncbi_api_url,
    }

    output {
        File output_file = DataProcessTask.output_file
    }

}

#Task Definitions
task DataProcessTask {
    input {
        String ncbi_api_url
    }

    command <<<
        set -eu
        # Download file from NCBI Datasets API with API key
        curl -fsSL "~{ncbi_api_url}" -o gene_data.json

        # Add data processing task here
        cat gene_data.json > processed_data.json

        # Echo the content to output file
        cat processed_data.json > outfile.txt
    >>>

    output {
        File output_file = "outfile.txt"
    }
}

要点：

有关 NCBI API 密钥和速率限制的更多信息，请参阅 NCBI 数据集 API 文档。

最佳实践