Endpoints da VPC para o S3 Vectors

Para acessar o S3 Vectors por meio da nuvem privada virtual (VPC), o Amazon S3 permite endpoints da VPC de interface usando o AWS PrivateLink (PrivateLink). O PrivateLink oferece conectividade privada entre a VPC e o S3 Vectors sem exigir um gateway da internet ou dispositivo NAT. Os endpoints de interface são representados por uma ou mais interfaces de rede elástica (ENIs) que recebem endereços IP privados de sub-redes em sua VPC. As solicitações ao S3 Vectors por meio de endpoints de interface permanecem na AWS.

Também é possível acessar endpoints de interface em sua VPC a partir de aplicações on-premises por meio do AWS Direct Connect ou de uma rede privada virtual da AWS (VPN da AWS). Para ter mais informações sobre como conectar uma VPC à rede on-premises, consulte o Guia do usuário do AWS Direct Connect e o Guia do usuário do AWS Site-to-Site VPN. Para ter mais informações sobre endpoints de interface, consulte Acessar um serviço da AWS usando um endpoint da VPC de interface no Guia do usuário do AWS PrivateLink.

Benefícios do uso do PrivateLink com o S3 Vectors

O uso do PrivateLink com o S3 Vectors oferece vários benefícios operacionais e de segurança:

Nomes e resolução de DNS do endpoint da VPC

Quando você cria um endpoint da VPC, o S3 Vectors gera dois tipos de nome DNS específicos do endpoint: regionais e zonais.

Os nomes de DNS regionais e zonais de endpoints da VPC de interface para o S3 Vectors são os seguintes:

Também é possível usar o nome de DNS do endpoint público s3vectors.region.api.aws como o nome de DNS privado do serviço de endpoint se o DNS privado estiver habilitado para o endpoint da VPC.

Endereçamento IP para endpoints de interface

Os endpoints de DNS regionais, zonais e privados do S3 Vectors permitem os tipos de IP IPv4, IPv6 e pilha dupla para o AWS PrivateLink. Para ter mais informações, consulte Tipos de endereço IP e Tipo de IP de registro de DNS para serviços da AWS no Guia do AWS PrivateLink.

Essas são algumas questões das quais você deve estar ciente antes de tentar acessar índices de vetores e buckets de vetores do S3 Vectors por IPv6 na VPC:

Criar um endpoint da VPC de interface para o S3 Vectors

É possível criar endpoint da VPC de interface para o S3 Vectors usando o console da VPC, a AWS CLI, SDKs da AWS ou a API da AWS.

aws ec2 create-vpc-endpoint \
    --vpc-id vpc-12345678 \
    --service-name com.amazonaws.region.s3vectors \
    --vpc-endpoint-type Interface \
    --subnet-ids subnet-12345678 subnet-87654321 \
    --security-group-ids sg-12345678 \
    --ip-address-type dualstack \
    --private-dns-enabled

Para ter mais informações sobre como criar endpoints da VPC, consulte Criar um endpoint da VPC no Guia do usuário da Amazon VPC.

Políticas de endpoint da VPC para o S3 Vectors

De modo semelhante às políticas baseadas em recurso, é possível anexar uma política de endpoint ao endpoint da VPC para controlar o acesso a índices de vetores e buckets de vetores. Para ter mais informações sobre as políticas de endpoint da VPC, consulte Controlar o acesso aos endpoints da VPC usando políticas de endpoint no “Guia do AWS PrivateLink”.

Exemplo de políticas de endpoint da VPC

O seguinte exemplo de política de endpoint da VPC permite acesso a todas as operações do S3 Vectors para todos as entidades principais:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:*"
      ],
      "Resource": "*"
    }
  ]
}

O seguinte exemplo de política de endpoint da VPC restringe o acesso a um bucket de vetores específico:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3vectors:GetVectorBucket",
        "s3vectors:ListIndexes",
        "s3vectors:GetIndex",
        "s3vectors:QueryVectors",
        "s3vectors:GetVectors"
      ],
      "Resource": [
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket",
        "arn:aws:s3vectors:us-west-2:111122223333:bucket/amzn-s3-demo-vector-bucket/*"
      ]
    }
  ]
}

O seguinte exemplo de política de endpoint da VPC permite acesso somente durante o horário comercial usando a chave de condição aws:CurrentTime:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "s3vectors:*",
      "Resource": "*",
      "Condition": {
        "DateGreaterThan": {
          "aws:CurrentTime": "08:00Z"
        },
        "DateLessThan": {
          "aws:CurrentTime": "18:00Z"
        }
      }
    }
  ]
}

Configurar clientes do S3 Vectors para endpoints da VPC

Ao usar endpoints da VPC com o S3 Vectors, é possível configurar os clientes do S3 Vectors para usarem o nome de DNS do serviço ou o nome de DNS do endpoint da VPC.

Solucionar problemas de endpoints da VPC

Se você encontrar problemas com o endpoint da VPC de interface, considere as seguintes etapas de solução de problemas:

Monitorar o uso do endpoint da VPC

É possível monitorar o uso do endpoint da VPC do S3 Vectors por meio dos logs de eventos NetworkActivity do CloudTrail.

Para ter mais informações sobre o registro em log do S3 Vectors, consulte Registro em log com o AWS CloudTrail para o S3 Vectors.