Usar o Elastic Beanstalk com VPC endpoints

Este tópico explica os benefícios que um endpoint de VPC pode oferecer à sua aplicação Elastic Beanstalk. Ele também fornece instruções para criar um endpoint de VPC de interface para um serviço do Elastic Beanstalk.

Um endpoint de VPC permite que você conecte sua VPC de forma privada a AWS serviços compatíveis e serviços de endpoint de VPC fornecidos por AWS PrivateLink, sem precisar de um gateway de internet, dispositivo NAT, conexão VPN ou conexão. Direct Connect

As instâncias na sua VPC não exigem que endereços IP públicos se comuniquem com recursos no serviço. O tráfego entre a sua VPC e os outros serviços não sai da rede da Amazon. Para obter mais informações sobre VPC endpoints, consulte VPC endpoints no Guia do usuário da Amazon VPC.

AWS Elastic Beanstalk suporta AWS PrivateLink, que fornece conectividade privada ao serviço Elastic Beanstalk e elimina a exposição do tráfego à Internet pública. Para permitir que seu aplicativo envie solicitações para o Elastic Beanstalk usando AWS PrivateLink, você configura um tipo de VPC endpoint conhecido como interface VPC endpoint (interface endpoint). Para obter mais informações, consulte Endpoints da VPC da interface (AWS PrivateLink) no Guia do usuário da Amazon VPC.

Suporte para IPv6 com configuração dual-stack

O Elastic Beanstalk oferece suporte ao tráfego de entrada em IPv4 e IPv6. Esta seção descreve os endpoints públicos que oferecem suporte para IPv4 e IPv6 e também explica como configurar os endpoints VPC do Elastic Beanstalk para oferecer suporte ao tráfego de pilha dupla.

Endpoints públicos

O serviço Elastic Beanstalk tem dois conjuntos de endpoints que consistem nos endpoints IPv4 mais antigos e nos endpoints mais recentes com capacidade de pilha dupla. Ambos os conjuntos de endpoints seguem os padrões de nomenclatura AWS :

Os endpoints para integridade do serviço e FIPS têm nomes de host diferentes, mas seguem o mesmo padrão de nome de domínio. Para obter uma lista de endpoints, consulte Endpoints de serviço do Elastic Beanstalk no arquivo Referência geral da Amazon Web Services.

Solicitações ao Elastic Beanstalk

Ao enviar solicitações ao serviço Elastic Beanstalk com a AWS CLI ou o AWS SDK, você pode especificar um endpoint IPv4 ou um endpoint de pilha dupla. O AWS CLI e o AWS SDK usam os IPv4-only endpoints por padrão se um URL de endpoint não for especificado.

O exemplo a seguir demonstra o AWS CLI envio de uma solicitação para um endpoint de pilha dupla:

aws elasticbeanstalk list-available-solution-stacks \
    --endpoint-url "https://elasticbeanstalk.us-east-1.api.aws"

O exemplo a seguir demonstra o SDK do AWS Python enviando uma solicitação para um endpoint de pilha dupla:

import boto3

dual_stack_eb_client = boto3.client(
    service_name='elasticbeanstalk',
    region_name='us-east-1',
    endpoint_url='https://elasticbeanstalk.us-east-1.api.aws';
)

print(dual_stack_eb_client.list_available_solution_stacks())

Endpoints de VPC para IPs de pilha dupla

Para configurar seus endpoints VPC do Elastic Beanstalk para suportar o tráfego de pilha dupla, especifique dualstack para o parâmetro de tipo de endereço IP do endpoint VPC. Você pode especificar esse campo por meio do AWS CLI, do AWS SDK ou do AWS PrivateLink console. Para obter instruções sobre como fazer isso no AWS PrivateLink console, consulte Criar um endpoint VPC no AWS PrivateLink Guia.

O exemplo a seguir demonstra como criar um endpoint VPC de pilha dupla com o AWS CLI:

aws ec2 create-vpc-endpoint \
    --vpc-id "vpc-example"
    --service-name "com.amazonaws.us-east-1.elasticbeanstalk"
    --ip-address-type "dualstack"

Configurar um VPC endpoint para o Elastic Beanstalk

Para criar o VPC endpoint de interface para o serviço do Elastic Beanstalk na VPC, siga o procedimento Criar um endpoint de interface.

Se a VPC estiver configurada com acesso público à Internet, a aplicação ainda poderá acessar o Elastic Beanstalk pela Internet usando o endpoint público elasticbeanstalk.region.amazonaws.com ou elasticbeanstalk.region.api.aws. É possível impedir isso habilitando Enable DNS name (Habilitar nome DNS) durante a criação do endpoint (true por padrão). Isso adiciona uma entrada DNS em sua VPC que mapeia o endpoint público de serviço para o VPC endpoint de interface.

Configurar um VPC endpoint para integridade avançada

Se você habilitou relatórios de integridade aprimorados para seu ambiente, você AWS PrivateLink também pode configurar informações de saúde aprimoradas para serem enviadas. As informações de integridade aprimorada são enviadas pelo daemon healthd, um componente do Elastic Beanstalk nas instâncias do seu ambiente, para um serviço de integridade aprimorada separado do Elastic Beanstalk. Para criar um VPC endpoint de interface para esse serviço na VPC, siga o procedimento Criar um endpoint de interface.

Usar VPC endpoints em uma VPC privada

Uma VPC privada ou uma sub-rede privada em uma VPC não tem acesso público à Internet. Convém executar o ambiente do Elastic Beanstalk em uma VPC privada e configurar VPC endpoints de interface para segurança aprimorada. Nesse caso, lembre-se de que o ambiente pode tentar se conectar à Internet por outros motivos, além de entrar em contato com o serviço do Elastic Beanstalk. Para saber mais sobre como executar um ambiente em uma VPC privada, consulte Executar um ambiente do Elastic Beanstalk em uma VPC privada.