本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用界面端點存取 Amazon OpenSearch 無伺服器 ()AWS PrivateLink

您可以使 AWS PrivateLink 用在 VPC 和 Amazon OpenSearch 無伺服器之間建立私人連線。您可以像在 VPC 中一樣存取 OpenSearch 無伺服器，而無需使用網際網路閘道、NAT 裝置、VPN 連線或 AWS Direct Connect 連線。VPC 中的執行個體不需要公用 IP 位址即可存取無 OpenSearch 伺服器。

您可以建立由 AWS PrivateLink提供支援的介面端點來建立此私有連線。我們會在您為介面端點指定的每個子網路中建立端點網路介面。這些是由請求者管理的網路介面，可做為無伺服器流量的進入點。 OpenSearch

如需詳細資訊，請參閱《AWS PrivateLink 指南》中的透過 AWS PrivateLink存取 AWS 服務。

收集端點的 DNS 解析

建立 VPC 端點時，服務會建立新的 Amazon Route 53 私有託管區域並將其附加至 VPC。此私有託管區域由一筆記錄組成，可將 OpenSearch 無伺服器集合 (*.aoss.us-east-1.amazonaws.com) 的萬用字元 DNS 記錄解析為用於端點的介面位址。您只需要 VPC 中的一個 OpenSearch 無伺服器 VPC 端點即可存取每個端點中的任何和所有集合和儀表板。 AWS 區域每個具有 OpenSearch 無伺服器端點的 VPC 都附加了自己的私有託管區域。

OpenSearch 無伺服器也會為區域中的所有系列建立公用 Route 53 萬用字元 DNS 記錄。DNS 名稱會解析為 OpenSearch 無伺服器公用 IP 位址。VPC 中沒有 OpenSearch 無伺服器 VPC 端點或公用網路中的用戶端的用戶端可以使用公用 Route 53 解析器，並使用這些 IP 位址存取集合和儀表板。VPC 端點的 IP 位址類型 (IPv4、IPv6 或 Dualstack) 是根據您為無伺服器建立介面端點時提供的子網路來決定。 OpenSearch

指定虛擬私人雲端的 DNS 解析器位址是 VPC 人雲端 CIDR 的 VPC 二個 IP 位址。VPC 中的任何用戶端都需要使用該解析器來取得任何集合的 VPC 端點位址。解析器使用由 OpenSearch 無服務器創建的私有託管區域。對任何帳戶中的所有集合使用該解析器就足夠了。您也可以將 VPC 解析器用於某些收集端點，並為其他端點使用公開解析程式，但通常不需要這樣做。

VPC 和網路存取原則

若要為集合授與 OpenSearch API 和儀表板的網路權限，您可以使用 OpenSearch 無伺服器網路存取原則。您可以從 VPC 端點或公用網際網路控制此網路存取。由於您的網路原則僅控制流量權限，因此您還必須設定資料存取原則，以指定對集合中的資料及其索引進行操作的權限。將 OpenSearch 無伺服器 VPC 端點視為服務的存取點，將網路存取原則視為集合和儀表板的網路層級存取點，而資料存取原則則則則是針對集合中資料的任何作業進行精細存取控制的存取點。

由於您可以在網路原則中指定多個 VPC 端點 ID，因此建議您為每個需要存取集合的 VPC 建立 VPC 端點。這些 VPC 可以屬於擁有 OpenSearch 無伺服器集合和網路原則的帳戶不同 AWS 的帳戶。我們不建議您在兩個帳戶之間建立虛擬私人雲端對等或其他 Proxy 解決方案，以便一個帳戶的 VPC 可以使用另一個帳戶的 VPC 端點。與擁有自己端點的每個 VPC 相比，這樣的安全性和成本效益較低。其他 VPC 的管理員無法輕易看到第一個 VPC，他們已在網路政策中設定對該 VPC 端點的存取權。

VPC 和端點原則

Amazon OpenSearch 無伺服器支援虛擬私人雲端的端點政策。端點政策是一種基於 IAM 資源的政策，您可以將其連接到 VPC 端點，以控制哪些 AWS 主體可以使用端點存取您的服務。 AWS 如需詳細資訊，請參閱使用端點策略控制對 VPC 端點的存取。

若要使用端點策略，您必須先建立介面端點。您可以使用無伺服器主控台或 OpenSearch 無伺服器 API 建立介面端點。 OpenSearch 建立介面端點之後，您需要將端點原則新增至端點。如需詳細資訊，請參閱使用界面端點存取 Amazon OpenSearch 無伺服器 (AWS PrivateLink)。

端點策略不會覆寫或取代您可能已設定的其他身分型政策、以資源為基礎的策略、網路策略或資料存取策略。如需更新端點策略的詳細資訊，請參閱使用端點策略控制對 VPC 端點的存取。

依預設，端點原則會授與 VPC 端點的完整存取權。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

雖然預設 VPC 端點原則授與完整端點存取權，但您可以設定 VPC 端點原則以允許存取特定角色和使用者。若要這麼做，請參閱下列範例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "123456789012",
                    "987654321098"
                ]
            },
            "Action": "*",
            "Resource": "*"
        }
    ]
}

您可以指定要包含在 VPC 端點策略中作為條件元素的 OpenSearch 無伺服器集合。若要這麼做，請參閱下列範例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:CollectionName": [
                        "coll-abc"
                    ]
                }
            }
        }
    ]
}

您可以在 VPC 端點原則中使用 SAML 身分識別來判斷 VPC 端點存取。您必須在 VPC 端點策略(*)的主體區段中使用萬用字元。若要這麼做，請參閱下列範例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:SamlGroups": [
                        "saml/123456789012/idp123/group/football",
                        "saml/123456789012/idp123/group/soccer",
                        "saml/123456789012/idp123/group/cricket"
                    ]
                }
            }
        }
    ]
}

此外，您可以設定端點原則以包含特定的 SAML 主體原則。若要這麼做，請參閱下列內容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:SamlPrincipal": [
                        "saml/123456789012/idp123/user/user1234"]
                    }
                }
            }
        ]
    }

如需將 SAML 身份驗證與 Amazon 無伺服器搭配使用的詳細資訊，請參閱適用於 Amazon OpenSearch 無伺服器的 SAML 身份驗證。 OpenSearch

您也可以在相同的 VPC 端點政策中包含 IAM 和 SAML 使用者。若要這麼做，請參閱下列範例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws:SamlGroups": [
                        "saml/123456789012/idp123/group/football",
                        "saml/123456789012/idp123/group/soccer",
                        "saml/123456789012/idp123/group/cricket"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "123456789012"
                ]
            },
            "Action": "*",
            "Resource": "*"
        }
    ]
}

考量事項

在為 OpenSearch 無伺服器設定介面端點之前，請考慮下列事項：

必要許可

OpenSearch 無伺服器的 VPC 存取使用下列 AWS Identity and Access Management (IAM) 許可。您可以指定 IAM 條件，將使用者限制在特定集合內。

此外，您需要下列 Amazon EC2 和 Route 53 許可，才能建立 VPC 端點。

建立 OpenSearch 無伺服器的介面端點

您可以使用主控台或 OpenSearch 無伺服器 API 為無伺服 OpenSearch 器建立介面端點。

若要使用 OpenSearch 無伺服器 API 建立 VPC 端點，請使用指CreateVpcEndpoint令。

下一步：授予端點存取權給集合

建立介面端點後，您必須透過網路存取政策，為其提供集合的存取權。如需詳細資訊，請參閱 Amazon OpenSearch 無伺服器的網路存取。