View a markdown version of this page

Cross-region enabled AWS-Services - Amazon Virtual Private Cloud
Ansicht verfügbar AWS-Service namesBerechtigungen und ÜberlegungenErstellen Sie einen Schnittstellenendpunkt zu einem AWS-Service in einer anderen Region

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Cross-region enabled AWS-Services

Folgendes AWS-Services lässt sich in Cross Region integrieren. AWS PrivateLink Sie können einen Schnittstellenendpunkt erstellen, um eine private Verbindung zu diesen Diensten in einer anderen AWS Region herzustellen, als ob sie in Ihrer eigenen VPC ausgeführt würden.

Wählen Sie den Link in der AWS-Service Spalte, um die Servicedokumentation aufzurufen. Die Spalte Dienstname enthält den Dienstnamen, den Sie beim Erstellen des Schnittstellenendpunkts angeben.

AWS-Service Service-Name
Amazon S3 com.amazonaws. region.s3
AWS Identity and Access Management (ICH BIN) com.amazonaws.iam
Amazon ECR com.amazonaws. region.ecr.api
com.amazonaws. region.ecr.dkr
AWS Key Management Service com.amazonaws. region.kms
com.amazonaws. region.kms-fips
Amazon ECS com.amazonaws. region.ecs
AWS Lambda com.amazonaws. region.lambda
Amazon Data Firehose com.amazonaws. region.kinesis - Feuerwehrschlauch
Amazon Managed Service für Apache Flink com.amazonaws. region.kines ist Analytik
com.amazonaws. region.kinesisanalytics-fips
Amazon Route 53 com.amazonaws.route53

Ansicht verfügbar AWS-Service names

Sie können den Befehl describe-vpc-endpoint-services verwenden, um regionsübergreifende Dienste anzuzeigen.

Das folgende Beispiel zeigt AWS-Services , dass ein Benutzer in der us-east-1 Region über Schnittstellenendpunkte auf die angegebene Dienstregion () zugreifen kann. us-west-2 Die Option --query beschränkt die Ausgabe auf die Servicenamen.

aws ec2 describe-vpc-endpoint-services \
  --filters Name=service-type,Values=Interface Name=owner,Values=amazon \ 
  --region us-east-1 \
  --service-region us-west-2 \
  --query ServiceNames

Es folgt eine Beispielausgabe. Die vollständige Ausgabe wird nicht angezeigt.

[
    "com.amazonaws.us-west-2.ecr.api",
    "com.amazonaws.us-west-2.ecr.dkr",
    "com.amazonaws.us-west-2.ecs",
    "com.amazonaws.us-west-2.ecs-fips",
    ...
    "com.amazonaws.us-west-2.s3"
]
Anmerkung

Sie müssen regionales DNS verwenden. Zonales DNS wird beim Zugriff AWS-Services in einer anderen Region nicht unterstützt. Weitere Informationen finden Sie unter Anzeigen und Aktualisieren von DNS-Attributen im Amazon VPC-Benutzerhandbuch.

Berechtigungen und Überlegungen

  • Standardmäßig sind IAM-Entitäten nicht berechtigt, auf eine AWS-Service in einer anderen Region zuzugreifen. Um die für den regionsübergreifenden Zugriff erforderlichen Berechtigungen zu gewähren, kann ein IAM-Administrator IAM-Richtlinien erstellen, die die Aktion nur mit Berechtigungen zulassen. vpce:AllowMultiRegion

  • Stellen Sie sicher, dass Ihre Service Control Policy (SCP) Aktionen, die nur auf Berechtigungen beschränkt sind, nicht verweigert. vpce:AllowMultiRegion Um die AWS PrivateLink regionsübergreifende Konnektivitätsfunktion verwenden zu können, müssen sowohl Ihre Identitätsrichtlinie als auch Ihr SCP diese Aktion zulassen.

  • Verwenden Sie den Bedingungsschlüssel, um die Regionen zu steuern, die eine IAM-Entität beim Erstellen eines VPC-Endpunkts als Serviceregion angeben kann. ec2:VpceServiceRegion

  • Ein Servicenutzer muss sich für eine Opt-in-Region anmelden, bevor er sie als Serviceregion für einen Endpunkt auswählen kann. Wann immer möglich, empfehlen wir Servicekunden, auf einen Dienst zuzugreifen, indem sie die innerregionale Konnektivität statt die regionsübergreifende Konnektivität verwenden. Intra-Region Konnektivität bietet eine geringere Latenz und niedrigere Kosten.

  • Mit dem neuen aws:SourceVpcArn globalen Bedingungsschlüssel von IAM können Sie sicherstellen, von welchen Regionen AWS-Konten und VPCs aus auf Ihre Ressourcen zugegriffen werden kann. Dieser Schlüssel hilft bei der Implementierung der Datenresidenz und der regionsbasierten Zugriffskontrolle.

  • Für eine hohe Verfügbarkeit erstellen Sie einen regionsübergreifenden Schnittstellenendpunkt in mindestens zwei Availability Zones. In diesem Fall müssen Anbieter und Verbraucher nicht dieselben Availability Zones verwenden.

  • AWS PrivateLink Verwaltet mit regionsübergreifendem Zugriff den Failover zwischen Availability Zones sowohl in Service- als auch in Verbraucherregionen. Es verwaltet kein regionsübergreifendes Failover.

  • Regionsübergreifender Zugriff wird für die folgenden Availability Zones nicht unterstützt: use1-az3usw1-az2, apne1-az3apne2-az2, undapne2-az4.

  • Sie können AWS Fault Injection Service es verwenden, um regionale Ereignisse zu simulieren und Ausfallszenarien für regionsinterne und regionsübergreifende Schnittstellenendpunkte zu modellieren. Weitere Informationen finden Sie in der Dokumentation. AWS FIS

Erstellen Sie einen Schnittstellenendpunkt zu einem AWS-Service in einer anderen Region

Informationen zum Erstellen eines Schnittstellenendpunkts mithilfe der Konsole finden Sie im Abschnitt VPC-Endpunkt erstellen.

In der CLI können Sie den Befehl create-vpc-endpoint verwenden, um einen VPC-Endpunkt für einen in einer anderen Region zu erstellen. AWS-Service Im folgenden Beispiel wird von einem VPC-Eingang aus ein Schnittstellenendpunkt zu Amazon S3 in us-west-2 erstellt. us-east-1

aws ec2 create-vpc-endpoint \
  --vpc-id vpc-id \ 
  --service-name com.amazonaws.us-west-2.s3 \
  --vpc-endpoint-type Interface \
  --subnet-ids subnet-id-1 subnet-id-2 \ 
  --region us-east-1 \
  --service-region us-west-2