S3 벡터용 VPC 엔드포인트

가상 프라이빗 클라우드(VPC)에서 S3 벡터에 액세스하기 위해 Amazon S3는 AWS PrivateLink(PrivateLink)를 사용하여 인터페이스 VPC 엔드포인트를 지원합니다. PrivateLink는 인터넷 게이트웨이 또는 NAT 디바이스 없이 VPC와 S3 벡터 간에 프라이빗 연결을 제공합니다. 인터페이스 엔드포인트는 VPC의 서브넷에서 프라이빗 IP 주소가 할당된 하나 이상의 탄력적 네트워크 인터페이스(ENI)로 표시됩니다. 인터페이스 엔드포인트를 통해 S3 벡터로 보내는 요청은 AWS 네트워크에 유지됩니다.

또한 AWS Direct Connect 또는 AWS 가상 프라이빗 네트워크(AWS VPN)를 통해 온프레미스 애플리케이션에서 VPC의 인터페이스 엔드포인트에 액세스할 수 있습니다. VPC를 온프레미스 네트워크에 연결하는 방법에 대한 자세한 내용은 AWS Direct Connect 사용 설명서 및 AWS Site-to-Site VPN 사용 설명서를 참조하세요. 인터페이스 엔드포인트에 대한 일반적인 내용은 AWS PrivateLink 사용 설명서의 인터페이스 VPC 엔드포인트를 사용하여 AWS 서비스에 액세스를 참조하세요.

S3 벡터와 함께 PrivateLink를 사용할 때의 이점

S3 벡터와 함께 PrivateLink를 사용하면 다음과 같은 몇 가지 보안 및 운영 이점을 얻을 수 있습니다.

VPC 엔드포인트 DNS 이름 및 확인

VPC 엔드포인트를 생성할 때 S3 Vectors에서는 두 가지 유형의 엔드포인트별 DNS 이름, 즉 리전용과 영역용 DNS 이름을 생성합니다.

S3 Vectors에 대한 인터페이스 VPC 엔드포인트의 리전 및 영역 DNS 이름은 다음과 같습니다.

VPC 엔드포인트에 대해 s3vectors.region.api.aws 프라이빗 DNS를 활성화한 경우 퍼블릭 엔드포인트의 DNS 이름을 엔드포인트 서비스의 프라이빗 DNS 이름으로 사용할 수도 있습니다.

인터페이스 엔드포인트의 IP 주소 지정

S3 Vectors 리전, 영역 및 프라이빗 DNS 엔드포인트는 AWS PrivateLink에 대해 IPv4, IPv6 및 듀얼 스택 IP 유형을 지원합니다. 자세한 내용은 AWS PrivateLink 가이드의 IP 주소 유형 및 AWS 서비스에 대한 DNS 레코드 IP 유형을 참조하세요.

다음은 VPC에서 IPv6을 통해 S3 Vectors 벡터 인덱스 및 벡터 버킷에 액세스하기 전에 알아야 할 몇 가지 사항입니다.

S3 Vectors에 대한 VPC 인터페이스 엔드포인트 생성

VPC 콘솔, AWS CLI, AWS SDK 또는 AWS API를 사용하여 S3 Vectors를 위한 VPC 인터페이스 엔드포인트를 생성할 수 있습니다.

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-12345678 \
    --service-name com.amazonaws.region.s3vectors \
    --vpc-endpoint-type Interface \
    --subnet-ids subnet-12345678 subnet-87654321 \
    --security-group-ids sg-12345678 \
    --ip-address-type dualstack \
    --private-dns-enabled

VPC 엔드포인트 생성에 대한 자세한 내용은 VPC 사용 설명서의 VPC 엔드포인트 생성을 참조하세요.

S3 Vectors에 대한 VPC 엔드포인트 정책

리소스 기반 정책과 마찬가지로 벡터 인덱스 및 벡터 버킷에 대한 액세스를 제어하는 엔드포인트 정책을 VPC 엔드포인트에 연결할 수 있습니다. VPC 엔드포인트 정책에 대한 자세한 내용은 AWS PrivateLink 안내서의 엔드포인트 정책을 사용하여 VPC 엔드포인트에 대한 액세스 제어를 참조하세요.

예제: VPC 엔드포인트 정책

다음 예제 VPC 엔드포인트 정책은 모든 보안 주체의 모든 S3 Vectors 작업에 대한 액세스를 허용합니다.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:*"
      ],
      "Resource": "*"
    }
  ]
}

다음 예제 VPC 엔드포인트 정책은 특정 벡터 버킷에 대한 액세스를 제한합니다.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:GetVectorBucket",
        "s3vectors:ListIndexes",
        "s3vectors:GetIndex",
        "s3vectors:QueryVectors",
        "s3vectors:GetVectors"
      ],
      "Resource": [
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket/*"
      ]
    }
  ]
}

다음 예제 VPC 엔드포인트 정책은 aws:CurrentTime 조건 키를 사용하여 업무 시간 중에만 액세스를 허용합니다.

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3vectors:*",
      "Resource": "*",
      "Condition": {
        "DateGreaterThan": {
          "aws:CurrentTime": "08:00Z"
        },
        "DateLessThan": {
          "aws:CurrentTime": "18:00Z"
        }
      }
    }
  ]
}

VPC 엔드포인트에 대한 S3 Vectors 클라이언트 구성

S3 Vectors와 함께 VPC 엔드포인트를 사용하는 경우 서비스 DNS 이름 또는 VPC 엔드포인트 DNS 이름을 사용하도록 S3 Vectors 클라이언트를 구성할 수 있습니다.

VPC 엔드포인트 문제 해결

인터페이스 VPC 엔드포인트에 문제가 있는 경우 다음 문제 해결 단계를 고려하세요.

VPC 엔드포인트 사용량 모니터링

CloudTrail NetworkActivity 이벤트 로그를 통해 S3 Vectors VPC 엔드포인트 사용량을 모니터링할 수 있습니다.

S3 Vectors 로깅에 대한 자세한 내용은 S3 Vectors용 AWS CloudTrail을 사용하여 로깅 섹션을 참조하세요.