Endpoint VPC per S3 Vectors

Per accedere a S3 Vectors dal tuo cloud privato virtuale (VPC), Amazon S3 supporta gli endpoint VPC di interfaccia utilizzando (). AWS PrivateLink PrivateLink PrivateLink fornisce connettività privata tra il tuo VPC e S3 Vectors senza richiedere un gateway Internet o un dispositivo NAT. Gli endpoint dell'interfaccia sono rappresentati da una o più interfacce di rete elastiche (ENI) a cui vengono assegnati indirizzi IP privati dalle sottoreti del tuo VPC. Le richieste ai vettori S3 tramite gli endpoint di interfaccia rimangono sulla rete. AWS

Puoi anche accedere agli endpoint di interfaccia nel tuo VPC da applicazioni locali AWS Direct Connect tramite AWS la nostra rete AWS privata virtuale (VPN). Per ulteriori informazioni su come connettere il VPC alla rete locale, consulta la Guida per l'utente e la Guida per AWS Direct Connect l'utente della AWS Site-to-Site VPN. Per informazioni generali sugli endpoint di interfaccia, consulta Accedere a un AWS servizio utilizzando un endpoint VPC di interfaccia nella Guida.AWS PrivateLink

Vantaggi dell'utilizzo con PrivateLink S3 Vectors

L'utilizzo PrivateLink con S3 Vectors offre diversi vantaggi operativi e di sicurezza:

Nomi e risoluzione DNS degli endpoint VPC

Quando crei un endpoint VPC, S3 Vectors genera due tipi di nomi DNS specifici dell'endpoint: regionale e zonale.

I nomi DNS regionali e zonali degli endpoint VPC di interfaccia per S3 Vectors sono i seguenti:

Puoi anche utilizzare il nome DNS dell'endpoint pubblico s3vectors.region.api.aws come nome DNS privato del servizio endpoint se hai abilitato il DNS privato per l'endpoint VPC.

Indirizzamento IP per gli endpoint di interfaccia

Gli endpoint DNS regionali, zonali e privati di S3 Vectors supportano i tipi IP IPv4, IPv6 e dualstack per. AWS PrivateLinkPer ulteriori informazioni, consulta Tipi di indirizzi IP e Tipo IP dei record DNS per i servizi nella Guida. AWS AWS PrivateLink

Di seguito sono riportate alcune cose che dovresti sapere prima di provare ad accedere agli indici vettoriali e ai bucket vettoriali di S3 Vectors su IPv6 nel tuo VPC:

Creazione di un endpoint di interfaccia VPC per S3 Vectors

Puoi creare un endpoint di interfaccia VPC per S3 Vectors utilizzando la console VPC, l'interfaccia a riga di comando AWS AWS , gli SDK o l'API. AWS

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-12345678 \
    --service-name com.amazonaws.region.s3vectors \
    --vpc-endpoint-type Interface \
    --subnet-ids subnet-12345678 subnet-87654321 \
    --security-group-ids sg-12345678 \
    --ip-address-type dualstack \
    --private-dns-enabled

Per ulteriori informazioni sulla creazione di endpoint VPC, consulta Creare un endpoint VPC nella Guida per l'utente VPC.

Policy degli endpoint VPC per S3 Vectors

Analogamente alle politiche basate sulle risorse, puoi allegare una policy per gli endpoint all'endpoint VPC per controllare l'accesso agli indici vettoriali e ai bucket vettoriali. Per ulteriori informazioni sulle politiche degli endpoint, consulta Controllare l'accesso agli endpoint VPC utilizzando le politiche degli endpoint nella Guida. AWS PrivateLink

Esempi di policy per gli endpoint VPC

Il seguente esempio di policy sugli endpoint VPC consente l'accesso a tutte le operazioni di S3 Vectors per tutti i principali:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:*"
      ],
      "Resource": "*"
    }
  ]
}

Il seguente esempio di politica degli endpoint VPC limita l'accesso a un bucket vettoriale specifico:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:GetVectorBucket",
        "s3vectors:ListIndexes",
        "s3vectors:GetIndex",
        "s3vectors:QueryVectors",
        "s3vectors:GetVectors"
      ],
      "Resource": [
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket/*"
      ]
    }
  ]
}

Il seguente esempio di politica degli endpoint VPC consente l'accesso solo durante l'orario lavorativo utilizzando la aws:CurrentTime chiave di condizione:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3vectors:*",
      "Resource": "*",
      "Condition": {
        "DateGreaterThan": {
          "aws:CurrentTime": "08:00Z"
        },
        "DateLessThan": {
          "aws:CurrentTime": "18:00Z"
        }
      }
    }
  ]
}

Configurazione dei client S3 Vectors per gli endpoint VPC

Quando si utilizzano endpoint VPC con S3 Vectors, è possibile configurare i client S3 Vectors in modo che utilizzino il nome DNS del servizio o il nome DNS dell'endpoint VPC.

Risoluzione dei problemi relativi agli endpoint VPC

Se riscontri problemi con l'endpoint VPC dell'interfaccia, considera i seguenti passaggi per la risoluzione dei problemi:

Monitoraggio dell'utilizzo degli endpoint VPC

Puoi monitorare l'utilizzo degli endpoint VPC S3 Vectors tramite i registri degli eventi. CloudTrail NetworkActivity

Per ulteriori informazioni sulla registrazione di S3 Vectors, consulta. Registrazione con AWS CloudTrail per i vettori S3