使用 Amazon 數據 Firehose AWS PrivateLink

登入 AWS Management Console 並開啟 Amazon VPC 主控台，網址為 https://console.aws.amazon.com/vpc/。

在 VPC 儀表板中選擇 ​Endpoints (端點)。​

選擇建立端點。

在服務名稱清單中，選擇 com.amazonaws.your_region.kinesis-firehose。

選擇要在其中建立端點的 VPC 和一或多個子網路。

選擇要與端點關聯的一或多個安全群組。

對於 Policy (政策)，選擇 Custom (自訂) 並貼上以下政策：

{
    "Statement": [
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:ListDeliveryStreams"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:DescribeDeliveryStream"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}

選擇建立端點。

前往 https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

在左側導覽窗格中，選擇角色，然後選擇建立角色。

在選取可信實體的類型下，保留預設選項 AWS 服務。

在 Choose the service that will use this role (選擇將使用此角色的服務) 下，選擇 Lambda (Lambda)。

選擇 Next: Permissions (下一步：許可)。

在政策清單中，搜尋和新增名為 AWS LambdaVPCAccessExecutionRole 和 AmazonDataFirehoseReadOnlyAccess 的兩個政策。​

選擇下一步：標籤。在本練習中，您不需要新增標籤。選擇下一步：檢閱。

輸入角色名稱，然後選擇建立角色。

開啟主 AWS Lambda 控台，網址為 https://console.aws.amazon.com/lambda/。

選擇建立函數。

選擇從頭開始撰寫。

輸入函數的名稱，然後將「執行時間」設定為Python 3.9或更高。

在 Permissions (許可) 下，展開 Choose or create an execution role (選擇或建立執行角色)。

在 Execution role (執行角色) 清單中，選擇 Use an existing role (使用現有角色)。

在 Existing role (現有角色) 清單中，選擇您以上建立的角色。

選擇建立函數。

在 Function code (函數程式碼) 中貼上以下程式碼。

    import json
    import boto3
    import os
    from botocore.exceptions import ClientError
     
    def lambda_handler(event, context):
        REGION = os.environ['AWS_REGION']
        client = boto3.client(
            'firehose',
            REGION
            
        )
        print("Calling list_delivery_streams with ListDeliveryStreams allowed policy.")
        delivery_stream_request = client.list_delivery_streams()
        print("Successfully returned list_delivery_streams request %s." % (
            delivery_stream_request
        ))
        describe_access_denied = False
        try:
            print("Calling describe_delivery_stream with DescribeDeliveryStream denied policy.")
            delivery_stream_info = client.describe_delivery_stream(DeliveryStreamName='test-describe-denied')
        except ClientError as e:
            error_code = e.response['Error']['Code']
            print ("Caught %s." % (error_code))
            if error_code == 'AccessDeniedException':
                describe_access_denied = True
        
        if not describe_access_denied:
            raise
        else:
            print("Access denied test succeeded.")

在 Basic settings (基本設定) 下，將逾時設定為 1 分鐘。

在 Network (網路) 下，選擇以上端點建立所在的 VPC，然後選擇子網路與您在建立安全群組時與該端點建立關聯的安全群組。

請在頁面頂端附近選擇儲存。

選擇 測試。

輸入事件名稱，然後選擇建立。

再次選擇 Test (測試)。這可讓函數得以執行。在執行結果出現後，展開 Details (詳細資訊) 並將日誌輸出與函數程式碼做比較。​ 成功的結果會顯示區域內的 Firehose 串流清單，以及下列輸出結果：

Calling describe_delivery_stream.

AccessDeniedException

Access denied test succeeded.