VPC 接続ワークフローのインターネットアクセス

AWS HealthOmics 実行を VPC に接続すると、実行はその VPC 内で利用可能なリソースにのみアクセスできます。実行に VPC 外のパブリックインターネットまたは AWS サービスへのアクセスを許可するには、適切なネットワークリソースを使用して VPC を設定する必要があります。

このトピックでは、VPC 接続実行の サービスへの AWS インターネットアクセスと効率的な接続を提供するように VPC を設定する方法について説明します。実行を VPC に接続する方法については、「」を参照してくださいHealthOmics ワークフローを VPC に接続する。

インターネットアクセスを使用した VPC のセットアップ

VPC に接続された実行にインターネットへのアクセスを許可するには、NAT ゲートウェイを介してアウトバウンドトラフィックをルーティングするプライベートサブネットを持つ VPC を作成します。

この設定では、以下が提供されます。

サポートされるリージョンとアベイラビリティーゾーン

HealthOmics ワークフローは、次のリージョンとアベイラビリティーゾーンで動作します。VPC を作成するときは、サブネットがこれらのアベイラビリティーゾーンの 1 つ以上にあることを確認します。

HealthOmics VPC 設定を作成するときは、プライベートサブネットを指定します。実行では、パブリックサブネットの NAT ゲートウェイを使用してインターネットにアクセスします。

AWS サービスの VPC エンドポイント

VPC エンドポイントを設定して、パブリックインターネットを経由せずに が AWS サービスにアクセスできるようにします。これにより、セキュリティが向上し、データ転送コストを削減できます。

次の表に、HealthOmics の実行によく使用される VPC エンドポイントを示します。

AWS PrivateLink エンドポイントを介してアクセスできるサービスの完全なリストは、AWSAWS PrivateLink と統合されているサービスにあります。エンドポイントのセットアップ手順の詳細については、「 AWS PrivateLink ガイド」の「PrivateLink を介して AWS サービスにアクセスする」を参照してください。 AWS PrivateLink

NAT ゲートウェイの要件

パブリックインターネットアクセスを必要とする実行の場合:

セキュリティグループの設定

実行がアクセスする必要がある送信先へのアウトバウンドトラフィックを許可するようにセキュリティグループを設定します。

次の例は、パブリックインターネットアクセスのセキュリティグループルールを示しています。

ルートテーブルの設定

プライベートサブネットに、インターネットにバインドされたトラフィックを NAT ゲートウェイに送信するルートテーブルエントリがあることを確認します。

オンプレミスリソースにアクセスするには、仮想プライベートゲートウェイまたはゲートウェイへのルートを設定します。

AWS サービスの IAM アクセス許可

ワークフロータスクが VPC ネットワークモードで Amazon Athena、 AWS Glue、Amazon DynamoDB などの AWS サービスにアクセスする場合は、StartRunAPI に渡すサービスロールに必要なアクセス許可を追加する必要があります。これらのアクセス許可がないと、ワークフロータスクは AccessDeniedExceptionまたは UnauthorizedException エラーで失敗します。

ワークフローがアクセス許可エラーで失敗した場合、ワークフロー実行の CloudWatch Logs ログを確認します。一般的なエラーメッセージには、 AccessDeniedException: You are not authorized to perform: action on the resource (サービスロールに必要な IAM アクセス許可がない) または UnrecognizedClientException: The security token included in the request is invalid (サービスロールの信頼ポリシーが正しく設定されていないか、渡されたロール ARN が正しくない可能性があります) StartRun が含まれます。

一般的なサービスアクセス許可

次の例は、VPC モードワークフローで一般的に使用される AWS サービスの IAM アクセス許可を示しています。ワークフローがアクセスするサービスに基づいて、これらのアクセス許可をサービスロールポリシーに追加します。

{
  "Effect": "Allow",
  "Action": [
    "athena:StartQueryExecution",
    "athena:GetQueryExecution",
    "athena:GetQueryResults",
    "athena:StopQueryExecution"
  ],
  "Resource": "arn:aws:athena:region:account-id:workgroup/workgroup-name"
}

{
  "Effect": "Allow",
  "Action": [
    "glue:GetDatabase",
    "glue:GetTable",
    "glue:GetPartitions",
    "glue:CreateTable",
    "glue:UpdateTable"
  ],
  "Resource": [
    "arn:aws:glue:region:account-id:catalog",
    "arn:aws:glue:region:account-id:database/database-name",
    "arn:aws:glue:region:account-id:table/database-name/*"
  ]
}

{
  "Effect": "Allow",
  "Action": [
    "dynamodb:GetItem",
    "dynamodb:PutItem",
    "dynamodb:Query",
    "dynamodb:Scan"
  ],
  "Resource": "arn:aws:dynamodb:region:account-id:table/table-name"
}

{
  "Effect": "Allow",
  "Action": [
    "s3tables:GetTableData",
    "s3tables:PutTableData"
  ],
  "Resource": "arn:aws:s3tables:region:account-id:bucket/bucket-name/table/table-id"
}

VPC 接続のテスト

本番稼働用ワークフローを実行する前に、VPC 設定で必要な外部サービスへの接続が許可されていることを確認します。

テストワークフローを作成する

外部サービスへの接続をテストするシンプルなワークフローを作成します。たとえば、ターゲットサービスエンドポイントへの TCP 接続を試みるワークフローを作成します。

テストを実行する

aws omics start-run \
  --workflow-id test-workflow-id \
  --role-arn role-arn \
  --output-uri s3://bucket-name/test-outputs/ \
  --networking-mode VPC \
  --configuration-name configuration-name \
  --parameters file://test-parameters.json

結果の確認

ワークフロー出力をチェックして、正常な接続を確認します。

{
  "connectivity_test.result": "Testing connection to external service...\nSUCCESS: Connection successful!\nTest completed"
}

テストが失敗した場合は、以下を確認します。

例

API 認証による NCBI データへのアクセス

この例では、認証で NCBI Datasets API を使用して NCBI データにアクセスする方法を示します。

NCBI API キーを取得するには、NCBI API キーのドキュメントを参照してください。

ワークフロー定義の例:

version 1.0
#WORKFLOW DEFINITION

# Meant to be used as integration test for public internet access via VPC tunnel
workflow TestFlow {
    input {
        String ncbi_api_url = "https://api.ncbi.nlm.nih.gov/datasets/v2/gene/accession/NM_021803.4?api_key=<YOUR_API_KEY>"
    }

    call DataProcessTask{
        input:
            ncbi_api_url = ncbi_api_url,
    }

    output {
        File output_file = DataProcessTask.output_file
    }

}

#Task Definitions
task DataProcessTask {
    input {
        String ncbi_api_url
    }

    command <<<
        set -eu
        # Download file from NCBI Datasets API with API key
        curl -fsSL "~{ncbi_api_url}" -o gene_data.json

        # Add data processing task here
        cat gene_data.json > processed_data.json

        # Echo the content to output file
        cat processed_data.json > outfile.txt
    >>>

    output {
        File output_file = "outfile.txt"
    }
}

キーポイント:

NCBI API キーとレート制限の詳細については、NCBI データセット API ドキュメントを参照してください。

ベストプラクティス