关于在 Amazon MWAA 上联网

最多可以指定 5 个安全组。

安全组必须为自己指定自引用的入站规则。

安全组必须为所有流量（0.0.0.0/0；对于 IPv6，使用 ::/0）指定出站规则。

安全组必须允许自引用规则中的所有流量。例如 （推荐）所有访问自引用安全组示例。

安全组可以选择通过指定 HTTPS 端口范围 443 和 TCP 端口范围 5432 来进一步限制流量。例如，（可选）限制入站访问端口 5432 的安全组示例 和 （可选）限制入站访问端口 443 的安全组示例。

需要两个公有子网。这样，如果一个容器出现故障，Amazon MWAA 就可以为另一个可用区中的环境构建新的容器镜像。

这些子网必须位于不同的可用区中。例如 us-east-1a、us-east-1b。

子网必须路由到具有弹性 IP 地址（EIP）的 NAT 网关（或 NAT 实例）。

子网必须具有将面向互联网的流量定向到互联网网关的路由表。

需要两个私有子网。这样，如果一个容器出现故障，Amazon MWAA 就可以为另一个可用区中的环境构建新的容器镜像。

这些子网必须位于不同的可用区中。例如 us-east-1a、us-east-1b。

这些子网必须有通往 NAT 设备（网关或实例）的路由表。

这些子网不得路由到互联网网关。

对于 IPv6 子网，设置为 assignIpV6AddressOnCreation 到 true。

对于 IPv6 私有子网，必须连接到仅出口互联网网关 (EIGW)。

NACL 必须有允许所有流量的入站规则（0.0.0.0/0；对于 IPv6，使用 ::/0）。

NACL 必须有允许所有流量的出站规则（0.0.0.0/0；对于 IPv6，使用 ::/0）。

例如 （推荐）示例 ACLs。

NAT 设备必须连接公有子网。（每个公有子网一个 NAT 设备。）

NAT 设备必须将弹性 IPv4 地址（EIP）附加到每个公有子网。

互联网网关必须连接到 Amazon VPC。

最多可以指定 5 个安全组。

安全组必须为自己指定自引用的入站规则。

安全组必须为所有流量（0.0.0.0/0；对于 IPv6，使用 ::/0）指定出站规则。

安全组必须允许自引用规则中的所有流量。例如 （推荐）所有访问自引用安全组示例。

安全组可以选择通过指定 HTTPS 端口范围 443 和 TCP 端口范围 5432 来进一步限制流量。例如，（可选）限制入站访问端口 5432 的安全组示例 和 （可选）限制入站访问端口 443 的安全组示例。

需要两个私有子网。这样，如果一个容器出现故障，Amazon MWAA 就可以为另一个可用区中的环境构建新的容器镜像。

这些子网必须位于不同的可用区中。例如 us-east-1a、us-east-1b。

这些子网必须有通往 VPC 端点的路由表。

子网必须具有指向 EIGW 的路由表，才能作为 DAG 的一部分从互联网下载。

这些子网不得有通往 NAT 设备（网关或实例）的路由表，也不能有互联网网关。

NACL 必须有允许所有流量的入站规则（0.0.0.0/0；对于 IPv6，使用 ::/0）。

NACL 必须有拒绝所有流量的出站规则（0.0.0.0/0；对于 IPv6，使用 ::/0）。

例如 （推荐）示例 ACLs。

本地路由表必须与私有子网关联。

本地路由表必须启用 VPC 中的实例与您自己的网络进行通信。例如，如果您使用访问您的 Apache Airflow 网络服务器的 VPC 接口终端节点，则路由表必须路由到 VPC 终端节点。 Amazon Client VPN

环境使用的每项 Amazon 服务的 VPC 终端节点和 Apache Airflow 的 VPC 终端节点。例如 （必需）VPC 端点。

VPC 端点必须有启用的私有 DNS。

VPC 端点必须与您环境的两个私有子网关联。

VPC 端点必须与您环境的安全组相关联。

必须将每个终端节点的 VPC 终端节点策略配置为允许访问环境使用的 Amazon 服务。例如 （推荐）允许所有人访问的 VPC 端点策略示例。

Amazon S3 的 VPC 端点策略必须配置为允许访问存储桶。例如 （推荐）允许访问存储桶的 Amazon S3 网关端点策略示例。