本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
服务链路私有连接选项
您可以为Outposts和家乡AWS地区之间的流量配置专用连接的服务链接。您可以选择使用Direct Connect私有 VIF 或公交 VIF。
在AWS Outposts控制台中创建 Outpost 时，请选择私有连接选项。有关说明，请参阅创建前哨基地。
当您选择私有连接选项时，将在安装 Outpost 之后使用您指定的 VPC 和子网建立服务链接 VPN 连接。这允许通过 VPC 进行私有连接，并最大限度地减少公共互联网暴露。
下图显示了在您的 Outposts 和该地区之间建立服务链接 VPN 私有连接的AWS两个选项：
先决条件
在为 Outpost 配置私有连接之前，需要满足以下先决条件：
-
您必须为 IAM 实体（用户或角色）配置权限，以允许用户或角色创建服务链路的角色，以实现私有连接。IAM 实体需要权限才能访问以下操作：
-
arn:aws:iam::*:role/aws-service-role/outposts.amazonaws.com/AWSServiceRoleForOutposts*上的iam:CreateServiceLinkedRole -
arn:aws:iam::*:role/aws-service-role/outposts.amazonaws.com/AWSServiceRoleForOutposts*上的iam:PutRolePolicy -
ec2:DescribeVpcs -
ec2:DescribeSubnets
-
-
在与您的 Outpost 相同的AWS账户和可用区中，创建一个专为 Outpost 私有连接而使用子网 /25 或更大且与 10.1.0 不冲突的 VPC。 0/16。例如，您可以使用 10.3.0。 0/16。
重要
请勿删除此 VPC，因为它会保持与您的 Outposts 的连接。
-
使用安全控制策略 (SCP) 保护此 VPC 不被删除。
以下 SCP 示例，可防止删除以下内容：
子网标记为 Outposts 锚子网
VPC 标记为 Outpost s Anchor VPC
标有 Outposts 锚点路由表的路由表
标记为 Outpost s Transit Gateway 的公交
虚拟专用网关标记为 Outposts 虚拟专用网关
标有 Outposts Transit Gateway 路由表的公交网关路由表
任何标有 Outpost s Anchor ENI 标签的 ENI
-
配置连接到网络接口的安全组以允许以下入站流量：
来自您指定来源的 ICMP
来自您指定来源的 TCP 端口 443
来自您指定来源的 UDP 端口 443
注意
私有连接需要端口 443 上的 TCP 和 UDP 才能正常运行。
-
向您的本地网络通告子网 CIDR。你可以用它AWS Direct Connect来做到这一点。有关更多信息，请参阅 Direct Connect 用户指南中的Direct Connect虚拟接口和使用 Direct Connect 网关。
注意
要在 Outpost 处于 “待定” 状态时选择私密连接选项，请从主机中选择 Outpo st s，然后选择你AWS Outposts的 Outpost。选择操作和添加私有连接，然后按步骤操作。
为 Outpost 选择私有连接选项后，会在您的账户中AWS Outposts自动创建一个服务相关角色，使其能够代表您完成以下任务：
-
在您指定的子网和 VPC 中创建网络接口，并为网络接口创建安全组。
-
向AWS Outposts服务授予权限，以将网络接口连接到账户中的服务链接端点实例。
-
将网络接口附加到账户中的服务链路端点实例。
重要
安装 Outpost 后，确认从 Outpost 连接到子网中的私有 IP。
选项 1。通过私有连接Direct Connect私人 VIF
创建AWS Direct Connect连接、私有虚拟接口和虚拟私有网关，以允许您的本地 Outpost 访问 VPC。
有关更多信息，请参阅《Direct Connect用户指南》中的以下部分：
如果AWS Direct Connect连接位于与您的 VPC 不同的AWS账户中，请参阅Direct Connect用户指南中的跨账户关联虚拟私有网关。
选项 2。通过私有连接Direct Connect公交 VIF
创建AWS Direct Connect连接、中转虚拟接口和中转网关，以允许您的本地 Outpost 访问 VPC。
有关更多信息，请参阅《Direct Connect用户指南》中的以下部分：
