将 Amazon Data Firehose 与 Amazon PrivateLink

通过 https://console.aws.amazon.com/vpc/ 登录到Amazon Web Services Management Console并打开 Amazon VPC 控制台。

在 VPC 控制面板中，选择 Endpoints (终端节点)。

选择创建端点。

在服务名称列表中，选择 com.amazonaws.your_region.kinesis-firehose。

选择要在其中创建终端节点的 VPC 以及一个或多个子网。

选择一个或多个要与终端节点关联的安全组。

对于 Policy (策略)，选择 Custom (自定义) 并粘贴以下策略：

{
    "Statement": [
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:ListDeliveryStreams"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Allow-only-specific-PrivateAPIs",
            "Principal": "*",
            "Action": [
                "firehose:DescribeDeliveryStream"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}

选择创建端点。

通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

在左侧窗格中，选择角色，然后选择创建角色。

在选择可信实体的类型下，保留默认选择 Amazon 服务。

在选择将使用此角色的服务下，选择 Lambda。

选择 Next: Permissions（下一步: 权限）。

在策略列表中，搜索并添加名为 AmazonLambdaVPCAccessExecutionRole 和 AmazonDataFirehoseReadOnlyAccess 的两个策略。

选择下一步：标签。在本练习中，您不需要添加标签。选择下一步：审核。

输入角色的名称，然后选择创建角色。

通过 https://console.aws.amazon.com/lambda/ 打开 Amazon Lambda 控制台。

选择 Create function (创建函数)。

选择从头开始创作。

输入函数的名称，然后将 Runtime (运行时) 设置为 Python 3.6。

在 Permissions (权限) 下，展开 Choose or create an execution role (选择或创建执行角色)。

在 Execution role (执行角色) 列表中，选择 Use an existing role (使用现有角色)。

在 Existing role (现有角色) 列表中，选择您先前创建的角色。

选择创建函数。

在 Function code (函数代码) 下，粘贴以下代码。

    import json
    import boto3
    import os
    from botocore.exceptions import ClientError
     
    def lambda_handler(event, context):
        REGION = os.environ['AWS_REGION']
        client = boto3.client(
            'firehose',
            REGION
            
        )
        print("Calling list_delivery_streams with ListDeliveryStreams allowed policy.")
        delivery_stream_request = client.list_delivery_streams()
        print("Successfully returned list_delivery_streams request %s." % (
            delivery_stream_request
        ))
        describe_access_denied = False
        try:
            print("Calling describe_delivery_stream with DescribeDeliveryStream denied policy.")
            delivery_stream_info = client.describe_delivery_stream(DeliveryStreamName='test-describe-denied')
        except ClientError as e:
            error_code = e.response['Error']['Code']
            print ("Caught %s." % (error_code))
            if error_code == 'AccessDeniedException':
                describe_access_denied = True
        
        if not describe_access_denied:
            raise
        else:
            print("Access denied test succeeded.")

在 Basic settings (基本设置) 下，将超时时间设置为 1 分钟。

在 Network (网络) 中，选择您之前在其中创建终端节点的 VPC，然后选择在您创建终端节点时与其关联的子网和安全组。

在页面顶部附近，选择保存。

选择测试。

输入事件名称，然后选择创建。

再次选择 Test (测试)。这将使该函数运行。在执行结果显示之后，展开 Details (详细信息)，并将日志输出与函数代码进行比较。成功结果会显示该区域的 Firehose 直播列表以及以下输出：

Calling describe_delivery_stream.

AccessDeniedException

Access denied test succeeded.