Puntos de conexión de VPC para vectores de S3

Para acceder a vectores de S3 desde la nube privada virtual (VPC), Amazon S3 admite puntos de conexión de VPC de la interfaz mediante AWS PrivateLink (PrivateLink). PrivateLink proporciona conectividad privada entre la VPC y vectores de S3 sin necesidad de una puerta de enlace de Internet o un dispositivo NAT. Los puntos de conexión de la interfaz se representan mediante una o más interfaces de red elásticas (ENI) a las que se asignan direcciones IP privadas desde subredes de la VPC. Las solicitudes a vectores de S3 a través de puntos de conexión de interfaz permanecen en la red de AWS.

También puede acceder a los puntos de conexión de la interfaz de la VPC desde aplicaciones en las instalaciones a través de la AWS Direct Connect o la red privada virtual (VPN) de AWS (VPN de AWS). Para obtener más información sobre cómo conectar la VPC a la red en las instalaciones, consulte la Guía del usuario de AWS Direct Connect y la Guía del usuario de Site-to-Site VPN de AWS. Para obtener información general sobre los puntos de conexión de interfaz, consulte Acceso a un servicio de AWS mediante un punto de conexión de VPC de interfaz en la Guía del usuario de AWS PrivateLink.

Beneficios de usar PrivateLink con vectores de S3

El uso de PrivateLink con vectores de S3 ofrece varios beneficios operativos y de seguridad:

Nombres y resolución de DNS del punto de conexión de VPC

Cuando se crea un punto de conexión de VPC, los vectores de S3 generan dos tipos de nombres de DNS específicos del punto de conexión: regional y zonal.

Los nombres de DNS regionales y zonales de los puntos de conexión de VPC de la interfaz para los vectores de S3 son los siguientes:

También puede usar el nombre de DNS del punto de conexión público s3vectors.region.api.aws como nombre de DNS privado del servicio de punto de conexión si tiene el DNS privado habilitado para el punto de conexión de VPC.

Direccionamiento IP para los puntos de conexión de la interfaz

Los puntos de conexión de DNS regionales, zonales y privados de vectores de S3 admiten los tipos de IP IPv4, IPv6 y de doble pila para AWS PrivateLink. Para obtener más información, consulte los tipos de direcciones IP y el tipo de IP del registro de DNS para los servicios de AWS en la Guía de AWS PrivateLink.

A continuación, se describen algunos puntos que debe saber antes de intentar acceder a índices de vectores de S3 y buckets de vectores mediante IPv6 en la VPC:

Creación de un punto de conexión de interfaz de VPC para vectores de S3

Puede crear un punto de conexión de interfaz de la VPC para vectores de S3 mediante la consola de la VPC, la CLI de AWS, los AWS SDK o la API de AWS.

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-12345678 \
    --service-name com.amazonaws.region.s3vectors \
    --vpc-endpoint-type Interface \
    --subnet-ids subnet-12345678 subnet-87654321 \
    --security-group-ids sg-12345678 \
    --ip-address-type dualstack \
    --private-dns-enabled

Para obtener más información sobre creación de puntos de conexión de VPC, consulte Crear un punto de conexión de VPC en la Guía del usuario de VPC.

Políticas de puntos de conexión de VPC para vectores de S3

Al igual que sucede con las políticas basadas en recursos, puede adjuntar una política de punto de conexión al punto de conexión de VPC que controle el acceso a los índices de vectores y los buckets de vectores. Para obtener más información sobre las políticas de punto de conexión, consulte Control del acceso a puntos de conexión de VPC mediante políticas de punto de conexión en la Guía de AWS PrivateLink.

Políticas de punto de conexión de VPC de ejemplo

La política de punto de conexión de VPC de ejemplo siguiente permite el acceso a todas las operaciones de vectores de S3 para todas las entidades principales:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:*"
      ],
      "Resource": "*"
    }
  ]
}

La política de punto de conexión de VPC de ejemplo siguiente restringe el acceso a un bucket vectorial específico:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:GetVectorBucket",
        "s3vectors:ListIndexes",
        "s3vectors:GetIndex",
        "s3vectors:QueryVectors",
        "s3vectors:GetVectors"
      ],
      "Resource": [
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket/*"
      ]
    }
  ]
}

La política de punto de conexión de VPC de ejemplo siguiente permite el acceso solo durante el horario laboral mediante la clave de condición aws:CurrentTime:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3vectors:*",
      "Resource": "*",
      "Condition": {
        "DateGreaterThan": {
          "aws:CurrentTime": "08:00Z"
        },
        "DateLessThan": {
          "aws:CurrentTime": "18:00Z"
        }
      }
    }
  ]
}

Configuración de clientes de vectores de S3 para puntos de conexión de VPC

Al usar puntos de conexión de VPC con vectores de S3, puede configurar los clientes de vectores de S3 para que usen el nombre de DNS del servicio o el nombre de DNS del punto de conexión de VPC.

Solución de problemas de puntos de conexión de VPC

Si tiene problemas con el punto de conexión de VPC de la interfaz, tenga en cuenta los siguientes pasos de solución de problemas:

Supervisión del uso de punto de conexión de VPC

Puede supervisar el uso de los puntos de conexión de VPC de vectores de S3 mediante los registros de eventos de CloudTrail NetworkActivity.

Para obtener más información sobre los registros de vectores de S3, consulte Registro con AWS CloudTrail para S3 Vectors.