本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
在虛擬私有雲端 (VPC) 中使用介面 VPC 端點 (AWS PrivateLink) 和 AWS Glue VPC 端點，改善 VPC 的安全狀態。介面 VPC 端點可讓您控制從 VPC 內部到達哪些目的地，從而提高安全性。每個 VPC 端點皆會由一個或多個具私有 IP 地址彈性網路介面 (ENI) 來表示，而該介面位於 VPC 子網路中。
界面 VPC 端點會將您的 VPC 直接連接到 Athena，無需網際網路閘道、NAT 裝置、VPN 連線或 AWS Direct Connect 連線。VPC 中的執行個體不需要公有 IP 地址，就能與 Athena API 進行通訊。
若要透過 VPC 來使用 Athena，您必須從 VPC 中的執行個體來連接，或使用 Amazon Virtual Private Network (VPN) 或 AWS Direct Connect將私有網路連接至 VPC。如需有關 Amazon VPN 的資訊，請參閱《Amazon Virtual Private Cloud 使用者指南》中的 VPN 連接。如需詳細資訊 AWS Direct Connect，請參閱AWS Direct Connect 《 使用者指南》中的建立連線。
Athena 在所有同時提供 Amazon VPC 和 Athena AWS 區域 的 中支援 VPC 端點。 https://docs.aws.amazon.com/general/latest/gr/rande.html#vpc_region
您可以使用 AWS Management Console 或 AWS Command Line Interface (AWS CLI) 命令建立介面 VPC 端點以連線至 Athena。如需詳細資訊，請參閱建立介面端點。
在建立界面 VPC 端點之後，如果您啟用端點的私有 DNS 主機名稱，則預設 Athena 端點 (https://athena.Region.amazonaws.com) 會解析為您的 VPC 端點。
如果您尚未啟用私有 DNS 主機名稱，Amazon VPC 會透過以下格式提供一個 DNS 端點名稱，供您使用：
VPC_Endpoint_ID.athena.Region.vpce.amazonaws.com
如需詳細資訊，請參閱《Amazon VPC 使用者指南》中的 介面 VPC 端點 (AWS PrivateLink)。
Athena 會支援在您的 VPC 內呼叫其所有 API 動作。
為 Athena 建立 VPC 端點政策
您可以為 Athena 的 Amazon VPC 端點建立政策，以指定下列限制：
-
主體 – 可執行動作的主體。
-
動作 – 可執行的動作。
-
資源 – 可供執行動作的資源。
-
僅受信任的身分 – 使用
aws:PrincipalOrgId條件來限制僅存取屬於您 AWS 組織一部分的登入資料。這有助於防止非預期的主體存取。 -
僅可信資源 – 使用
aws:ResourceOrgId條件，以防止存取非預期的資源。 -
僅可信身分和資源 – 為 VPC 端點建立組合政策，以協助防止存取非預期的主體和資源。
如需詳細資訊，請參閱《Amazon VPC 使用者指南》中的使用 VPC 端點控制對服務的存取，以及 AWS 》白皮書建置資料周邊 AWS》中的附錄 2 – VPC 端點政策範例。
範例 – VPC 端點政策
下列範例允許組織身分對組織資源提出請求，並允許 AWS 服務主體提出請求。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "*",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:PrincipalOrgID": "my-org-id",
"aws:ResourceOrgID": "my-org-id"
}
}
},
{
"Sid": "AllowRequestsByAWSServicePrincipals",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "*",
"Resource": "*",
"Condition": {
"Bool": {
"aws:PrincipalIsAWSService": "true"
}
}
}
]
}每當您使用 IAM 政策時，請務必遵循 IAM 最佳實務。如需詳細資訊，請參閱《IAM 使用者指南》中的 IAM 中的安全性最佳實務。
關於共用子網路中的 VPC 端點
無法在與您共用的子網路中建立、描述、修改或刪除 VPC 端點。不過，可以在與您共用的子網路中使用 VPC 端點。如需有關 VPC 子網路共用的資訊，請參閱《Amazon VPC 使用者指南》中的與其他帳戶共用 VPC。
