Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Accesso al piano dati tramite AWS PrivateLink

Amazon OpenSearch Serverless supporta due tipi di AWS PrivateLink connessioni per le operazioni sul piano di controllo e sul piano dati. Le operazioni del piano di controllo includono la creazione e l'eliminazione di raccolte e la gestione delle politiche di accesso. Le operazioni sul piano dati servono per l'indicizzazione e l'interrogazione dei dati all'interno di una raccolta. Questa pagina descrive gli endpoint VPC del piano dati. Per informazioni sugli AWS PrivateLink endpoint del piano di controllo, vedere. Controlla l'accesso al piano tramite AWS PrivateLink

Puoi usarlo AWS PrivateLink per creare una connessione privata tra il tuo VPC e Amazon OpenSearch Serverless. Puoi accedere a OpenSearch Serverless come se fosse nel tuo VPC, senza l'uso di un gateway Internet, un dispositivo NAT, una connessione VPN o una connessione. Direct Connect Le istanze nel tuo VPC non necessitano di indirizzi IP pubblici per accedere a OpenSearch Serverless. Per ulteriori informazioni sull'accesso alla rete VPC, consulta Modelli di connettività di rete per Amazon OpenSearch Serverless.

Stabilisci questa connessione privata creando un endpoint di interfaccia attivato da AWS PrivateLink. In ciascuna sottorete viene creata un'interfaccia di rete endpoint da specificare per l'endpoint di interfaccia. Si tratta di interfacce di rete gestite dai richiedenti che fungono da punto di ingresso per il traffico destinato a Serverless. OpenSearch

Per ulteriori informazioni, consulta la sezione Accesso a Servizi AWS tramite AWS PrivateLink nella Guida di AWS PrivateLink .

Metodi di creazione di endpoint VPC

Amazon OpenSearch Serverless supporta due modi per creare un endpoint VPC del piano dati, a seconda del tipo di endpoint di raccolta a cui desideri accedere. Per ulteriori informazioni sui formati degli endpoint di raccolta, consulta. Endpoint di raccolta per Amazon Serverless OpenSearch

Risoluzione DNS degli endpoint di raccolta Classic

Quando crei un endpoint VPC del piano dati tramite la console OpenSearch Serverless, il servizio crea una nuova zona ospitata Amazon Route 53 privata e la collega al VPC. Questa zona ospitata privata è costituita da un record per risolvere il record DNS wildcard per le raccolte OpenSearch Serverless (*.us-east-1.aoss.amazonaws.com) negli indirizzi di interfaccia utilizzati per l'endpoint. È sufficiente un solo endpoint VPC OpenSearch serverless in un VPC per accedere a tutte le raccolte e i dashboard di ciascuno di essi. Regione AWS Ogni VPC con un endpoint per OpenSearch Serverless ha una propria zona ospitata privata collegata.

L'endpoint di interfaccia OpenSearch Serverless crea anche un record DNS wildcard pubblico Route 53 per tutte le raccolte nella regione. Il nome DNS viene risolto negli indirizzi IP pubblici Serverless. OpenSearch I client in VPC che non dispongono di un endpoint OpenSearch VPC Serverless o i client in reti pubbliche possono utilizzare il resolver pubblico Route 53 e accedere alle raccolte e ai dashboard con tali indirizzi IP. Il tipo di indirizzo IP (IPv4, IPv6 o Dualstack) dell'endpoint VPC viene determinato in base alle sottoreti fornite quando si crea un endpoint di interfaccia per Serverless. OpenSearch

L'indirizzo del resolver DNS per un determinato VPC è il secondo indirizzo IP del VPC CIDR. Qualsiasi client nel VPC deve utilizzare quel resolver per ottenere l'indirizzo dell'endpoint VPC per qualsiasi raccolta. Il resolver utilizza una zona ospitata privata creata da Serverless. OpenSearch È sufficiente utilizzare quel resolver per tutte le raccolte di qualsiasi account. È anche possibile utilizzare il resolver VPC per alcuni endpoint di raccolta e il resolver pubblico per altri, sebbene in genere non sia necessario.

VPC e politiche di accesso alla rete

Per concedere l'autorizzazione di rete alle OpenSearch API e ai dashboard per le tue raccolte, puoi utilizzare le policy di accesso alla rete OpenSearch Serverless. Puoi controllare questo accesso alla rete dagli endpoint VPC o dalla rete Internet pubblica. Poiché la policy di rete controlla solo le autorizzazioni relative al traffico, è necessario impostare anche una policy di accesso ai dati che specifichi l'autorizzazione a operare sui dati di una raccolta e sui relativi indici. Pensate a un endpoint VPC OpenSearch serverless come punto di accesso al servizio, a una policy di accesso alla rete come punto di accesso a livello di rete a raccolte e dashboard e a una politica di accesso ai dati come punto di accesso per il controllo granulare degli accessi per qualsiasi operazione sui dati della raccolta.

Poiché puoi specificare più ID di endpoint VPC in una policy di rete, ti consigliamo di creare un endpoint VPC per ogni VPC che deve accedere a una raccolta. Questi VPC possono appartenere a AWS account diversi rispetto all'account che possiede la raccolta Serverless e la OpenSearch policy di rete. Non è consigliabile creare una soluzione di VPC-to-VPC peering o altra soluzione di proxy tra due account in modo che il VPC di un account possa utilizzare l'endpoint VPC di un altro account. Si tratta di una soluzione meno sicura ed economica rispetto a ogni VPC con il proprio endpoint. Il primo VPC non sarà facilmente visibile all'amministratore dell'altro VPC, che ha impostato l'accesso all'endpoint di quel VPC nella policy di rete.

VPC e politiche degli endpoint

Amazon OpenSearch Serverless supporta le policy degli endpoint per i VPC. Una policy per gli endpoint è una policy basata sulle risorse IAM che colleghi a un endpoint VPC per controllare quali AWS responsabili possono utilizzare l'endpoint per accedere al tuo servizio. AWS Per ulteriori informazioni, consulta Controllare l'accesso agli endpoint VPC utilizzando le policy degli endpoint.

Per utilizzare una policy per gli endpoint, devi prima creare un endpoint di interfaccia. È possibile creare un endpoint di interfaccia utilizzando la console Serverless o l' OpenSearch API Serverless. OpenSearch Dopo aver creato l'endpoint di interfaccia, dovrai aggiungere la policy dell'endpoint all'endpoint. Per ulteriori informazioni, consulta Crea un endpoint di OpenSearch Serverless-managed interfaccia (Serverless Classic) OpenSearch.

Una policy per gli endpoint non sostituisce né sostituisce altre politiche basate sull'identità, politiche basate sulle risorse, politiche di rete o politiche di accesso ai dati che potresti aver configurato. Per ulteriori informazioni sull'aggiornamento delle policy degli endpoint, consulta Controllare l'accesso agli endpoint VPC utilizzando le policy degli endpoint.

Per impostazione predefinita, una policy per gli endpoint garantisce l'accesso completo all'endpoint VPC.

{
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Sebbene la policy degli endpoint VPC predefinita garantisca l'accesso completo agli endpoint, puoi configurare una policy degli endpoint VPC per consentire l'accesso a ruoli e utenti specifici. A tale scopo, consulta l'esempio seguente:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "123456789012",
                    "987654321098"
                ]
            },
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Puoi specificare una raccolta OpenSearch Serverless da includere come elemento condizionale nella tua policy degli endpoint VPC. A tale scopo, consulta l'esempio seguente:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aoss:collection": [
                        "coll-abc"
                    ]
                }
            }
        }
    ]
}

Il supporto per aoss:CollectionId è supportato.

Condition": {
         "StringEquals": {
               "aoss:CollectionId": "collection-id"
          }
}

Puoi utilizzare le identità SAML nella tua policy degli endpoint VPC per determinare l'accesso agli endpoint VPC. È necessario utilizzare un carattere jolly (*) nella sezione principale della policy degli endpoint VPC. A tale scopo, consulta l'esempio seguente:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "saml:cn": [
                        "saml/111122223333/idp123/group/football",
                        "saml/111122223333/idp123/group/soccer",
                        "saml/111122223333/idp123/group/cricket"
                    ]
                }
            }
        }
    ]
}

Inoltre, puoi configurare la tua policy sugli endpoint per includere una politica principale SAML specifica. A tale scopo, consulta quanto segue:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/Department": [
                        "Engineering"]
                    }
                }
            }
        ]
    }

Per ulteriori informazioni sull'utilizzo dell'autenticazione SAML con Amazon OpenSearch Serverless, consulta Autenticazione SAML per Amazon Serverless. OpenSearch

Puoi anche includere utenti IAM e SAML nella stessa policy degli endpoint VPC. A tale scopo, consulta l'esempio seguente:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "saml:cn": [
                        "saml/111122223333/idp123/group/football",
                        "saml/111122223333/idp123/group/soccer",
                        "saml/111122223333/idp123/group/cricket"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "111122223333"
                ]
            },
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Puoi anche accedere a una raccolta Amazon OpenSearch Serverless da Amazon EC2 tramite endpoint VPC di interfaccia. Per ulteriori informazioni, consulta Accedere a una raccolta OpenSearch serverless da Amazon EC2 (tramite endpoint VPC di interfaccia).

Considerazioni

Prima di configurare un endpoint di interfaccia per OpenSearch Serverless, considera quanto segue:

Autorizzazioni richieste

L'accesso VPC per OpenSearch Serverless utilizza le seguenti autorizzazioni AWS Identity and Access Management (IAM). È possibile specificare le condizioni IAM per limitare gli utenti a raccolte specifiche.

Inoltre, sono necessarie le seguenti autorizzazioni Amazon EC2 e Route 53 per creare un endpoint VPC.

Crea uno standard AWS PrivateLink endpoint di interfaccia (OpenSearch Serverless NextGen)

Per gli endpoint di NextGen raccolta OpenSearch Serverless attivion.aws, crei l'endpoint VPC come endpoint VPC con interfaccia standard, nello stesso modo in cui lo fai per qualsiasi altro. Servizio AWS Puoi utilizzare la console Amazon VPC o l'API Amazon CreateVpcEndpoint EC2. Non è necessario utilizzare l'CreateVpcEndpointAPI OpenSearch Serverless per questi endpoint.

L'endpoint risolve tutte le raccolte nella regione *.aoss.region.on.aws (e nelle regioni *.aoss-fips.region.on.aws in cui è supportato FIPS).

Utilizza il seguente nome di servizio quando crei l'endpoint VPC:

com.amazonaws.region.aoss-data

Ad esempio, nella us-east-1 regione, il nome del servizio è. com.amazonaws.us-east-1.aoss-data

Dopo aver creato l'endpoint, puoi utilizzare l'vpce-abc123def4EXAMPLEID nelle politiche di accesso alla rete OpenSearch Serverless per concedere all'endpoint l'accesso alle tue raccolte, allo stesso modo per gli endpoint OpenSearch Serverless-managed VPC.

Crea un endpoint di OpenSearch Serverless-managed interfaccia (Serverless Classic) OpenSearch

Per gli endpoint OpenSearch Serverless Classic per raccolta attiviaoss.amazonaws.com, crei un endpoint di OpenSearch Serverless-managed interfaccia utilizzando la console Serverless o l'API OpenSearch Serverless. OpenSearch

Per creare un endpoint VPC utilizzando l'API OpenSearch Serverless, usa il comando. CreateVpcEndpoint

Dopo aver creato un endpoint di interfaccia, è necessario fornirgli l'accesso alle raccolte tramite policy di accesso alla rete. Per ulteriori informazioni, consulta Accesso alla rete per Amazon OpenSearch Serverless.

Configurazione VPC condivisa per Amazon Serverless OpenSearch

Puoi utilizzare Amazon Virtual Private Cloud (VPC) per condividere sottoreti VPC con altri Account AWS membri dell'organizzazione, nonché condividere infrastrutture di rete come una VPN tra più risorse. Account AWS

Attualmente, Amazon OpenSearch Serverless non supporta la creazione di una AWS PrivateLink connessione a un VPC condiviso a meno che tu non sia il proprietario di quel VPC. AWS PrivateLink inoltre non supporta la condivisione di connessioni tra. Account AWS

Tuttavia, sulla base dell'architettura flessibile e modulare di OpenSearch Serverless, puoi comunque configurare un VPC condiviso. Questo perché l'infrastruttura di rete OpenSearch Serverless è separata da quella dell'infrastruttura di raccolta individuale (OpenSearch Service). È quindi possibile creare un endpoint AWS PrivateLink VPCe per un account in cui si trova un VPC e quindi utilizzare un ID VPCE nella politica di rete di altri account per limitare il traffico proveniente solo da quel VPC condiviso.

Le seguenti procedure si riferiscono a un account proprietario e a un account consumatore.

Un account proprietario funge da account di rete comune in cui è possibile configurare un VPC e condividerlo con altri account. Gli account consumer sono quegli account che creano e gestiscono le proprie raccolte OpenSearch Serverless nel VPC condiviso con loro dall'account proprietario.

Prerequisiti

Assicurati che siano soddisfatti i seguenti requisiti prima di configurare il VPC condiviso: