本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# VPC 端点
<a name="vpc-endpoints"></a>

## Amazon S3 VPC 端点
<a name="amazon-s3-vpc-endpoint"></a>

 许多 Amazon A WorkSpaces pplications 部署都要求通过主文件夹和应用程序设置保持用户状态。启用与这些 [https://aws.amazon.com/s3/](https://aws.amazon.com/s3/) (Amazon S3) 位置的私密通信，因为这样可以避免使用公共互联网。您可以通过 VPC 端点网关实现此目的。对于 [https://docs.aws.amazon.com/AmazonS3/latest/userguide/privatelink-interface-endpoints.html](https://docs.aws.amazon.com/AmazonS3/latest/userguide/privatelink-interface-endpoints.html)，VPC 端点网关比AWS PrivateLink 更受青睐，因为：
+  它针对 WorkSpaces 应用程序的网络访问要求进行了成本优化 
+  无需从本地资源访问 Amazon S3 存储桶 
+  自定义策略文档只能用于限制来自 WorkSpaces 应用程序实例的访问权限 

 创建 VPC 端点网关后，最好是通过创建[https://docs.aws.amazon.com/appstream2/latest/developerguide/managing-network-vpce-iam-policy.html](https://docs.aws.amazon.com/appstream2/latest/developerguide/managing-network-vpce-iam-policy.html)来保护私有化连接。自定义策略以 WorkSpaces 应用程序服务 Identity and Access Management 角色的亚马逊资源名称 (ARN) 开头。明确指定保持用户状态所需的 S3 操作。

**注意**  
`Resources` 部分中的以下示例首先指定状态主文件夹路径，然后指定应用程序设置路径。

**Example**  

## 亚马逊 WorkSpaces 应用程序 API 接口 VPC 终端节点
<a name="amazon-appstream-2.0-api-interface-vpc-endpoint"></a>

 [https://docs.aws.amazon.com/appstream2/latest/developerguide/access-api-cli-through-interface-vpc-endpoint.html](https://docs.aws.amazon.com/appstream2/latest/developerguide/access-api-cli-through-interface-vpc-endpoint.html)

## Amazon WorkSpaces 应用程序流媒体接口 VPC 终端节点
<a name="amazon-appstream-2.0-streaming-interface-vpc-endpoint"></a>

 虽然可以通过[https://docs.aws.amazon.com/appstream2/latest/developerguide/creating-streaming-from-interface-vpc-endpoints.html](https://docs.aws.amazon.com/appstream2/latest/developerguide/creating-streaming-from-interface-vpc-endpoints.html)，但请谨慎使用此配置。通过公共互联网的默认流式传输行为是 Amazon A WorkSpaces pplications 流式传输流量最高效、性能最高的传输方式。

![该图显示了流量如何通过互联网在 Amazon WorkSpaces 应用程序流网关之间移动。](http://docs.aws.amazon.com/zh_cn/whitepapers/latest/best-practices-for-deploying-amazon-appstream-2/images/appstream-streaming-interface.png)


 *Amazon WorkSpaces 应用程序流媒体接口 VPC 终端节点* 

 如上图所示，公共互联网是通往 Amazon WorkSpaces 应用程序流媒体网关的最有效途径。通过客户托管的 VPC 和网络进行路由会增加复杂性和延迟。它还会增加 Direct Connect的数据传输费用。

**注意**  
VPC 端点仅支持流式传输，并且身份验证仍必须通过公共互联网进行。诸如 SAML 单一 Sign-On (SSO) 身份提供商 (IdP) 之类的必备访问权限仍然是必须的，只能通过公共互联网访问。