AWS CloudHSM e endpoints da VPC

É possível estabelecer uma conexão privada entre a VPC e o AWS CloudHSM criando um endpoint da VPC de interface. Os endpoints de interface são habilitados por AWS PrivateLink, uma tecnologia que permite acessar de forma privada as APIs do AWS CloudHSM sem um gateway da Internet, um dispositivo NAT, uma conexão VPN ou uma conexão do AWS Direct Connect. As instâncias AWS CloudHSM na sua VPC não precisam de endereços IP públicos para a comunicação com APIs . O tráfego de rede entre a VPC e o AWS CloudHSM não deixa a rede da Amazon.

Cada endpoint de interface é representado por uma ou mais Interfaces de Rede Elástica nas sub-redes.

Para obter mais informações, consulte endpoints da VPC de interface (AWS PrivateLink) no Guia do usuário da Amazon VPC.

Considerações sobre endpoints da VPC do AWS CloudHSM

Antes de configurar um endpoint da VPC de interface para AWS CloudHSM, certifique-se de revisar as Propriedades e limitações do endpoint de interface no Guia do Usuário da Amazon VPC.

Criar um VPC endpoint da VPC de interface para o AWS CloudHSM

É possível criar um endpoint da VPC para o serviço AWS CloudHSM usando o console do Amazon VPC ou a AWS Command Line Interface (AWS CLI). Para obter mais informações, consulte Criar um endpoint de interface no Guia do Usuário do Amazon VPC.

Para criar um endpoint da VPC para o AWS CloudHSM, use o seguinte nome de serviço:

com.amazonaws.<region>.cloudhsmv2

Por exemplo, na Região Oeste dos EUA (Oregon) (us-west-2), o nome do serviço seria:

com.amazonaws.us-west-2.cloudhsmv2

Para facilitar o uso do endpoint da VPC, é possível habilitar um nome de host DNS privado para o endpoint da VPC. Se você selecionar a opção Habilitar nome DNS privado, o nome de host DNS AWS CloudHSM padrão (https://cloudhsmv2.<region>.amazonaws.com e https://cloudhsmv2.<region>.api.aws) será resolvido para o endpoint da VPC.

Essa opção facilita usar o endpoint da VPC. Os AWS SDKs e a AWS CLI usam o nome de host DNS padrão do AWS CloudHSM. Dessa forma, não é necessário especificar o URL do endpoint da VPC em aplicações e comandos.

Para obter mais informações, consulte Acessar um serviço por um endpoint de interface no Manual do Usuário do Amazon VPC.

Criar uma política de endpoint da VPC para o AWS CloudHSM

É possível anexar uma política de endpoint ao endpoint da VPC que controla o acesso ao AWS CloudHSM. Essa política especifica as seguintes informações:

Para obter mais informações, consulte Controlar o acesso a serviços com endpoints da VPC no Guia do Usuário do Amazon VPC.

Exemplo: política de endpoint da VPC para ações do AWS CloudHSM

Veja a seguir um exemplo de uma política de endpoint para o AWS CloudHSM. Quando anexada a um endpoint, essa política concede acesso às ações indicadas do AWS CloudHSM para todos os principais em todos os recursos. Consulte Gerenciamento de identidade e acesso para o AWS CloudHSM para outras ações do AWS CloudHSM e suas permissões correspondentes do IAM.

{
   "Statement":[
      {
         "Principal":"*",
         "Effect":"Allow",
         "Action":[
            "<cloudhsm>:<DescribeBackups>",
            "<cloudhsm>:<DescribeClusters>",
            "<cloudhsm>:<ListTags>",
         ],
         "Resource":"*"
      }
   ]
}