VPC-Endpunkte für S3-Vektoren

Um von Ihrer Virtual Private Cloud (VPC) aus auf S3 Vectors zuzugreifen, unterstützt Amazon S3 Schnittstellen-VPC-Endpunkte mithilfe AWS PrivateLink von (). PrivateLink PrivateLink bietet private Konnektivität zwischen Ihrer VPC und S3 Vectors, ohne dass ein Internet-Gateway oder ein NAT-Gerät erforderlich ist. Schnittstellenendpunkte werden durch eine oder mehrere elastische Netzwerkschnittstellen (ENIs) repräsentiert, denen private IP-Adressen aus Subnetzen in Ihrer VPC zugewiesen werden. Anfragen an S3 Vectors über Schnittstellenendpunkte bleiben im Netzwerk. AWS

Sie können auch von lokalen Anwendungen aus über AWS Direct Connect ein AWS Virtual Private Network (AWS VPN) auf Schnittstellenendpunkte in Ihrer VPC zugreifen. Weitere Informationen darüber, wie Sie Ihre VPC mit Ihrem lokalen Netzwerk verbinden, finden Sie im AWS Direct Connect Benutzerhandbuch und im AWS Site-to-Site VPN-Benutzerhandbuch. Allgemeine Informationen zu Schnittstellenendpunkten finden Sie im Handbuch unter Zugreifen auf einen AWS Dienst mithilfe eines Schnittstellen-VPC-Endpunkts.AWS PrivateLink

Vorteile der Verwendung PrivateLink mit S3 Vectors

Die Verwendung PrivateLink mit S3 Vectors bietet mehrere Sicherheits- und Betriebsvorteile:

DNS-Namen und Auflösung von VPC-Endpunkten

Wenn Sie einen VPC-Endpunkt erstellen, generiert S3 Vectors zwei Arten von endpunktspezifischen DNS-Namen: Regional und Zonal.

Die regionalen und zonalen DNS-Namen der VPC-Schnittstellen-Endpunkte für S3 Vectors lauten wie folgt:

Sie können den DNS-Namen des öffentlichen Endpunkts auch s3vectors.region.api.aws als privaten DNS-Namen des Endpunktdienstes verwenden, wenn Sie privates DNS für den VPC-Endpunkt aktiviert haben.

IP-Adressierung für Schnittstellenendpunkte

Die regionalen, zonalen und privaten DNS-Endpunkte von S3 Vectors unterstützen IPv4 IPv6, und Dual-Stack-IP-Typen für. AWS PrivateLinkWeitere Informationen finden Sie im Handbuch unter IP-Adresstypen und DNS-Eintrags-IP-Typ für AWS Dienste.AWS PrivateLink

Im Folgenden finden Sie einige Dinge, die Sie wissen sollten, bevor Sie versuchen, IPv6 in Ihrer VPC auf die Vektorindizes und Vektor-Buckets von S3 Vectors zuzugreifen:

Erstellen eines VPC-Schnittstellenendpunkts für S3 Vectors

Sie können mithilfe der VPC-Konsole, AWS CLI oder AWS API einen VPC-Schnittstellenendpunkt für S3 Vectors erstellen. AWS SDKs

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-12345678 \
    --service-name com.amazonaws.region.s3vectors \
    --vpc-endpoint-type Interface \
    --subnet-ids subnet-12345678 subnet-87654321 \
    --security-group-ids sg-12345678 \
    --ip-address-type dualstack \
    --private-dns-enabled

Weitere Informationen zum Erstellen von VPC-Endpoints finden Sie unter Erstellen eines VPC-Endpoints im VPC-Benutzerhandbuch.

VPC-Endpunktrichtlinien für S3 Vectors

Ähnlich wie bei ressourcenbasierten Richtlinien können Sie Ihrem VPC-Endpunkt eine Endpunktrichtlinie hinzufügen, um den Zugriff auf Vektorindizes und Vektor-Buckets zu kontrollieren. Weitere Informationen zu den Endpunktrichtlinien finden Sie im Handbuch unter Steuern des Zugriffs auf VPC-Endpunkte mithilfe von Endpunktrichtlinien. AWS PrivateLink

Beispiel für VPC-Endpunktrichtlinien

Die folgende Beispiel-VPC-Endpunktrichtlinie ermöglicht den Zugriff auf alle S3 Vectors-Operationen für alle Prinzipale:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:*"
      ],
      "Resource": "*"
    }
  ]
}

Die folgende Beispiel-VPC-Endpunktrichtlinie schränkt den Zugriff auf einen bestimmten Vektor-Bucket ein:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:GetVectorBucket",
        "s3vectors:ListIndexes",
        "s3vectors:GetIndex",
        "s3vectors:QueryVectors",
        "s3vectors:GetVectors"
      ],
      "Resource": [
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket/*"
      ]
    }
  ]
}

Die folgende Beispiel-VPC-Endpunktrichtlinie ermöglicht den Zugriff nur während der Geschäftszeiten mithilfe des aws:CurrentTime Bedingungsschlüssels:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3vectors:*",
      "Resource": "*",
      "Condition": {
        "DateGreaterThan": {
          "aws:CurrentTime": "08:00Z"
        },
        "DateLessThan": {
          "aws:CurrentTime": "18:00Z"
        }
      }
    }
  ]
}

Konfiguration von S3 Vectors-Clients für VPC-Endpunkte

Wenn Sie VPC-Endpunkte mit S3 Vectors verwenden, können Sie Ihre S3 Vectors-Clients so konfigurieren, dass sie entweder den DNS-Namen des Dienstes oder den DNS-Namen des VPC-Endpunkts verwenden.

Problembehandlung bei VPC-Endpunkten

Wenn Sie Probleme mit Ihrem Schnittstellen-VPC-Endpunkt haben, sollten Sie die folgenden Schritte zur Fehlerbehebung in Betracht ziehen:

Überwachung der VPC-Endpunktnutzung

Sie können die Nutzung Ihres S3 Vectors VPC-Endpoints anhand von CloudTrail NetworkActivityEreignisprotokollen überwachen.

Weitere Informationen zur Protokollierung von S3 Vectors finden Sie unterLoggen mit AWS CloudTrail für S3 Vectors.