View a markdown version of this page

访问 AWS 并行计算服务 使用接口端点 (AWS PrivateLink) - AWS 个
注意事项创建接口端点创建端点策略

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

访问 AWS 并行计算服务 使用接口端点 (AWS PrivateLink)

您可以使用 AWS PrivateLink 在 VPC 和 AWS 并行计算服务 (AWS PCS) 之间创建私有连接。您可以像在 VPC 中 AWS PCS 一样进行访问，无需使用互联网网关、NAT 设备、VPN 连接或 Direct Connect 连接。VPC 中的实例不需要公有 IP 地址即可访问 AWS PCS。

您可以通过创建由 AWS PrivateLink提供支持的接口端点来建立此私有连接。我们将在您为接口端点启用的每个子网中创建一个端点网络接口。这些是请求者托管的网络接口，用作发往 AWS PCS的流量的入口点。

有关更多信息，请参阅AWS PrivateLink 指南 AWS PrivateLink中的 AWS 服务 直通访问。

注意事项 AWS PCS

在为设置接口终端节点之前 AWS PCS，请查看AWS PrivateLink 指南中的使用接口 VPC 终端节点访问 AWS 服务。

AWS PCS 支持通过接口端点调用其所有 API 操作。

Dual-stack 端点要求

默认情况下， AWS PCS 代理连接到双栈（IPv4 和 IPv6）端点。pcs.region.api.aws此名称必须解析为您的 VPC 中接口 VPC 终端节点的私有 IP 地址。region替换为的 ID AWS 区域，例如us-east-1。

  • 如果您使用 Amazon-provided DNS，请在创建终端节点时在 “其他设置” 下选中 “启用 DNS 名称”，并确保为 VPC 启用 DNS 主机名和 DNS 解析。

  • 如果您使用自定义 DNS，请确保它可以解析pcs.region.api.aws到终端节点。

如果您的 VPC 无法直接访问互联网，则必须配置 VPC 终端节点，以使您的计算节点组实例能够调用 AWS PCS RegisterComputeNodeGroupInstance API 操作。

为创建接口端点 AWS PCS

您可以创建接口终端节点以 AWS PCS 使用 Amazon VPC 控制台或 AWS Command Line Interface (AWS CLI)。有关更多信息，请参阅《AWS PrivateLink 指南》中的创建接口端点。

为 AWS PCS 使用以下服务名称创建接口端点：

com.amazonaws.region.pcs

region替换为的 ID AWS 区域 以在中创建端点，例如us-east-1。

如果您为接口终端节点启用私有 DNS，则 AWS PCS 可以使用其区域 DNS 名称发出 API 请求。例如 pcs.us-east-1.api.aws。

为 VPC 端点创建端点策略

端点策略是一种 IAM 资源，您可以将其附加到接口端点。默认终端节点策略允许 AWS PCS 通过接口端点进行完全访问。要控制允许 AWS PCS 来自您的 VPC 的访问，请将自定义终端节点策略附加到接口终端节点。

端点策略指定以下信息：

  • 可执行操作的主体（AWS 账户、IAM 用户和 IAM 角色）。

  • 可执行的操作。

  • 可对其执行操作的资源。

有关更多信息，请参阅《AWS PrivateLink 指南》中的使用端点策略控制对服务的访问权限。

示例：的 VPC 终端节点策略 AWS PCS actions

以下是自定义端点策略的示例。当您将此策略附加到接口终端节点时，它会向具有指定cluster-id集群的所有委托人授予对所列 AWS PCS 操作的访问权限。region替换为集 AWS 区域 群的 ID，例如us-east-1。account-id替换为群集的 AWS 账户 编号。

{
    "Statement": [
            {
                "Action": [
                "pcs:CreateCluster",
                "pcs:ListClusters",
                "pcs:DeleteCluster",
                "pcs:GetCluster",
                ],
                "Effect": "Allow",
                "Principal": "*",
                "Resource": [
                    "arn:aws:pcs:region:account-id:cluster/cluster-id*"
                ]
            }
        ]
}