将 Amazon Kinesis Data Streams 和接口 VPC - Amazon Kinesis Data Streams
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

将 Amazon Kinesis Data Streams 和接口 VPC

您可以使用接口 VPC 终端节点,以防止 Amazon VPC 和 Kinesis Data Streams 之间的流量离开 Amazon 网络。接口 VPC 终端节点不需要 Internet 网关、NAT 设备、VPN 连接或 Amazon Direct Connect 连接。接口 VPC 终端节点由提供支持Amazon PrivateLink,后者是一种Amazon技术,可将elastic network interface 与 Amazon VPC 中的私有 IP 提供支持Amazon服务之间的私有通信。有关更多信息,请参阅 Amazon Virtual Private Cloud接口 VPC 终端节点 (Amazon PrivateLink)

使用接口 VPC 终端节点

要开始使用,您不需要更改流、创建者或用户的设置。只需创建接口 VPC 终端节点,您的 Kinesis Data Streams 流量即可开始流经接口 VPC 终端节点。有关更多信息,请参阅创建接口终端节点

Kinesis Produdier Library (KPL) 和 KKinesis on Library (KCL) 使用公有终端节点或私有接口 VPC 终端节点(二者中正在使用的那个)调用亚马逊 CloudWatch 和Amazon DynamoDB 等Amazon服务。例如,如果您的 KCL 应用程序在启用了 VPC 终端节点的 DynamoDB 接口的 VPC 中运行,则 DynamoDB 和您的 KCL 应用程序之间的呼叫将流经接口 VPC 终端节点。

控制 Kinesis Data Streams 对 VPCE 端点的访问权限

借助 VPC 终端节点策略,您可以控制访问,其方式是:将策略附加到 VPC 终端节点或使用附加到 IAM 用户、组或角色的策略中的额外字段,从而限制只能通过特定 VPC 终端节点进行访问。这些策略可用于限制对特定流的访问、当与 IAM 策略共同使用时对特定 VPC 终端节点的访问,以及只能通过特定 VPC 终端节点对 Kinesis 数据流进行授权访问。

以下是用于访问 Kinesis 数据流的示例终端节点策略。

  • VPC 策略示例:只读访问权限-此示例策略可以附加到 VPC 终端节点。(有关更多信息,请参阅控制对 Amazon VPC 资源的访问)。它限制仅能通过其附加的 VPC 终端节点列出或描述 Kinesis 数据流。

    { "Statement": [ { "Sid": "ReadOnly", "Principal": "*", "Action": [ "kinesis:List*", "kinesis:Describe*" ], "Effect": "Allow", "Resource": "*" } ] }
  • VPC 策略示例:限制对特定 Kinesis 数据流的访问 – 此示例策略可以附加到 VPC 终端节点。它限制通过其附加的 VPC 终端节点访问特定的数据流。

    { "Statement": [ { "Sid": "AccessToSpecificDataStream", "Principal": "*", "Action": "kinesis:*", "Effect": "Allow", "Resource": "arn:aws:kinesis:us-east-1:123456789012:stream/MyStream" } ] }
  • IAM 策略示例:限制只能通过特定的 VPC 终端节点访问特定流 – 此示例策略可以附加到 IAM 用户、角色或组。它限制只能通过特定的 VPC 终端节点访问特定的 Kinesis 数据流。

    { "Version": "2012-10-17", "Statement": [ { "Sid": "AccessFromSpecificEndpoint", "Action": "kinesis:*", "Effect": "Deny", "Resource": "arn:aws:kinesis:us-east-1:123456789012:stream/MyStream", "Condition": { "StringNotEquals" : { "aws:sourceVpce": "vpce-11aa22bb" } } } ] }

Kinesis Data Streams 的实践 VPC 终端实践

以下区域支持带有策略的 Kinesis Data Streams 接口 VPC 终端节点:

  • 欧洲(巴黎)

  • 欧洲(爱尔兰)

  • 美国东部(弗吉尼亚州北部)

  • 欧洲(斯德哥尔摩)

  • 美国东部(俄亥俄州)

  • 欧洲(法兰克福)

  • 南美洲(圣保罗)

  • 欧洲(伦敦)

  • 亚太地区(东京)

  • 美国西部(北加利福尼亚)

  • 亚太地区(新加坡)

  • 亚太地区(悉尼)

  • 中国(北京)

  • China (Ningxia)

  • 亚太地区(香港)

  • 中东(巴林)

  • 中东(阿联酋)

  • 欧洲(米兰)

  • 非洲(开普敦)

  • 亚太地区(孟买)

  • 亚太地区(首尔)

  • 加拿大(中部)

  • 美国西部(俄勒冈)除了 usw2-az4

  • Amazon GovCloud (美国东部)

  • Amazon GovCloud (美国西部)

  • 亚太地区(大阪)

  • 欧洲(苏黎世)

  • 亚太地区(海得拉巴)