Ecco a voi.
E bentornati.
Nel video di oggi parleremo delle politiche degli endpoint VPC.
Ora, a livello generale, ogni volta che si crea un endpoint VPC, supponiamo un endpoint
gateway.
Quindi è possibile allegare un criterio endpoint che controlla l'accesso ai servizi a cui ci si connette.
Ad esempio, supponiamo di avere un endpoint VPC qui e che il traffico verso il servizio
tre dall'istanza EC2 sia diretto da qui.
Ora, all'interno della S tre, sono disponibili due tipi di prodotti.
Avete un secchio demo e un secchio CP Labs.
Ora, per impostazione predefinita, l'istanza EC due sarà in grado di comunicare con entrambi i bucket, considerando
che ha il ruolo IAM appropriato associato.
Tuttavia, come misura aggiuntiva a livello di endpoint VPC, è possibile controllare il traffico verso uno
specifico bucket S3.
Quindi, ad esempio, si ha un criterio di endpoint che dice di consentire la connessione al bucket demo.
Quindi, se questa politica dell'endpoint è associata, anche se l'istanza SC due ha un permesso completo
SE tre, sarà in grado di comunicare solo con il bucket demo.
Non sarà in grado di comunicare con il bucket CP Labs, dato che il traffico scorre attraverso
l'endpoint VPC e questa è l'idea di base delle politiche dell'endpoint VPC.
Quindi facciamo una cosa.
Proviamo a fare una prova pratica per capirlo meglio.
Attualmente abbiamo un endpoint gateway basato sul servizio S tre disponibile.
Ora, se si guarda al criterio qui, per impostazione predefinita, il criterio dell'endpoint consente tutte le connessioni
a tutte le risorse.
Questo è uno dei criteri predefiniti.
Tuttavia, se ne abbiamo bisogno, possiamo anche personalizzarlo.
Quindi, per la demo di oggi, per la regione in cui è stato creato il nostro endpoint, che è Twist due, ho due e tre bucket
e, in base a questi due tre bucket, andremo avanti a progettare i nostri criteri per gli endpoint.
Quindi, prima di iniziare a scrivere le nostre policy endpoint dalla nostra istanza EC2 privata,
verifichiamo la connessione a entrambi i tre bucket.
Ora, per prima cosa, facciamo un più tre ls su uno dei secchi qui, facciamo un enter e, come previsto,
siamo in grado di vedere i risultati.
In modo analogo, ci colleghiamo a un altro bucket S3 della stessa regione.
Premiamo invio e potremo vedere il contenuto.
Quindi, in pratica, entrambi questi tre secchi hanno un file simile.
Ora andiamo avanti e progettiamo un criterio per cui l'endpoint VPC consentirà solo la connessione al secondo
bucket da qui, che è l'endpoint temp.
US due ovest due.
Non deve consentire la connessione ad altri bucket S3.
Ora, dall'endpoint, andiamo avanti e modifichiamo il criterio.
Esistono diversi modi per creare un criterio.
Uno dei modi più semplici è quello di utilizzare uno strumento per la creazione di criteri.
Quindi andiamo avanti e apriamolo.
All'interno dello strumento di creazione dei criteri, è possibile selezionare facilmente il contesto di base e il criterio
verrà creato per voi.
Quindi il tipo di criterio sarebbe il principale endpoint VPC.
Mettiamola così.
Ora, all'interno del servizio, useremo solo S3, all'interno delle azioni, useremo tutte le azioni.
Poi si deve specificare l'amministratore e lo si può scrivere direttamente oppure lo si può
ottenere dalla console S3.
Quindi, se vado su proprietà, si può ottenere la dicitura e incollare lì.
Una volta aggiunta la dichiarazione, possiamo generare rapidamente la polizza.
Questa è la politica che viene creata.
Permettetemi di copiare questo.
E all'interno del criterio selezionerò quello personalizzato e incolleremo il criterio.
Quindi, in base a questo criterio, sarà consentita solo la connessione a questo bucket S3.
Proviamo.
Quindi farò un salvataggio veloce.
E come previsto, ora vediamo che abbiamo una politica personalizzata dalla nostra istanza EC2 privata, se ci colleghiamo
all'endpoint temp US twist two.
Questo è il bucket S3 consentito all'interno del criterio dell'endpoint.
Funziona perfettamente se proviamo a connetterci all'endpoint temp due.
Questo è il nostro secondo bucket S3 e si nota subito che viene negato l'accesso alle operazioni associate
a questo bucket S3.
Ottimo.
Spero quindi che in una panoramica di alto livello abbiate capito l'importanza delle politiche degli endpoint VPC, che
consentono un gran numero di personalizzazioni e il controllo degli accessi in base ai requisiti della vostra organizzazione.
Ora, quando si parla di decisioni relative ai criteri, in particolare per quanto riguarda l'architettura basata sugli endpoint
VPC, è necessario conoscere alcune cose importanti.
La prima decisione importante basata sulle policy proviene dalla regola IAM, che è associata all'istanza EC2 o, se si dispone
di una chiave segreta di accesso, è associata a una policy per quella chiave segreta di accesso.
Questo è il primo passo.
Quindi, solo dopo che l'istanza EC due è stata autorizzata, si può prendere la decisione, quindi la decisione successiva importante.
I permessi o i dinieghi si trovano a livello di endpoint del gateway VPC.
Abbiamo già visto come creare un criterio a livello di risorsa a livello di endpoint
VPC.
Il terzo punto in cui la decisione politica può essere consentita o negata è il livello S tre.
Si può quindi procedere alla creazione di un bucket S3, che può anche negare la connessione.
Quindi, se state procedendo all'implementazione di un'architettura basata su endpoint VPC e per qualche motivo vi viene
negato l'accesso, questi sono i tre punti principali che dovete esaminare come parte della fase di
risoluzione dei problemi.
È fantastico.
Con questo si conclude il video di oggi.