VPC-connected 工作流程的互联网接入

当您将 AWS HealthOmics 运行连接到 VPC 时，该运行只能访问该 VPC 内的可用资源。要允许您的运行访问公共互联网或 VPC 之外的 AWS 服务，您必须使用适当的网络资源配置 VPC。

本主题介绍如何设置您的 VPC，以便为您的 VPC-connected 运行提供互联网访问和与 AWS 服务的高效连接。有关将运行连接到 VPC 的信息，请参阅将 HealthOmics 工作流程连接到 VPC。

设置可访问互联网的 VPC

要让您的 VPC-connected 跑步能够访问互联网，请创建一个带有私有子网的 VPC，用于通过 NAT 网关路由出站流量。

此配置提供：

受支持的区域和可用区

HealthOmics 工作流程在以下区域和可用区运行。创建 VPC 时，请确保您的子网位于其中一个或多个可用区中。

创建 HealthOmics VPC 配置时，请指定私有子网。运行使用公有子网中的 NAT 网关来访问互联网。

AWS 服务的 VPC 终端节点

您可以将 VPC 终端节点配置为允许在不通过公共互联网的情况下运行访问 AWS 服务。这可以提高安全性并降低数据传输成本。

下表列出了 HealthOmics 运行时常用的 VPC 终端节点：

您可以通过 AWS PrivateLink 终端节点访问的服务的完整列表可在与集成的AWS 服务中找到 AWS PrivateLink。有关端点设置的详细说明，请参阅AWS PrivateLink 指南 AWS PrivateLink中的通过访问 AWS 服务。

NAT 网关要求

对于需要公共互联网访问的跑步：

安全组配置

配置您的安全组，以允许出站流量到达您的运行需要访问的目的地：

以下示例显示了用于公共互联网访问的安全组规则：

路由表配置

确保您的私有子网有路由表条目，可将互联网流量定向到 NAT 网关：

要访问本地资源，请配置指向虚拟私有网关或网关的路由。

AWS 服务的 IAM 权限

当您的工作流程任务在 VPC 联网模式下访问 Amazon Athena AWS 、Glue 或 Amazon DynamoDB 等 AWS 服务时，您必须向传递给 API 的服务角色添加必要的权限。StartRun如果没有这些权限，您的工作流程任务将失败并AccessDeniedExceptionUnauthorizedException出现错误。

如果您的工作流程因权限错误而失败，请查看工作流程运行的 CloudWatch 日志日志。常见的错误消息包括AccessDeniedException: You are not authorized to perform: action on the resource（服务角色缺少所需的 IAM 权限）或UnrecognizedClientException: The security token included in the request is invalid（服务角色信任策略可能配置错误，或者传递StartRun给的角色 ARN 不正确）。

常用服务权限

以下示例显示了 VPC 模式工作流程中常用 AWS 服务的 IAM 权限。根据您的工作流程访问的服务，将这些权限添加到您的服务角色策略中。

{
  "Effect": "Allow",
  "Action": [
    "athena:StartQueryExecution",
    "athena:GetQueryExecution",
    "athena:GetQueryResults",
    "athena:StopQueryExecution"
  ],
  "Resource": "arn:aws:athena:region:account-id:workgroup/workgroup-name"
}

{
  "Effect": "Allow",
  "Action": [
    "glue:GetDatabase",
    "glue:GetTable",
    "glue:GetPartitions",
    "glue:CreateTable",
    "glue:UpdateTable"
  ],
  "Resource": [
    "arn:aws:glue:region:account-id:catalog",
    "arn:aws:glue:region:account-id:database/database-name",
    "arn:aws:glue:region:account-id:table/database-name/*"
  ]
}

{
  "Effect": "Allow",
  "Action": [
    "dynamodb:GetItem",
    "dynamodb:PutItem",
    "dynamodb:Query",
    "dynamodb:Scan"
  ],
  "Resource": "arn:aws:dynamodb:region:account-id:table/table-name"
}

{
  "Effect": "Allow",
  "Action": [
    "s3tables:GetTableData",
    "s3tables:PutTableData"
  ],
  "Resource": "arn:aws:s3tables:region:account-id:bucket/bucket-name/table/table-id"
}

测试 VPC 连接

在运行生产工作流程之前，请验证您的 VPC 配置是否允许连接到所需的外部服务。

创建测试工作流程

创建一个简单的工作流程来测试与外部服务的连接。例如，创建一个尝试与目标服务端点建立 TCP 连接的工作流。

运行测试

aws omics start-run \
  --workflow-id test-workflow-id \
  --role-arn role-arn \
  --output-uri s3://bucket-name/test-outputs/ \
  --networking-mode VPC \
  --configuration-name configuration-name \
  --parameters file://test-parameters.json

验证结果

检查工作流程输出以确认连接成功：

{
  "connectivity_test.result": "Testing connection to external service...\nSUCCESS: Connection successful!\nTest completed"
}

如果测试失败，请验证以下内容：

示例

使用 API 身份验证访问 NCBI 数据

此示例演示如何使用带有身份验证的 NCBI 数据集 API 访问 NCBI 数据。

要获取 NCBI API 密钥，请访问 NCBI API 密钥文档。

工作流程定义示例：

version 1.0
#WORKFLOW DEFINITION

# Meant to be used as integration test for public internet access via VPC tunnel
workflow TestFlow {
    input {
        String ncbi_api_url = "https://api.ncbi.nlm.nih.gov/datasets/v2/gene/accession/NM_021803.4?api_key=<YOUR_API_KEY>"
    }

    call DataProcessTask{
        input:
            ncbi_api_url = ncbi_api_url,
    }

    output {
        File output_file = DataProcessTask.output_file
    }

}

#Task Definitions
task DataProcessTask {
    input {
        String ncbi_api_url
    }

    command <<<
        set -eu
        # Download file from NCBI Datasets API with API key
        curl -fsSL "~{ncbi_api_url}" -o gene_data.json

        # Add data processing task here
        cat gene_data.json > processed_data.json

        # Echo the content to output file
        cat processed_data.json > outfile.txt
    >>>

    output {
        File output_file = "outfile.txt"
    }
}

要点：

有关 NCBI API 密钥和速率限制的更多信息，请参阅 NCBI 数据集 API 文档。

最佳实践