本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

從 VPC 存取 AWS Transform Web 應用程式

當您使用 從 VPC 私下 AWS PrivateLink 存取 AWS Transform API 時，Web 應用程式需要額外的網路組態。它透過需要網際網路連線的 CloudFront 提供靜態內容 (HTML、JavaScript、CSS)。Web 應用程式的 API 呼叫會經過您的 VPC 端點，並保持完全私有。

本指南說明如何設定 VPC 的受控網際網路輸出，讓 Web 應用程式可以載入，同時保持 VPC 鎖定在僅必要網域。

運作方式

AWS Transform Web 應用程式使用兩種網路路徑：

若要在維護安全性的同時啟用 Web 應用程式，您可以使用 AWS Network Firewall 搭配網域型篩選來建立受控的輸出路徑。這可讓您的 VPC 僅連接 Web 應用程式所需的特定網域，同時封鎖所有其他網際網路流量。

Architecture

下圖顯示 Web 應用程式流量的網路路徑：

EC2 Instance / Workspace (Private Subnet)
    |
    | Route: 0.0.0.0/0 → Network Firewall Endpoint
    v
AWS Network Firewall (Firewall Subnet)
    | Allows: *.cloudfront.net, *.transform.<region>.on.aws,
    |         <region>.signin.aws, SSO domains, S3 presigned URLs
    | Blocks: everything else (TLS SNI inspection)
    |
    | Route: 0.0.0.0/0 → NAT Gateway
    v
NAT Gateway (Public Subnet)
    |
    | Route: 0.0.0.0/0 → Internet Gateway
    v
Internet Gateway → CloudFront Edge Locations
        

先決條件

開始前，請確保您具備以下條件：

設定 VPC 端點政策

如果您的 com.amazonaws.region.api.transform VPC 端點具有自訂端點政策，您必須新增允許 AWS Transform 操作的陳述式。如果沒有此功能，Web 應用程式將無法透過端點進行 API 呼叫。

將下列陳述式新增至您的 VPC 端點政策。將 AWS_TRANSFORM_PROFILE_ARN 取代為您的 AWS Transform 服務設定檔 ARN，您可以在 設定 頁面的 AWS Transform 主控台中找到。

{
    "Statement": [
        {
            "Sid": "AllowAWSTransform",
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalArn": [
                        "AWS_TRANSFORM_PROFILE_ARN"
                    ]
                }
            }
        }
    ]
}

設定受控網際網路輸出

完成下列步驟，使用 AWS Transform Web 應用程式的網域型篩選來設定 Network Firewall。

步驟 1：建立防火牆子網路

建立 Network Firewall 端點專用的小型 /28 子網路。此子網路必須與私有子網路位於相同的可用區域。

aws ec2 create-subnet \
  --vpc-id your-vpc-id \
  --cidr-block firewall-subnet-cidr \
  --availability-zone your-az \
  --region region
            

步驟 2：建立 NAT 閘道的公有子網路

aws ec2 create-subnet \
  --vpc-id your-vpc-id \
  --cidr-block public-subnet-cidr \
  --availability-zone your-az \
  --region region
            

步驟 3：設定公有子網路路由表

為將網際網路流量路由到網際網路閘道的公有子網路建立路由表。

# Create route table
PUB_RTB=$(aws ec2 create-route-table \
  --vpc-id your-vpc-id \
  --region region \
  --query 'RouteTable.RouteTableId' --output text)

# Add default route to internet gateway
aws ec2 create-route \
  --route-table-id $PUB_RTB \
  --destination-cidr-block 0.0.0.0/0 \
  --gateway-id your-igw-id \
  --region region

# Associate with public subnet
aws ec2 associate-route-table \
  --route-table-id $PUB_RTB \
  --subnet-id public-subnet-id \
  --region region
            

步驟 4：建立 NAT 閘道

# Allocate an Elastic IP
EIP=$(aws ec2 allocate-address --domain vpc \
  --region region --query 'AllocationId' --output text)

# Create NAT Gateway in the public subnet
NAT_ID=$(aws ec2 create-nat-gateway \
  --subnet-id public-subnet-id \
  --allocation-id $EIP \
  --region region \
  --query 'NatGateway.NatGatewayId' --output text)

# Wait for NAT Gateway to become available (~2 minutes)
aws ec2 wait nat-gateway-available \
  --nat-gateway-ids $NAT_ID --region region
            

步驟 5：建立 Network Firewall 規則群組

建立狀態規則群組，僅允許流量流向 AWS Transform Web 應用程式所需的網域。

aws network-firewall create-rule-group \
  --rule-group-name transform-webapp-domains \
  --type STATEFUL \
  --capacity 100 \
  --rule-group '{
    "StatefulRuleOptions": {
      "RuleOrder": "STRICT_ORDER"
    },
    "RulesSource": {
      "RulesSourceList": {
        "Targets": [
          ".cloudfront.net",
          ".transform.region.on.aws",
          "region.signin.aws",
          ".s3.region.amazonaws.com",
          "oidc.region.amazonaws.com",
          "portal.sso.region.amazonaws.com",
          "assets.sso-portal.region.amazonaws.com",
          "directory-id.awsapps.com"
        ],
        "TargetTypes": ["TLS_SNI", "HTTP_HOST"],
        "GeneratedRulesType": "ALLOWLIST"
      }
    }
  }' \
  --region region
            

將區域取代為安裝設定檔 AWS AWS Transform 的區域 （例如 us-east-1)。將 directory-id 取代為您的 IAM Identity Center 目錄 ID （例如 d-1234567890)。您可以在 IAM Identity Center 主控台中找到目錄 ID。

下表說明允許的網域。

步驟 6：建立防火牆政策

政策必須使用STRICT_ORDER規則評估搭配 drop_established做為預設動作。這可確保捨棄不符合允許清單的任何流量。

# Get the rule group ARN
RG_ARN=$(aws network-firewall describe-rule-group \
  --rule-group-name transform-webapp-domains \
  --type STATEFUL --region region \
  --query 'RuleGroupResponse.RuleGroupArn' --output text)

# Create the firewall policy
aws network-firewall create-firewall-policy \
  --firewall-policy-name transform-webapp-policy \
  --firewall-policy "{
    \"StatelessDefaultActions\": [\"aws:forward_to_sfe\"],
    \"StatelessFragmentDefaultActions\": [\"aws:forward_to_sfe\"],
    \"StatefulRuleGroupReferences\": [
      {
        \"ResourceArn\": \"$RG_ARN\",
        \"Priority\": 1
      }
    ],
    \"StatefulEngineOptions\": {
      \"RuleOrder\": \"STRICT_ORDER\"
    },
    \"StatefulDefaultActions\": [\"aws:drop_established\", \"aws:alert_established\"]
  }" \
  --region region
            

步驟 7：建立網路防火牆

# Get the policy ARN
FW_POLICY_ARN=$(aws network-firewall describe-firewall-policy \
  --firewall-policy-name transform-webapp-policy \
  --region region \
  --query 'FirewallPolicyResponse.FirewallPolicyArn' --output text)

# Create the firewall
aws network-firewall create-firewall \
  --firewall-name transform-webapp-firewall \
  --firewall-policy-arn $FW_POLICY_ARN \
  --vpc-id your-vpc-id \
  --subnet-mappings SubnetId=firewall-subnet-id \
  --region region

# Wait for the firewall to become READY (3-5 minutes)
while true; do
  STATUS=$(aws network-firewall describe-firewall \
    --firewall-name transform-webapp-firewall \
    --region region \
    --query 'FirewallStatus.Status' --output text)
  echo "Status: $STATUS"
  if [ "$STATUS" = "READY" ]; then break; fi
  sleep 15
done
            

步驟 8：取得防火牆端點 ID

FW_ENDPOINT=$(aws network-firewall describe-firewall \
  --firewall-name transform-webapp-firewall \
  --region region \
  --query "FirewallStatus.SyncStates.\"your-az\".Attachment.EndpointId" \
  --output text)
echo "Firewall endpoint: $FW_ENDPOINT"
            

步驟 9：設定防火牆子網路路由表

將網際網路繫結流量從防火牆子網路路由到 NAT Gateway。

FW_RTB=$(aws ec2 create-route-table \
  --vpc-id your-vpc-id \
  --region region \
  --query 'RouteTable.RouteTableId' --output text)

aws ec2 create-route \
  --route-table-id $FW_RTB \
  --destination-cidr-block 0.0.0.0/0 \
  --nat-gateway-id $NAT_ID \
  --region region

aws ec2 associate-route-table \
  --route-table-id $FW_RTB \
  --subnet-id firewall-subnet-id \
  --region region
            

步驟 10：更新私有子網路路由表

透過防火牆路由來自私有子網路的所有網際網路繫結流量。

aws ec2 create-route \
  --route-table-id private-subnet-route-table-id \
  --destination-cidr-block 0.0.0.0/0 \
  --vpc-endpoint-id $FW_ENDPOINT \
  --region region
            

如果預設路由已存在，請使用 replace-route而非 create-route。

步驟 11：新增對稱傳回路由 （必要）

aws ec2 create-route \
  --route-table-id $PUB_RTB \
  --destination-cidr-block private-subnet-cidr \
  --vpc-endpoint-id $FW_ENDPOINT \
  --region region
            

將 private-subnet-cidr 取代為私有子網路的 CIDR 區塊 （例如 10.0.144.0/20)。

如果沒有對稱路由，防火牆只會看到一個流量方向。TLS 檢查引擎無法從 TLS 交握中擷取伺服器名稱指示 (SNI)，而且所有以網域為基礎的規則都將無提示地失敗。

步驟 12：移除 IPv6 預設路由 （如果有）

如果私有子網路路由表具有直接指向網際網路閘道的 IPv6 預設路由 (::/0)，它會略過IPv6-capable目的地的防火牆。移除它：

aws ec2 delete-route \
  --route-table-id private-subnet-route-table-id \
  --destination-ipv6-cidr-block ::/0 \
  --region region
            

驗證

從私有子網路中的執行個體，驗證組態：

# Should SUCCEED - web application content via CloudFront (allowed)
curl -vL --connect-timeout 15 \
  'https://tenant-id.transform.region.on.aws'

# Should SUCCEED - API via PrivateLink (does not use firewall)
curl -v --connect-timeout 15 \
  'https://api.transform.region.on.aws/'

# Should FAIL - non-allowlisted domain (blocked by firewall)
curl -v --connect-timeout 15 'https://www.example.com'
# Expected: TLS connection error (firewall drops after SNI inspection)
        

疑難排解

成本考量

單一可用區域部署的預估基本成本約為每月 325 美元。對於生產部署，請在私有子網路存在的每個可用區域中部署防火牆、NAT Gateway 和相關聯的子網路。

清除

若要移除本指南建立的所有資源，請以相反順序執行下列命令。將預留位置取代為部署中的資源 IDs。您可以在 AWS 管理主控台中找到這些值，或使用設定步驟中的describe命令。

# Remove return route from NAT Gateway subnet
aws ec2 delete-route --route-table-id pub-rtb-id \
  --destination-cidr-block private-subnet-cidr \
  --region region

# Remove route from private subnet
aws ec2 delete-route \
  --route-table-id private-subnet-route-table-id \
  --destination-cidr-block 0.0.0.0/0 --region region

# Delete Network Firewall (takes ~5 minutes)
aws network-firewall delete-firewall \
  --firewall-name transform-webapp-firewall \
  --region region

# Delete firewall policy and rule group
aws network-firewall delete-firewall-policy \
  --firewall-policy-name transform-webapp-policy \
  --region region
aws network-firewall delete-rule-group \
  --rule-group-name transform-webapp-domains \
  --type STATEFUL --region region

# Delete NAT Gateway (wait ~5 minutes for full deletion)
aws ec2 delete-nat-gateway --nat-gateway-id nat-gateway-id \
  --region region

# Release Elastic IP
aws ec2 release-address --allocation-id eip-allocation-id \
  --region region

# Delete subnets
aws ec2 delete-subnet --subnet-id firewall-subnet-id \
  --region region
aws ec2 delete-subnet --subnet-id public-subnet-id \
  --region region