Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Akses pesawat data melalui AWS PrivateLink

Amazon OpenSearch Serverless mendukung dua jenis AWS PrivateLink koneksi untuk bidang kontrol dan operasi pesawat data. Operasi bidang kontrol meliputi pembuatan dan penghapusan koleksi dan pengelolaan kebijakan akses. Operasi bidang data adalah untuk pengindeksan dan kueri data dalam koleksi. Halaman ini mencakup titik akhir VPC bidang data. Untuk informasi tentang AWS PrivateLink titik akhir bidang kontrol, lihatKontrol akses pesawat melalui AWS PrivateLink.

Anda dapat menggunakan AWS PrivateLink untuk membuat koneksi pribadi antara VPC Anda dan Amazon OpenSearch Tanpa Server. Anda dapat mengakses OpenSearch Tanpa Server seolah-olah berada di VPC Anda, tanpa menggunakan gateway internet, perangkat NAT, koneksi VPN, atau koneksi. Direct Connect Instans di VPC Anda tidak memerlukan alamat IP publik untuk OpenSearch mengakses Tanpa Server. Untuk informasi selengkapnya tentang akses jaringan VPC, lihat Pola konektivitas jaringan untuk Amazon OpenSearch Tanpa Server.

Anda membuat koneksi pribadi ini dengan membuat titik akhir antarmuka, yang didukung oleh AWS PrivateLink. Kami membuat antarmuka jaringan endpoint di setiap subnet yang Anda tentukan untuk titik akhir antarmuka. Ini adalah antarmuka jaringan yang dikelola pemohon yang berfungsi sebagai titik masuk untuk lalu lintas yang ditujukan untuk Tanpa Server. OpenSearch

Untuk informasi selengkapnya, lihat Mengakses Layanan AWS melalui AWS PrivateLink di Panduan AWS PrivateLink .

Metode pembuatan titik akhir VPC

Amazon OpenSearch Serverless mendukung dua cara untuk membuat titik akhir VPC bidang data, tergantung pada jenis titik akhir koleksi yang ingin Anda akses. Untuk informasi selengkapnya tentang format titik akhir koleksi, lihatTitik akhir pengumpulan untuk Amazon Tanpa Server OpenSearch.

Resolusi DNS dari titik akhir koleksi Klasik

Saat Anda membuat titik akhir VPC bidang data melalui konsol OpenSearch Tanpa Server, layanan akan membuat zona host Amazon Route 53 pribadi baru dan melampirkannya ke VPC. Zona host pribadi ini terdiri dari catatan untuk menyelesaikan catatan DNS wildcard untuk koleksi OpenSearch Tanpa Server (*.us-east-1.aoss.amazonaws.com) ke alamat antarmuka yang digunakan untuk titik akhir. Anda hanya memerlukan satu titik akhir OpenSearch VPC Tanpa Server di VPC untuk mengakses setiap dan semua koleksi dan Dasbor di masing-masing. AWS Region Setiap VPC dengan titik akhir untuk OpenSearch Tanpa Server memiliki zona host pribadinya sendiri yang terpasang.

Endpoint antarmuka OpenSearch Tanpa Server juga membuat catatan DNS wildcard Route 53 publik untuk semua koleksi di Wilayah. Nama DNS beresolusi ke alamat IP publik Tanpa OpenSearch Server. Klien di VPC yang tidak memiliki titik akhir VPC OpenSearch Tanpa Server atau klien di jaringan publik dapat menggunakan resolver Route 53 publik dan mengakses koleksi dan Dasbor dengan alamat IP tersebut. Jenis alamat IP (IPv4, IPv6, atau Dualstack) dari titik akhir VPC ditentukan berdasarkan subnet yang disediakan saat Anda membuat titik akhir antarmuka untuk Tanpa Server. OpenSearch

Alamat penyelesai DNS untuk VPC tertentu adalah alamat IP kedua dari VPC CIDR. Setiap klien di VPC perlu menggunakan resolver itu untuk mendapatkan alamat titik akhir VPC untuk koleksi apa pun. Penyelesai menggunakan zona host pribadi yang dibuat oleh OpenSearch Tanpa Server. Cukup menggunakan resolver itu untuk semua koleksi di akun apa pun. Dimungkinkan juga untuk menggunakan resolver VPC untuk beberapa titik akhir koleksi dan resolver publik untuk yang lain, meskipun biasanya tidak diperlukan.

VPC dan kebijakan akses jaringan

Untuk memberikan izin jaringan ke OpenSearch API dan Dasbor untuk koleksi Anda, Anda dapat menggunakan kebijakan akses jaringan OpenSearch Tanpa Server. Anda dapat mengontrol akses jaringan ini baik dari titik akhir VPC Anda atau internet publik. Karena kebijakan jaringan Anda hanya mengontrol izin lalu lintas, Anda juga harus menyiapkan kebijakan akses data yang menentukan izin untuk beroperasi pada data dalam koleksi dan indeksnya. Pikirkan titik akhir OpenSearch VPC Tanpa Server sebagai titik akses ke layanan, kebijakan akses jaringan sebagai titik akses tingkat jaringan ke koleksi dan Dasbor, dan kebijakan akses data sebagai titik akses untuk kontrol akses berbutir halus untuk operasi apa pun pada data dalam pengumpulan.

Karena Anda dapat menentukan beberapa ID titik akhir VPC dalam kebijakan jaringan, sebaiknya Anda membuat titik akhir VPC untuk setiap VPC yang perlu mengakses koleksi. VPC ini dapat dimiliki oleh AWS akun yang berbeda dari akun yang memiliki koleksi OpenSearch Tanpa Server dan kebijakan jaringan. Kami tidak menyarankan Anda membuat VPC-to-VPC peering atau solusi proksi lainnya antara dua akun sehingga VPC satu akun dapat menggunakan titik akhir VPC akun lain. Ini kurang aman dan hemat biaya dibandingkan setiap VPC yang memiliki endpoint sendiri. VPC pertama tidak akan mudah terlihat oleh admin VPC lain, yang telah mengatur akses ke titik akhir VPC itu dalam kebijakan jaringan.

VPC dan kebijakan endpoint

Amazon OpenSearch Serverless mendukung kebijakan endpoint untuk VPC. Kebijakan endpoint adalah kebijakan berbasis sumber daya IAM yang Anda lampirkan ke titik akhir VPC untuk mengontrol AWS prinsipal mana yang dapat menggunakan titik akhir untuk mengakses layanan Anda. AWS Untuk informasi selengkapnya, lihat Mengontrol akses ke titik akhir VPC menggunakan kebijakan titik akhir.

Untuk menggunakan kebijakan endpoint, Anda harus terlebih dahulu membuat endpoint antarmuka. Anda dapat membuat titik akhir antarmuka menggunakan konsol OpenSearch Tanpa Server atau API Tanpa Server. OpenSearch Setelah membuat titik akhir antarmuka, Anda perlu menambahkan kebijakan titik akhir ke titik akhir. Untuk informasi selengkapnya, lihat Buat titik akhir OpenSearch Serverless-managed antarmuka (OpenSearch Serverless Classic).

Kebijakan endpoint tidak mengesampingkan atau mengganti kebijakan berbasis identitas lainnya, kebijakan berbasis sumber daya, kebijakan jaringan, atau kebijakan akses data yang mungkin telah Anda konfigurasikan. Untuk informasi selengkapnya tentang memperbarui kebijakan titik akhir, lihat Mengontrol akses ke titik akhir VPC menggunakan kebijakan titik akhir.

Secara default, kebijakan endpoint memberikan akses penuh ke titik akhir VPC Anda.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Meskipun kebijakan titik akhir VPC default memberikan akses titik akhir penuh, Anda dapat mengonfigurasi kebijakan titik akhir VPC untuk mengizinkan akses ke peran dan pengguna tertentu. Untuk melakukan ini, lihat contoh berikut:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "123456789012",
                    "987654321098"
                ]
            },
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Anda dapat menentukan koleksi OpenSearch Tanpa Server yang akan disertakan sebagai elemen bersyarat dalam kebijakan titik akhir VPC Anda. Untuk melakukan ini, lihat contoh berikut:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aoss:collection": [
                        "coll-abc"
                    ]
                }
            }
        }
    ]
}

Support aoss:CollectionId untuk didukung.

Condition": {
         "StringEquals": {
               "aoss:CollectionId": "collection-id"
          }
}

Anda dapat menggunakan identitas SAMP dalam kebijakan titik akhir VPC Anda untuk menentukan akses titik akhir VPC. Anda harus menggunakan wildcard (*) di bagian utama kebijakan titik akhir VPC Anda. Untuk melakukan ini, lihat contoh berikut:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "saml:cn": [
                        "saml/111122223333/idp123/group/football",
                        "saml/111122223333/idp123/group/soccer",
                        "saml/111122223333/idp123/group/cricket"
                    ]
                }
            }
        }
    ]
}

Selain itu, Anda dapat mengonfigurasi kebijakan titik akhir Anda untuk menyertakan kebijakan utama SAMP tertentu. Untuk melakukan ini, lihat yang berikut ini:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/Department": [
                        "Engineering"]
                    }
                }
            }
        ]
    }

Untuk informasi selengkapnya tentang menggunakan otentikasi SAMP dengan Amazon OpenSearch Tanpa Server, lihat otentikasi SAMP untuk Amazon Tanpa Server. OpenSearch

Anda juga dapat menyertakan pengguna IAM dan SAMP dalam kebijakan titik akhir VPC yang sama. Untuk melakukan ini, lihat contoh berikut:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "saml:cn": [
                        "saml/111122223333/idp123/group/football",
                        "saml/111122223333/idp123/group/soccer",
                        "saml/111122223333/idp123/group/cricket"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "111122223333"
                ]
            },
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Anda juga dapat mengakses koleksi Amazon OpenSearch Tanpa Server dari Amazon EC2 melalui titik akhir VPC antarmuka. Untuk informasi selengkapnya, lihat, Akses koleksi OpenSearch Tanpa Server dari Amazon EC2 (melalui titik akhir VPC antarmuka).

Pertimbangan-pertimbangan

Sebelum Anda menyiapkan titik akhir antarmuka untuk OpenSearch Tanpa Server, pertimbangkan hal berikut:

Izin diperlukan

Akses VPC untuk OpenSearch Tanpa Server menggunakan izin AWS Identity and Access Management (IAM) berikut. Anda dapat menentukan kondisi IAM untuk membatasi pengguna ke koleksi tertentu.

Selain itu, Anda memerlukan izin Amazon EC2 dan Route 53 berikut untuk membuat titik akhir VPC.

Buat standar AWS PrivateLink titik akhir antarmuka (Tanpa OpenSearch server NextGen)

Untuk titik akhir NextGen koleksi OpenSearch Tanpa Server aktifon.aws, Anda membuat titik akhir VPC sebagai titik akhir VPC antarmuka standar — dengan cara yang sama seperti yang Anda lakukan untuk yang lain. Layanan AWS Anda dapat menggunakan konsol Amazon VPC atau Amazon CreateVpcEndpoint EC2 API. Anda tidak perlu menggunakan CreateVpcEndpoint API OpenSearch Tanpa Server untuk titik akhir ini.

Titik akhir menyelesaikan semua koleksi di Wilayah di bawah *.aoss.region.on.aws (dan *.aoss-fips.region.on.aws di Wilayah di mana FIPS didukung).

Gunakan nama layanan berikut saat Anda membuat titik akhir VPC:

com.amazonaws.region.aoss-data

Misalnya, di us-east-1 Wilayah, nama layanannya adalahcom.amazonaws.us-east-1.aoss-data.

Setelah membuat titik akhir, Anda dapat menggunakan vpce-abc123def4EXAMPLE ID dalam kebijakan akses jaringan OpenSearch Tanpa Server untuk memberikan akses titik akhir ke koleksi Anda, seperti yang Anda lakukan untuk titik akhir VPC. OpenSearch Serverless-managed

Buat titik akhir OpenSearch Serverless-managed antarmuka (OpenSearch Serverless Classic)

Untuk titik akhir per koleksi Klasik OpenSearch Tanpa Server aktifaoss.amazonaws.com, Anda membuat titik akhir OpenSearch Serverless-managed antarmuka menggunakan konsol Tanpa Server atau API Tanpa OpenSearch Server. OpenSearch

Untuk membuat titik akhir VPC menggunakan API OpenSearch Tanpa Server, gunakan perintah. CreateVpcEndpoint

Setelah membuat titik akhir antarmuka, Anda harus menyediakannya akses ke koleksi melalui kebijakan akses jaringan. Untuk informasi selengkapnya, lihat Akses jaringan untuk Amazon Tanpa OpenSearch Server.

Penyiapan VPC bersama untuk Amazon Tanpa Server OpenSearch

Anda dapat menggunakan Amazon Virtual Private Cloud (VPC) untuk berbagi subnet VPC dengan subnet lain Akun AWS di organisasi Anda, serta berbagi infrastruktur jaringan seperti VPN antar sumber daya dalam beberapa. Akun AWS

Saat ini, Amazon OpenSearch Serverless tidak mendukung pembuatan AWS PrivateLink koneksi ke VPC bersama kecuali Anda adalah pemilik VPC tersebut. AWS PrivateLink juga tidak mendukung berbagi koneksi antara Akun AWS.

Namun, berdasarkan arsitektur OpenSearch Serverless yang fleksibel dan modular, Anda masih dapat mengatur VPC bersama. Ini karena infrastruktur jaringan OpenSearch Tanpa Server terpisah dari infrastruktur pengumpulan individu (OpenSearch Layanan). Oleh karena itu, Anda dapat membuat titik akhir AWS PrivateLink VPCe untuk satu akun di mana VPC berada, dan kemudian menggunakan ID VPCe dalam kebijakan jaringan akun lain untuk membatasi lalu lintas yang hanya berasal dari VPC bersama itu.

Prosedur berikut mengacu pada akun pemilik dan akun konsumen.

Akun pemilik bertindak sebagai akun jaringan umum tempat Anda menyiapkan VPC dan membagikannya dengan akun lain. Akun konsumen adalah akun yang membuat dan memelihara koleksi OpenSearch Tanpa Server mereka di VPC yang dibagikan dengan mereka oleh akun pemilik.

Prasyarat

Pastikan persyaratan berikut terpenuhi sebelum menyiapkan VPC bersama: