在 Amazon SES 中使用全局端点 - Amazon Simple Email Service
什么是全局端点？全局端点工作原理设置全局端点准备辅助区域使用全局端点最佳实践和注意事项定价

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Amazon SES 中使用全局端点

Amazon SES 全局端点是一项增强电子邮件发送操作连续性和可靠性的功能。本章将指导您了解全局端点的概念、设置和用法，帮助您利用多区域发送（MRS）为您的电子邮件工作负载实现更高的可用性和改进的灾难恢复能力。

什么是全局端点？

全局端点是一种资源，允许您在两个 AWS 区域之间分配 SES 出站工作负载。一旦配置，SES 会自动在选定的主区域和辅助区域之间分割您的发送流量。如果任一区域发生故障，SES 将自动将流量从受影响区域转移出去，以保持发送操作的连续性。

使用全局端点的主要好处包括：

  • 改进的电子邮件发送连续性

  • 区域之间的自动失效转移

  • 简化的多区域配置

全局端点工作原理

当您设置全局端点时，您选择一个主区域（端点创建的位置）和一个辅助区域。然后 SES 创建一个多区域端点（MREP），作为您电子邮件发送请求的入口点。

全局端点设置过程将关键构件和发送限制从您的主区域同步到辅助区域。这确保了两个区域具有同等的已验证身份、配置集以及足以满足所有预期容量的批准发送限制。

在全局终端节点准备就绪且在 SendEmail API 调用中指定其终端节点 ID 后，SES 会自动在主区域和次要区域之间均匀地路由您的出站流量。如果任一区域发生故障，流量将从该区域加权转移到另一个区域，直到故障解决。

设置全局端点

先决条件

在创建全局终端节点之前，您首先需要授予 SES 权限，以便在您的账户中创建服务相关角色 (SLRs)。这些角色启用创建、使用和监控全局端点所需的基本服务功能和资源访问。这可以通过实施以下策略来完成：

JSON
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "ses.amazonaws.com"
        }
      }
    }
  ]
}

创建全局端点

创建全局端点：

  1. 打开 SES 控制台，网址为https://console.aws.amazon.com/ses/。

  2. 在导航窗格中，选择全局端点。

  3. 选择创建全局端点，然后在名称字段中输入名称。

  4. 从下拉菜单中选择一个辅助区域。（您的主区域默认为您登录控制台时所在的区域。）

  5. （可选）向您的全局端点添加一个或多个标签。

  6. 查看配置并选择创建全局端点。

创建过程可能需要几秒钟。完成后，您的全局端点状态将变为“就绪”。

使用 AWS CLI：

aws sesv2 create-multi-region-endpoint --primary-region us-west-2 --secondary-region us-east-1 --endpoint-name MyGlobalEndpoint

在上述示例中：

  • us-west-2替换为您的全球终端节点的主区域。

  • us-east-1替换为全球终端节点的次要区域。

  • MyGlobalEndpoint替换为友好名称以提供您的全球终端节点。

全局端点状态

全局端点可以具有以下状态：

  • 正在创建：资源正在配置

  • 就绪：资源已准备就绪，可供使用

  • 失败：资源未能成功配置

  • 正在删除：资源正在按请求被删除

准备辅助区域

既然您已经创建了全局端点，现在必须确保您的电子邮件发送配置（包括其所有组件：身份、配置集、电子邮件模板和发送限制）在主区域和辅助区域之间保持一致，然后才能利用全局端点发送电子邮件。这种一致性对于避免潜在问题并确保正确的电子邮件传递和跟踪至关重要。

控制台中的区域复制功能通过自动将资源和账户级别设置从主区域复制到辅助区域来帮助您，这将快速帮助您确保两个区域具有等效的配置。

根据资源依赖性，复制资源的顺序很重要。为避免冲突，请遵循以下主题顺序：

复制配置集

您可以从主区域选择多个配置集及其设置，在辅助区域中进行复制。

“复制配置集”功能允许您：

  • 一次性将多个配置集复制到辅助区域。

  • 检查主区域和辅助区域中配置集之间的差异。

要复制配置集，请执行以下操作：

  1. 在全局端点页面上，通过从名称列中选择它来选择要复制的全局端点。

  2. 在复制配置集卡片中，展开配置集操作，然后选择复制。

  3. 最多选择 10 个配置集，然后选择确认。

  4. 如果状态不成功，请选择查看报告以识别问题。

  5. （可选）对于先前复制的配置集，您可以通过在选择检查差异的同时重复最后三个步骤来检查主区域和辅助区域之间的差异。

注意

  • 如果您复制的配置集包含事件目的地、声誉选项、归档选项，或者在电子邮件模板中被引用，则需要在辅助区域中手动配置这些设置。

  • 如果您在主区域的配置集中为已发送（出站）电子邮件启用了归档，则必须使用在辅助区域创建的具有相同名称的归档，在辅助区域的配置集中手动为已发送（出站）电子邮件启用归档。

复制已验证的域身份

为确保全局端点配置有效工作，您的发送域身份需要在主区域和辅助区域都经过验证。SES 使用 Deterministic Easy DKIM（DEED） 来简化此过程。

Deterministic Easy DKIM (DEED) 是一项功能，它 AWS 区域 基于配置了 Easy DKIM 的父域在所有域中生成一致的 DKIM 令牌。这种一致性允许 SES 在域在主区域验证后自动在辅助区域验证该域，无需额外的 DNS 记录更新。因此，您必须确保要复制的域身份（即父域）已配置了 Easy DKIM。

“复制已验证的域身份”功能允许您：

  • 一次性将多个域身份复制到辅助区域。

  • 使用 Deterministic Easy DKIM（DEED）自动验证它们。

  • 检查主区域和辅助区域中身份之间的差异。

要从 SES 控制台复制身份，请执行以下操作：

  1. 在全局端点页面上，通过从名称列中选择它来选择要复制的全局端点。

  2. 在复制已验证的域身份卡片中，展开身份操作，然后选择复制。

  3. 最多选择 10 个身份，然后选择确认。

  4. 如果状态不成功，请选择查看报告以识别问题。

  5. （可选）对于先前复制的身份，您可以通过在选择检查差异的同时重复最后三个步骤来检查主区域和辅助区域之间的差异。

注意

  • 使用 BYODKIM 验证的域身份或是自签名的，需要在辅助区域手动创建，因为 DEED 在这种情况下不适用。

  • 使用邮件发件人属性、策略或反馈转发和通知的域身份需要在辅助区域手动配置这些功能。

复制生产限制

SES 检查区域之间的发送限制是否一致，并允许您在需要时请求提高辅助区域的限制。

“复制生产限制”功能允许您：

  • 检查主区域和辅助区域之间的生产限制是否一致。

  • 如果需要，请求提高辅助区域的限制。

要复制生产限制，请执行以下操作：

  1. 在全局端点页面上，通过从名称列中选择它来选择要复制的全局端点。

  2. 在复制生产限制卡片中，如果状态显示发送限制不一致，请展开发送限制操作。

  3. 为辅助区域选择管理发送限制。

  4. 服务配额页面将在辅助区域打开，您可以在其中请求提高“发送配额”和“发送速率”以匹配主区域的值。

    提示

    建议您请求在两个区域都有资格获得的最大配额。虽然在正常操作条件下电子邮件流量分布在两个区域，但在失效转移事件期间，全部的电子邮件流量将发送到一个区域，其限制应足以处理全部流量负载。

  5. （可选）您也可以通过为主区域选择管理发送限制并重复前两个步骤来请求提高主区域的生产限制。

重要

两个区域必须具有您打算用于发送电子邮件的同等已验证身份和配置集，以及匹配的发送限制，以确保全局端点的正常功能，这一点至关重要。任何差异都可能导致传递失败、失效转移可靠性降低和指标缺失。

使用全局端点

与您的应用程序集成

在应用程序中使用全局端点需要您获取其端点 ID。

要检索全局端点的端点 ID，请执行以下操作：

  1. 从 SES 控制台，转到全局端点页面，通过从名称列中选择它来选择要使用的全局端点。

  2. 在全局端点详细信息页面上，选择端点 ID 下的复制图标。

使用 AWS CLI：

aws sesv2 get-multi-region-endpoint --endpoint-name MyGlobalEndpoint --region us-west-2

在上述示例中：

  • MyGlobalEndpoint替换为您在创建全局端点时为其提供的友好名称。

  • us-west-2替换为您创建全球终端节点的主要区域。

  • API 响应将包含您的端点 ID 的值，例如 "EndpointId": "abcdef12.g3h"。

一旦获得全局端点的端点 ID，您可以更新您的 SendEmail 或 SendBulkEmail API 调用，以将端点 ID 值包含在 endpoint-id 参数中。以下是如何使用以下方法在 SendEmail API 调用中指定终端节点 ID 的示例 AWS CLI：

aws sesv2 send-email \ 
                --from-email-address "sender@example.com" \ 
                --destination "ToAddresses=recipient@example.com" \ 
                --content "Subject={Data=Test email,Charset=UTF-8},Body={Text={Data=This is a test email sent using Amazon SES Global endpoints.,Charset=UTF-8}}" \ 
                --endpoint-id "abcdef12.g3h"

abcdef12.g3h替换为您通过控制台或 API 获得的实际终端节点 ID。

监控和指标

全局端点功能提供了跨主区域和辅助区域的电子邮件发送量的统一视图。您可以通过 SES 控制台中全局端点详细信息页面上的跨区域指标选项卡访问这些指标。

要访问两个区域的发送指标，请执行以下操作：

  1. 从 SES 控制台，转到全局端点页面，通过从名称列中选择它来选择要查看其指标的全局端点。

  2. 在全局端点详细信息页面上选择跨区域指标选项卡，并输入最多 31 天的日期范围。将显示给定日期范围内两个区域的指标。

使用 AWS CLI：

aws cloudwatch get-metric-statistics \ 
                --namespace AWS/SES \ 
                --metric-name SendCount \ 
                --dimensions Name=ses:multi-region-endpoint-id,Value=abcdef12.g3h \ 
                --start-time 2024-10-01T00:00:00Z \ --end-time 2024-10-31T23:59:59Z \ 
                --period 86400 \ 
                --statistics Sum

abcdef12.g3h替换为您实际的终端节点 ID。

最佳实践和注意事项

遵循这些最佳实践和注意事项有助于确保跨多个 AWS 区域 全球端点的有效利用、监控和成本优化，从而提高电子邮件发送功能的可用性和可靠性。

  • 定期同步对构件（例如，配置集、已验证身份）所做的任何更改，以保持发送完整性。

  • 监控跨区域指标以确保流量分布平衡并识别任何潜在问题。

  • 请注意，虽然全局端点提供了改进的可用性，但它们不会改变 SES 出站的区域可用性的物理状态。

  • 请注意，在推出时，全局端点不支持 SMTP 或 VPC 端点访问。

  • 如果使用 AWS 地址转换网关，请考虑可能产生的出口费用。

  • 请注意，在向启用 MREP 的远程区域发出调用时，API 延迟可能会略有增加。

定价

虽然确切的定价细节可能会有变动，但对于同等数量的邮件，预计全局端点将比单区域发送收取价格溢价。尽管存在此增长，但总体成本预计将与其他电子邮件服务提供商保持竞争力。

要了解更多 up-to-date定价信息，请参阅 Amazon SES 定价页面。