Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurations de ressources pour les ressources d’un VPC

Une configuration de ressources représente une ressource individuelle, un groupe de ressources ou une liste de plages d'adresses CIDR que vous souhaitez rendre accessibles aux clients d'autres VPC et comptes. En définissant une configuration de ressources, vous pouvez autoriser une connectivité réseau privée, sécurisée et unidirectionnelle aux ressources de votre VPC à partir de clients d'autres VPC et comptes. Une configuration de ressources est associée à une passerelle de ressources via laquelle elle reçoit le trafic. Pour qu'une ressource soit accessible depuis un autre VPC, elle doit disposer d'une configuration de ressources.

Types de configurations de ressources

Une configuration de ressources peut être de plusieurs types. Les différents types aident à représenter différents types de ressources. Les types sont les suivants :

L'image suivante montre la configuration d'une ressource unique, d'une ressource enfant et d'une ressource de groupe :

Protocole

Lorsque vous créez une configuration de ressource, vous pouvez définir les protocoles que la ressource prendra en charge. Actuellement, seul le protocole TCP est pris en charge.

Pour les configurations de ressources CIDR, le protocole doit être le suivant TCP_UDP : seul le protocole TCP est pris en charge pour le trafic des applications, le protocole UDP est uniquement pris en charge pour les requêtes DNS.

Passerelle de ressources

Une configuration de ressources est associée à une passerelle de ressources. Une passerelle de ressources est un ensemble d'ENI qui servent de point d'entrée dans le VPC dans lequel se trouve la ressource. Plusieurs configurations de ressources peuvent être associées à la même passerelle de ressources. Lorsque les clients d'autres VPC ou comptes accèdent à une ressource de votre VPC, la ressource reçoit du trafic provenant localement des adresses IP de la passerelle de ressources dans ce VPC.

Noms de domaine personnalisés pour les fournisseurs de ressources

Les fournisseurs de ressources peuvent associer un nom de domaine personnalisé à une configuration de ressources, par exempleexample.com, que les consommateurs de ressources peuvent utiliser pour accéder à la configuration des ressources. Le nom de domaine personnalisé peut être détenu et vérifié par le fournisseur de ressources, ou il peut s'agir d'un tiers ou d'un AWS domaine. Les fournisseurs de ressources peuvent utiliser des configurations de ressources pour partager des clusters de cache et des clusters Kafka, TLS-based des applications ou d'autres AWS ressources.

Les considérations suivantes s'appliquent aux fournisseurs de configurations de ressources :

Noms de domaine personnalisés pour les consommateurs de ressources

Lorsque les consommateurs de ressources activent la connectivité à une configuration de ressources dotée d'un nom de domaine personnalisé, ils peuvent autoriser VPC Lattice à gérer une zone hébergée privée Route 53 dans leur VPC. Les consommateurs de ressources disposent d'options précises pour les domaines pour lesquels ils souhaitent autoriser VPC Lattice à gérer des zones hébergées privées.

Les consommateurs de ressources peuvent définir le private-dns-enabled paramètre lors de l'activation de la connectivité à des configurations de ressources via un point de terminaison de ressources, un point de terminaison de réseau de service ou une association VPC de réseau de services. Outre le private-dns-enabled paramètre, les consommateurs peuvent utiliser les options DNS pour spécifier les domaines pour lesquels ils souhaitent que VPC Lattice gère les zones hébergées privées. Les consommateurs peuvent choisir entre les préférences DNS privées suivantes :

Lorsque vous activez le DNS privé, VPC Lattice crée une zone hébergée privée dans votre VPC pour le nom de domaine personnalisé associé à la configuration des ressources. Par défaut, la préférence DNS privée est définie surVERIFIED_DOMAINS_ONLY. Cela signifie que les zones hébergées privées ne sont créées que si le nom de domaine personnalisé a été vérifié par le fournisseur de ressources. Si vous définissez votre préférence DNS privée sur ALL_DOMAINS ou SPECIFIED_DOMAINS_ONLY si VPC Lattice crée des zones hébergées privées quel que soit l'état de vérification du nom de domaine personnalisé. Lorsqu'une zone hébergée privée est créée pour un domaine donné, tout le trafic vers ce domaine depuis votre VPC est acheminé via VPC Lattice. Nous vous recommandons d'utiliser les SPECIFIED_DOMAINS_ONLY préférences ALL_DOMAINSVERIFIED_DOMAINS_AND_SPECIFIED_DOMAINS, ou uniquement lorsque vous souhaitez que le trafic vers ces noms de domaine personnalisés passe par VPC Lattice.

Nous recommandons aux utilisateurs de ressources de définir leur préférence DNS privé surVERIFIED_DOMAINS_ONLY. Cela permet aux consommateurs de renforcer leur périmètre de sécurité en autorisant uniquement VPC Lattice à provisionner des zones hébergées privées pour les domaines vérifiés sur le compte du consommateur de ressources.

Pour sélectionner des domaines dans les domaines spécifiés par le DNS privé, les consommateurs de ressources peuvent saisir un nom de domaine complet, tel que, my.example.com ou utiliser un caractère générique tel que*.example.com.

Les considérations suivantes s'appliquent aux utilisateurs de configurations de ressources :

Pour les configurations de ressources qui sont des cibles de nom de domaine, aucune entrée de zone hébergée privée n'est créée si les conditions suivantes sont remplies :

Pour les configurations de ressources de type ARN, VPC Lattice ne crée pas d'entrée de zone hébergée privée si les conditions suivantes sont vraies :

Noms de domaine personnalisés pour les propriétaires de réseaux de service

La propriété privée activée par le DNS de l'association de ressources du réseau de service remplace la propriété privée activée du point de terminaison du réseau de service et l'association VPC du réseau de service.

Si le propriétaire d'un réseau de service crée une association de ressources de réseau de service et n'active pas le DNS privé, VPC Lattice ne provisionnera pas de zones hébergées privées pour cette configuration de ressources dans les VPC auxquels le réseau de service est connecté, même si le DNS privé est activé sur le point de terminaison du réseau de service ou les associations VPC du réseau de service.

Pour les configurations de ressources de type ARN, l'indicateur DNS privé est vrai et immuable. VPC Lattice fournit des zones hébergées privées pour les types de ressources ARN, quel que soit le paramètre de propriété DNS privé du point de terminaison du réseau de service et l'association VPC du réseau de service. L'exception est lorsque la passerelle de ressources se trouve dans le même VPC. En d'autres termes, lorsqu'un VPC est à la fois un consommateur et un fournisseur pour une configuration de ressources de type ARN, VPC Lattice ignore la création des zones hébergées privées dans ce VPC.

Définition de la ressource

Dans la configuration des ressources, identifiez la ressource de l'une des manières suivantes :

Gammes de ports

Lorsque vous créez une configuration de ressources, vous pouvez définir les ports sur lesquels elle acceptera les demandes. L'accès des clients sur d'autres ports ne sera pas autorisé.

Accès aux ressources

Les consommateurs peuvent accéder aux configurations de ressources directement depuis leur VPC à l'aide d'un point de terminaison VPC ou via un réseau de services. En tant que consommateur, vous pouvez autoriser l'accès depuis votre VPC à une configuration de ressources qui se trouve dans votre compte ou qui a été partagée avec vous depuis un autre compte via AWS RAM.

Lorsque le DNS privé est activé pour votre VPC, vous ne pouvez pas créer de point de terminaison de ressources et de point de terminaison de réseau de services pour la même configuration de ressources.

Association avec le type de réseau de service

Lorsque vous partagez une configuration de ressources avec un compte client, par exemple, via Account-B AWS RAM, vous Account-B pouvez accéder à la configuration des ressources soit directement via un point de terminaison de ressource ou un point de terminaison de tunnel, soit via un réseau de service. Les configurations de ressources CIDR ne sont pas accessibles via un réseau de service. Ils ne sont accessibles que directement via un point de terminaison de tunnel.

Pour accéder à une configuration de ressources via un réseau de service, Account-B il faudrait associer la configuration de ressources à un réseau de service. Les réseaux de services peuvent être partagés entre les comptes. Account-B Vous pouvez donc partager leur réseau de service (auquel la configuration des ressources est associée) Account-C, rendant ainsi votre ressource accessible Account-C.

Afin d'empêcher un tel partage transitif, vous pouvez spécifier que la configuration de vos ressources ne peut pas être ajoutée aux réseaux de services qui peuvent être partagés entre comptes. Si vous le spécifiez, vous Account-B ne pourrez pas ajouter votre configuration de ressources aux réseaux de service partagés ou pouvant être partagés avec un autre compte ultérieurement.

Types de réseaux de services

Lorsque vous partagez une configuration de ressource avec un autre compte, par exemple, via Account-B AWS RAM, Account-B vous pouvez accéder à la ressource de l'une des quatre manières suivantes :

Lorsque vous utilisez une association de réseau de service, chaque ressource se voit attribuer une adresse IP par sous-réseau à partir du 129.224.0. 0/17 bloc, qui est AWS détenu et non routable. Cela s'ajoute à la liste de préfixes gérés que VPC Lattice utilise pour acheminer le trafic vers les services via le réseau VPC Lattice. Ces deux adresses IP sont mises à jour dans la table de routage de votre VPC.

Pour un point de terminaison de réseau de service et une association VPC de réseau de service, la configuration des ressources devrait être associée à un réseau de service dans Account-B. Les réseaux de services peuvent être partagés entre les comptes. Account-B Vous pouvez donc partager leur réseau de service (qui contient la configuration des ressources) avec Account-C, rendant votre ressource accessible depuis Account-C. Pour empêcher un tel partage transitif, vous pouvez interdire l'ajout de votre configuration de ressources aux réseaux de services qui peuvent être partagés entre comptes. Si vous ne l'autorisez pas, vous Account-B ne pourrez pas ajouter votre configuration de ressources à un réseau de service partagé ou pouvant être partagé avec un autre compte.

Partage de configurations de ressources via AWS RAM

Les configurations de ressources sont intégrées à AWS Resource Access Manager. Vous pouvez partager la configuration de vos ressources avec un autre compte via AWS RAM. Lorsque vous partagez une configuration de ressource avec un AWS compte, les clients de ce compte peuvent accéder à la ressource en privé. Vous pouvez partager une configuration de ressources à l'aide d'un partage de ressources dans AWS RAM.

Utilisez la AWS RAM console pour afficher les partages de ressources auxquels vous avez été ajouté, les ressources partagées auxquelles vous pouvez accéder et les AWS comptes qui ont partagé des ressources avec vous. Pour plus d'informations, consultez la section Ressources partagées avec vous dans le Guide de AWS RAM l'utilisateur.

Pour accéder à une ressource depuis un autre VPC avec le même compte que la configuration des ressources, il n'est pas nécessaire de partager la configuration des ressources via AWS RAM.

Contrôle

Vous pouvez activer les journaux de surveillance dans la configuration de vos ressources. Vous pouvez choisir la destination vers laquelle envoyer les journaux.