API Amazon DocumentDB et points de terminaison VPC d'interface ()AWS PrivateLink

Vous pouvez établir une connexion privée entre votre VPC et les points de terminaison de l'API Amazon DocumentDB en créant un point de terminaison VPC d'interface. Les points de terminaison de l'interface sont alimentés par AWS PrivateLink.

Bien que les clusters basés sur des instances Amazon DocumentDB ne nécessitent pas de connexion de point de terminaison VPC d'interface, ils AWS PrivateLink vous permettent d'accéder de manière privée aux opérations de l'API Amazon DocumentDB sans passerelle Internet, périphérique NAT, connexion VPN ou connexion. AWS Direct Connect Les instances Amazon DocumentDB de votre VPC n'ont pas besoin d'adresses IP publiques pour communiquer avec les points de terminaison de l'API Amazon DocumentDB afin de lancer, de modifier ou de résilier des instances de base de données et des clusters de bases de données. Vos instances Amazon DocumentDB n'ont pas non plus besoin d'adresses IP publiques pour utiliser les opérations d'API Amazon DocumentDB disponibles. Le trafic entre votre VPC et Amazon DocumentDB ne quitte pas le réseau Amazon.

Chaque point de terminaison d'interface est représenté par une ou plusieurs interfaces réseau Elastic dans vos sous-réseaux. Pour plus d'informations, consultez la section Elastic network interfaces dans le guide de EC2 l'utilisateur Amazon.

Pour plus d'informations sur les points de terminaison VPC, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC d'interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud ().AWS PrivateLink Pour plus d'informations sur les opérations Amazon DocumentDB, consultez le. Référence d'API de gestion des clusters, des instances et des ressources Amazon DocumentDB

Considérations relatives aux points de terminaison d'un VPC

Avant de configurer un point de terminaison VPC d'interface pour les points de terminaison d'API Amazon DocumentDB, assurez-vous de consulter les prérequis du point de terminaison d'interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud ().AWS PrivateLink

Toutes les opérations d'API Amazon DocumentDB relatives à la gestion des ressources Amazon DocumentDB sont disponibles depuis votre VPC à l'aide de. AWS PrivateLink

Les politiques de point de terminaison VPC sont prises en charge pour les points de terminaison d'API Amazon DocumentDB. Par défaut, l'accès complet aux opérations de l'API Amazon DocumentDB est autorisé via le point de terminaison. Pour plus d'informations, consultez la section Contrôler l'accès aux points de terminaison VPC à l'aide des politiques relatives aux points de terminaison dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Disponibilité dans les Régions

L'API Amazon DocumentDB prend actuellement en charge les points de terminaison VPC dans les domaines suivants : Régions AWS

Création d'un point de terminaison VPC d'interface pour l'API Amazon DocumentDB

Vous pouvez créer un point de terminaison VPC pour l'API Amazon DocumentDB à l'aide de la console Amazon VPC ou du (). AWS Command Line Interface AWS CLI Pour plus d'informations, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC d'interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Créez un point de terminaison VPC pour l'API Amazon DocumentDB à l'aide du nom du service. com.amazonaws.region.rds

Sauf Régions AWS en Chine, si vous activez le DNS privé pour le point de terminaison, vous pouvez envoyer des demandes d'API à Amazon DocumentDB avec le point de terminaison VPC en utilisant son nom DNS par défaut pour Régions AWS, par exemple rds.us-east-1.amazonaws.com. Pour la Chine (Pékin) et la Chine (Ningxia) Régions AWS, vous pouvez effectuer des demandes d'API avec le point de terminaison VPC en utilisant respectivement rds-api.cn-north-1.amazonaws.com .cn et rds-api.cn-northwest-1.amazonaws.com .cn.

Pour plus d'informations, consultez la section Accès et Service AWS utilisation d'un point de terminaison VPC d'interface dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Création d'une politique de point de terminaison VPC pour l'API Amazon DocumentDB

Vous pouvez associer une politique de point de terminaison à votre point de terminaison VPC qui contrôle l'accès à l'API Amazon DocumentDB. La politique spécifie les informations suivantes :

Pour plus d'informations, consultez la section Contrôler l'accès aux points de terminaison VPC à l'aide des politiques relatives aux points de terminaison dans le guide de l'utilisateur d'Amazon Virtual Private Cloud (AWS PrivateLink).

Exemple : politique de point de terminaison VPC pour les actions d'API Amazon DocumentDB

Voici un exemple de politique de point de terminaison pour l'API Amazon DocumentDB. Lorsqu'elle est attachée à un point de terminaison, cette politique accorde l'accès aux actions d'API Amazon DocumentDB répertoriées pour tous les principaux sur toutes les ressources.

{
"Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "docdb:CreateDBInstance",
            "docdb:ModifyDBInstance",
            "docdb:CreateDBSnapshot"
         ],
         "Resource":"*"
      }
   ]
}

Exemple : politique de point de terminaison VPC qui refuse tout accès depuis un compte spécifié AWS

La politique de point de terminaison VPC suivante refuse au AWS compte 123456789012 tout accès aux ressources utilisant le point de terminaison. La politique autorise toutes les actions provenant d'autres comptes.

{
  "Statement": [
    {
      "Action": "*",
      "Effect": "Allow",
      "Resource": "*",
      "Principal": "*"
    },
    {
      "Action": "*",
      "Effect": "Deny",
      "Resource": "*",
      "Principal": { "AWS": [ "123456789012" ] }
     }
   ]
}