本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
VPC 端点
Amazon S3 VPC 端点
许多 Amazon A WorkSpaces pplications 部署都要求通过主文件夹和应用程序设置保持用户状态。启用与这些 Amazon Simple Storage Service
-
它针对 WorkSpaces 应用程序的网络访问要求进行了成本优化
-
无需从本地资源访问 Amazon S3 存储桶
-
自定义策略文档只能用于限制来自 WorkSpaces 应用程序实例的访问权限
创建 VPC 端点网关后，最好是通过创建自定义策略来保护私有化连接。自定义策略以 WorkSpaces 应用程序服务 Identity and Access Management 角色的亚马逊资源名称 (ARN) 开头。明确指定保持用户状态所需的 S3 操作。
注意
Resources 部分中的以下示例首先指定状态主文件夹路径，然后指定应用程序设置路径。
例
亚马逊 WorkSpaces 应用程序 API 接口 VPC 终端节点
在 Amazon WorkSpaces 应用程序的 API 和 CLI 命令源自您的 VPC 的设计场景中，通过接口 VPC 终端节点将这些编程调用私有化。
Amazon WorkSpaces 应用程序流媒体接口 VPC 终端节点
虽然可以通过接口 VPC 终端节点路由 Amazon WorkSpaces 应用程序流式传输流量，但请谨慎使用此配置。通过公共互联网的默认流式传输行为是 Amazon A WorkSpaces pplications 流式传输流量最高效、性能最高的传输方式。
Amazon WorkSpaces 应用程序流媒体接口 VPC 终端节点
如上图所示，公共互联网是通往 Amazon WorkSpaces 应用程序流媒体网关的最有效途径。通过客户托管的 VPC 和网络进行路由会增加复杂性和延迟。它还会增加 Direct Connect的数据传输费用。
注意
VPC 端点仅支持流式传输，并且身份验证仍必须通过公共互联网进行。诸如 SAML 单一 Sign-On (SSO) 身份提供商 (IdP) 之类的必备访问权限仍然是必须的，只能通过公共互联网访问。
