View a markdown version of this page

Utiliser les API Amazon MSK avec les points de terminaison VPC d'interface - Amazon Managed Streaming for Apache Kafka
Contrôlez l'accès aux points de terminaison VPC

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utiliser les API Amazon MSK avec les points de terminaison VPC d'interface

Vous pouvez utiliser un point de terminaison VPC d'interface, alimenté par AWS PrivateLink, pour empêcher le trafic entre votre Amazon VPC et les API Amazon MSK de quitter le réseau Amazon. Les points de terminaison VPC d'interface ne nécessitent pas de passerelle Internet, de périphérique NAT, de connexion VPN ou de connexion Direct AWS Connect. AWS PrivateLinkest une AWS technologie qui permet une communication privée entre les AWS services à l'aide d'une interface réseau élastique avec des adresses IP privées dans votre Amazon VPC. Pour plus d'informations, consultez Amazon Virtual Private Cloud and Interface VPC Endpoints ().AWS PrivateLink

Vos applications peuvent se connecter aux API Amazon MSK Provisioned et MSK Connect à l'aide de. AWS PrivateLink Pour commencer, créez un point de terminaison VPC d'interface pour votre API Amazon MSK afin de démarrer le trafic en provenance et à destination de vos ressources Amazon VPC via le point de terminaison VPC d'interface. FIPS-enabled Les points de terminaison VPC d'interface sont disponibles pour les régions des États-Unis. Pour plus d'informations, consultez la section Créer un point de terminaison d'interface.

Grâce à cette fonctionnalité, vos clients Apache Kafka peuvent récupérer dynamiquement les chaînes de connexion pour se connecter aux ressources MSK Provisioned ou MSK Connect sans passer par Internet pour récupérer les chaînes de connexion.

Lors de la création d'un point de terminaison VPC d'interface, choisissez l'un des points de terminaison de nom de service suivants :

Pour MSK Provisioned :

  • Les points de terminaison de nom de service suivants ne sont plus pris en charge pour les nouvelles connexions :

    • com.amazonaws.region.kafka

    • com.amazonaws.region.kafka-fips () FIPS-enabled

  • Les services de point de terminaison Dualstack prenant en charge à la fois le trafic IPv4 et IPv6 sont les suivants :

    • aws.api.region.kafka-api

    • aws.api.region.kafka-api-fips () FIPS-enabled

Pour configurer les points de terminaison à double pile, vous devez suivre les directives relatives aux points de terminaison Dual-stack FIPS.

Où est le nom de votre région. Choisissez ce nom de service pour travailler avec les Provisioned-compatible API MSK. Pour plus d'informations, consultez la section Opérations dans le https://docs.aws.amazon.com/msk/1.0/apireference/.

Pour MSK Connect :

  • com.amazonaws.region.kafkaconnect

Où est le nom de votre région. Choisissez ce nom de service pour travailler avec les Connect-compatible API MSK. Pour plus d'informations, consultez Actions dans le manuel Amazon MSK Connect API Reference.

Pour plus d'informations, y compris des instructions détaillées pour créer un point de terminaison VPC d'interface, consultez la section Création d'un point de terminaison d'interface dans le AWS PrivateLink Guide.

Contrôlez l'accès aux points de terminaison VPC pour les API Amazon MSK Provisioned ou MSK Connect

Les politiques de point de terminaison VPC vous permettent de contrôler l'accès en attachant une politique à un point de terminaison VPC ou en utilisant des champs supplémentaires dans une politique attachée à un utilisateur, un groupe ou un rôle IAM afin de limiter l'accès uniquement via le point de terminaison VPC spécifié. Utilisez l'exemple de politique approprié pour définir les autorisations d'accès pour le service MSK Provisioned ou MSK Connect.

Si vous n’attachez pas de stratégie quand vous créez un point de terminaison, Amazon VPC attache une stratégie par défaut pour vous qui autorise un accès total au service. Une politique de point de terminaison n’annule pas et ne remplace pas les politiques IAM ou les politiques spécifiques aux services. Il s’agit d’une politique distincte qui contrôle l’accès depuis le point de terminaison jusqu’au service spécifié.

Pour plus d'informations, consultez la section Contrôle de l'accès aux services avec des points de terminaison VPC dans le guide.AWS PrivateLink

MSK Provisioned — VPC policy example
Read-only accès

Cet exemple de politique peut être attaché à un point de terminaison VPC. (Pour de plus amples informations, veuillez consulter Contrôle de l'accès aux ressources VPC Amazon). Il limite les actions à la seule liste et à la description des opérations via le point de terminaison VPC auquel il est attaché.

{
  "Statement": [
    {
      "Sid": "MSKReadOnly",
      "Principal": "*",
      "Action": [
        "kafka:List*",
        "kafka:Describe*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}
MSK Provisioned — Exemple de politique de point de terminaison VPC

Restreindre l'accès à un cluster MSK spécifique

Cet exemple de politique peut être attaché à un point de terminaison VPC. Il restreint l'accès à un cluster Kafka spécifique via le point de terminaison VPC auquel il est attaché.

{
  "Statement": [
    {
      "Sid": "AccessToSpecificCluster",
      "Principal": "*",
      "Action": "kafka:*",
      "Effect": "Allow",
      "Resource": "arn:aws:kafka:us-east-1:123456789012:cluster/MyCluster"
    }
  ]
}
MSK Connect — VPC endpoint policy example
Répertorier les connecteurs et créer un nouveau connecteur

Voici un exemple de politique de point de terminaison pour MSK Connect. Cette politique permet au rôle spécifié de répertorier les connecteurs et de créer un nouveau connecteur.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Sid": "MSKConnectPermissions",
            "Effect": "Allow",
            "Action": [
                "kafkaconnect:ListConnectors",
                "kafkaconnect:CreateConnector"
            ],
            "Resource": "*",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/MyMSKConnectExecutionRole"
                ]
            }
        }
    ]
}
MSK Connect — Exemple de politique de point de terminaison VPC

Autorise uniquement les demandes provenant d'une adresse IP spécifique dans le VPC spécifié

L’exemple suivant montre une politique qui autorise uniquement les demandes provenant d’une adresse IP spécifiée dans le VPC spécifié. Les demandes provenant d’autres adresses IP échoueront.

{
    "Statement": [
        {
            "Action": "kafkaconnect:*",
            "Effect": "Allow",
            "Principal": "*",
            "Resource": "*",
            "Condition": {
                "IpAddress": {
                    "aws:VpcSourceIp": "192.0.2.123"
                },
        "StringEquals": {
                    "aws:SourceVpc": "vpc-555555555555"
                }
            }
        }
    ]
}