Hier sind Sie.
Und willkommen zurück.
Im heutigen Video werden wir uns mit den VPC-Endpunktrichtlinien befassen.
Wenn Sie nun einen VPC-Endpunkt erstellen, nehmen wir an, es handelt sich um einen Gateway-Endpunkt.
Dann können Sie ihm eine Endpunktrichtlinie zuordnen, die den Zugriff auf die Dienste kontrolliert, mit denen Sie sich verbinden.
Nehmen wir zum Beispiel an, Sie haben hier einen VPC-Endpunkt und der Datenverkehr zu den drei Diensten
von der EC2-Instanz wird von hier aus geleitet.
Innerhalb der S drei gibt es nun zwei Bereiche, die zur Verfügung stehen.
Sie haben einen Demo-Bucket und einen CP Labs-Bucket.
Nun kann die EC-2-Instanz standardmäßig mit beiden Buckets kommunizieren, da sie über
die entsprechende IAM-Rolle verfügt.
Als zusätzliche Maßnahme auf der Ebene eines VPC-Endpunkts können Sie jedoch auch den Datenverkehr zu einem bestimmten
S3-Bucket kontrollieren.
Sie haben zum Beispiel eine Endpunktrichtlinie, die besagt, dass eine Verbindung zum Demo-Bucket erlaubt ist.
Wenn also diese Endpunktrichtlinie zugeordnet ist, kann die SC-2-Instanz, obwohl sie über eine vollständige
SE-3-Berechtigung verfügt, nur mit dem Demo-Bucket kommunizieren.
Es wird nicht in der Lage sein, mit dem CP-Labs-Bucket zu kommunizieren, da der Datenverkehr durch
den VPC-Endpunkt fließt, und das ist die Grundidee der VPC-Endpunkt-Richtlinien.
Lassen Sie uns also eine Sache tun.
Lassen Sie uns dies praktisch ausprobieren, um es besser zu verstehen.
Zurzeit haben wir einen Gateway-Endpunkt, der auf dem verfügbaren S-3-Dienst basiert.
Wenn Sie sich nun die Richtlinie hier ansehen, lässt die Endpunktrichtlinie standardmäßig alle Verbindungen zu allen
Ressourcen zu.
Dies ist also eine der Standardrichtlinien.
Bei Bedarf können wir sie jedoch auch anpassen.
Für die heutige Demo für die Region, in der unser Endpunkt erstellt wird, also Twist zwei, habe ich zwei drei Buckets
und basierend auf diesen zwei drei Buckets werden wir unsere Endpunktrichtlinien entwerfen.
Bevor wir also damit beginnen, unsere Endpunktrichtlinien von unserer privaten EC2-Instanz aus zu schreiben,
sollten wir die Verbindung zu diesen drei Buckets überprüfen.
Als Erstes machen wir ein plus drei ls auf einem der Buckets hier, dann machen wir ein enter und
wie erwartet sehen wir die Ergebnisse.
Auf ähnliche Weise stellen wir eine Verbindung zu einem anderen S3-Bucket in derselben Region her.
Drücken wir die Eingabetaste und wir können den Inhalt sehen.
Im Grunde haben also beide dieser drei Eimer eine ähnliche Datei.
Lassen Sie uns nun eine Richtlinie entwerfen, bei der der VPC-Endpunkt nur die Verbindung zum zweiten Bucket von hier aus
zulässt, also dem temporären Endpunkt.
US zwei west zwei.
Es sollte keine Verbindung zu anderen S3-Buckets zulassen.
Lassen Sie uns nun vom Endpunkt aus fortfahren und die Richtlinie bearbeiten.
Es gibt nun mehrere Möglichkeiten, eine Richtlinie zu erstellen.
Eine der einfachsten Möglichkeiten ist die Verwendung eines Tools zur Erstellung von Richtlinien.
Lassen Sie uns also weitermachen und das hier öffnen.
Mit dem Tool zur Richtlinienerstellung können Sie einfach den grundlegenden Kontext auswählen, und die Richtlinie wird
für Sie erstellt.
Der Richtlinientyp wäre also der VPC-Endpunktprinzipal.
Sagen wir es einfach so.
Innerhalb des Dienstes verwenden wir einfach S3, innerhalb der Aktionen verwenden wir einfach alle Aktionen.
Und dann müssen Sie hier den Admin angeben und können ihn entweder direkt schreiben oder ihn sogar
von der S3-Konsole abrufen.
Wenn ich also auf Eigenschaften gehe, können Sie im Grunde die und lassen Sie mich dort einfügen.
Und sobald ich die Erklärung hinzugefügt habe, können wir die Richtlinie schnell erstellen.
Dies ist also die Politik, die geschaffen wird.
Lassen Sie mich das kopieren.
In der Richtlinie wähle ich "Benutzerdefiniert" und füge die Richtlinie ein.
Auf der Grundlage dieser Richtlinie wäre also nur die Verbindung zu diesem S3-Bucket zulässig.
Probieren wir es aus.
Ich speichere also nur schnell ab.
Und wie erwartet, sehen wir jetzt, dass Sie eine benutzerdefinierte Richtlinie von unserer privaten EC2-Instanz haben, wenn wir uns mit dem temporären
Endpunkt US twist two verbinden.
Dies ist also der S3-Bucket, der im Rahmen der Endpunktrichtlinie zulässig ist.
Es funktioniert einwandfrei, wenn wir versuchen, eine Verbindung zum temporären Endpunkt zwei herzustellen.
Dies ist also unser zweiter S3-Bucket und Sie sehen sofort, dass der Zugriff auf die mit diesem S3-Bucket verbundenen
Operationen verweigert wird.
Großartig.
Ich hoffe, Sie haben die Bedeutung der VPC-Endpunktrichtlinien verstanden, die eine Vielzahl
von Anpassungen und Zugriffskontrollen je nach den Anforderungen Ihrer Organisation ermöglichen.
Nun ein paar wichtige Dinge, die Sie wissen sollten, wenn wir über die Richtlinienentscheidung sprechen, speziell
bei der VPC-Endpunkt-basierten Architektur.
Die erste wichtige richtlinienbasierte Entscheidung ergibt sich aus der IAM-Regel, die mit der EC2-Instanz verknüpft ist, oder, wenn Sie
einen geheimen Zugangsschlüssel haben, mit einer Richtlinie für diesen geheimen Zugangsschlüssel verbunden ist.
Dies ist also der erste Schritt.
Also erst wenn die EG zwei Instanzen genehmigt hat, dann kann die Entscheidung getroffen werden, dann die nächste wichtige Entscheidung.
Was erlaubt oder verweigert werden kann, liegt auf der Ebene des Gateway-VPC-Endpunkts.
Wir haben bereits gesehen, wie wir eine Richtlinie auf Ressourcenebene auf der Ebene eines VPC-Endpunkts erstellen
können.
Und die dritte Stelle, an der die politische Entscheidung erlaubt oder verweigert werden kann, ist auf der S-3-Ebene.
Sie können also einen S3-Bucket erstellen, der ebenfalls die Verbindung verweigern kann.
Wenn Sie also eine auf VPC-Endpunkten basierende Architektur implementieren und aus irgendeinem Grund der Zugriff
verweigert wird, dann sind dies die drei wichtigsten Punkte, die Sie im Rahmen der Fehlerbehebung
untersuchen müssen.
Das ist großartig.
Damit endet unser heutiges Video.