搭配介面 VPC 端點使用 Amazon Kinesis Data Streams

焦點模式

搭配介面 VPC 端點使用 Amazon Kinesis Data Streams - Amazon Kinesis Data Streams

使用 Kinesis Data Streams 的介面 VPC 端點控制對 Kinesis Data Streams VPC 端點的存取 Kinesis Data Streams 的 VPC 端點政策可用性

您可以使用介面 VPC 端點來防止 Amazon VPC 和 Kinesis Data Streams 之間的流量離開 Amazon 網路。介面 VPC 端點不需要網際網路閘道、NAT 裝置、VPN 連線或 AWS Direct Connect 連線。介面 VPC 端點採用 AWS PrivateLink 技術，這項 AWS 技術可讓您在 Amazon VPC 中使用具有私有 IPs彈性網路介面，在 AWS 服務之間進行私有通訊。如需詳細資訊，請參閱 Amazon Virtual Private Cloud 和界面 VPC 端點 (AWS PrivateLink)。

使用 Kinesis Data Streams 的介面 VPC 端點

若要開始使用，您不需要變更串流、生產者或消費者的設定。為您的 Kinesis Data Streams 建立介面 VPC 端點，以啟動透過介面 VPC 端點往返 Amazon VPC 資源的流量。啟用 FIPS 的界面 VPC 端點適用於美國區域。如需詳細資訊，請參閱建立界面端點。

Amazon Kinesis Producer Library (KPL) 和 Kinesis Consumer Library (KCL) 呼叫 AWS 服務，例如使用公有端點或私有介面 VPC 端點的 Amazon CloudWatch 和 Amazon DynamoDB，以使用中者為準。例如，如果您的 KCL 應用程式在已啟用 VPC 端點的 DynamoDB 介面的 VPC 中執行，則 DynamoDB 與 KCL 應用程式之間的呼叫會流經介面 VPC 端點。

控制對 Kinesis Data Streams VPC 端點的存取

VPC 端點政策可讓您透過將政策連接至 VPC 端點，或使用連接至 IAM 使用者、群組或角色的政策中的其他欄位來控制存取，以限制僅透過指定 VPC 端點進行的存取。當特定串流與 IAM 政策搭配使用時，使用這些政策來限制對指定 VPC 端點的特定串流的存取，以透過指定的 VPC 端點僅授予對 Kinesis 資料串流動作的存取。

以下是存取 Kinesis 資料串流的範例端點政策。

VPC 政策範例：唯讀存取 – 此範例政策可連接到 VPC 端點。(如需詳細資訊，請參閱控制 Amazon VPC 資源的存取)。它會將動作限制為僅能透過其連接的 VPC 端點列出和描述 Kinesis 資料串流。



{
  "Statement": [
    {
      "Sid": "ReadOnly",
      "Principal": "*",
      "Action": [
        "kinesis:List*",
        "kinesis:Describe*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

VPC 政策範例：限制對特定 Kinesis 資料串流的存取 – 此範例政策可連接到 VPC 端點。它會限制僅能透過其所連接的 VPC 端點存取特定資料串流。



{
  "Statement": [
    {
      "Sid": "AccessToSpecificDataStream",
      "Principal": "*",
      "Action": "kinesis:*",
      "Effect": "Allow",
      "Resource": "arn:aws:kinesis:us-east-1:123456789012:stream/MyStream"
    }
  ]
}

IAM 政策範例：限制只能從特定 VPC 端點存取特定串流 - 此範例政策可以連接到 IAM 使用者、角色或群組。它會限制僅從指定的 VPC 端點對指定的 Kinesis 資料串流進行存取。



{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Sid": "AccessFromSpecificEndpoint",
         "Action": "kinesis:*",
         "Effect": "Deny",
         "Resource": "arn:aws:kinesis:us-east-1:123456789012:stream/MyStream",
         "Condition": { "StringNotEquals" : { "aws:sourceVpce": "vpce-11aa22bb" } }
      }
   ]
}