原標(biāo)題：使用亞馬遜云科技Amazon VPC Lattice簡化服務(wù)間的連接、安全和監(jiān)控

　　在亞馬遜云科技re:Invent 2022中，亞馬遜云科技介紹了Amazon VPC Lattice預(yù)覽版，這是Amazon Virtual Private Cloud(Amazon VPC)的一項(xiàng)新功能，可通過一致的方式連接、保護(hù)和監(jiān)控服務(wù)之間的通信。借助Amazon VPC Lattice，可以定義網(wǎng)絡(luò)訪問、流量管理和監(jiān)控策略，以在實(shí)例、容器和無服務(wù)器應(yīng)用程序之間連接計(jì)算服務(wù)。

　　4月10日，亞馬遜云科技宣布Amazon VPC Lattice現(xiàn)已正式推出。與預(yù)覽版相比，有以下新功能：

　　除了Amazon VPC Lattice自動生成的域名外，服務(wù)還可以使用自定義域名。使用HTTPS時(shí)，可以配置與自定義域名匹配的SSL/TLS證書。

　　可以部署開源AWS Gateway API控制器，使用帶有Kubernetes原生體驗(yàn)的Amazon VPC Lattice。該工具使用Kubernetes Gateway API來連接多個(gè)Kubernetes集群的服務(wù)以及在EC2實(shí)例、容器和無服務(wù)器函數(shù)上運(yùn)行的服務(wù)。

　　可以使用應(yīng)用程序負(fù)載均衡器(ALB)或網(wǎng)絡(luò)負(fù)載均衡器(NLB)作為服務(wù)的目標(biāo)。

　　IP地址目標(biāo)類型現(xiàn)在支持IPv6連接。

　　使用Amazon VPC Lattice實(shí)現(xiàn)服務(wù)間的連接

　　如何使用Amazon VPC Lattice實(shí)現(xiàn)電子商務(wù)應(yīng)用程序服務(wù)的相互通信。為簡單起見，只考慮四種服務(wù)：

　　訂單服務(wù)，作為Lambda函數(shù)運(yùn)行。

　　庫存服務(wù)，作為Amazon Elastic Container Service(Amazon ECS)部署在支持IPv6的雙堆棧Amazon VPC中。

　　配送服務(wù)，作為ECS服務(wù)部署，并使用ALB向服務(wù)任務(wù)分配流量。

　　付款服務(wù)，在EC2實(shí)例上運(yùn)行。

　　首先，創(chuàng)建一個(gè)服務(wù)網(wǎng)絡(luò)。訂單服務(wù)需要致電庫存服務(wù)(檢查商品是否可供購買)、配送服務(wù)(組織商品配送)和付款服務(wù)(轉(zhuǎn)賬)。這些服務(wù)在不同的亞馬遜云科技賬戶和多個(gè)Amazon VPC中運(yùn)行。Amazon VPC Lattice可以處理跨越Amazon VPC邊界設(shè)置連接和跨賬戶權(quán)限的復(fù)雜性，因此服務(wù)間的通信就像HTTP/HTTPS調(diào)用一樣簡單。

　　訂單服務(wù)在連接到Amazon VPC的Lambda函數(shù)中運(yùn)行。由于圖表中的所有Amazon VPC都與服務(wù)網(wǎng)絡(luò)相關(guān)聯(lián)，因此訂單服務(wù)能夠調(diào)用其他服務(wù)(庫存、配送和付款)，即使這些服務(wù)部署在不同的亞馬遜云科技賬戶和IP地址重疊的Amazon VPC中亦是如此。

　　使用網(wǎng)絡(luò)負(fù)載均衡器(NLB)作為目標(biāo)

　　庫存服務(wù)在雙堆棧Amazon VPC中運(yùn)行。它作為帶有NLB的ECS服務(wù)部署，用于向服務(wù)中的任務(wù)分配流量。為了獲取NLB的IPv6地址，在EC2控制臺中查找NLB使用的網(wǎng)絡(luò)接口。

　　為庫存服務(wù)創(chuàng)建目標(biāo)組時(shí)，在基本配置下，選擇IP地址作為目標(biāo)類型。然后，選擇IPv6作為IP地址類型。

　　使用應(yīng)用程序負(fù)載均衡器(ALB)作為目標(biāo)

　　使用ALB作為目標(biāo)甚至更容易操作。為配送服務(wù)創(chuàng)建目標(biāo)組時(shí)，在基本配置下，選擇新的應(yīng)用程序負(fù)載均衡器目標(biāo)類型。選擇要在其中查找ALB的Amazon VPC并選擇協(xié)議版本。

　　在下一步中，選擇立即注冊，然后從下拉列表中選擇ALB。使用目標(biāo)組使用的默認(rèn)端口。Amazon VPC Lattice不為ALB提供額外的運(yùn)行狀況檢查。但是，負(fù)載均衡器已經(jīng)配置自己的運(yùn)行狀況檢查。

　　為服務(wù)使用自定義域名

　　要調(diào)用這些服務(wù)，使用自定義域名。例如，在Amazon VPC控制臺中創(chuàng)建付款服務(wù)時(shí)，選擇指定自定義域配置，輸入自定義域名，然后為HTTPS偵聽器選擇SSL/TLS證書。自定義SSL/TLS證書下拉列表顯示來自AWS Certificate Manager(ACM)的可用證書。

　　保護(hù)服務(wù)間通信

　　現(xiàn)在已經(jīng)創(chuàng)建目標(biāo)組，看看如何保護(hù)服務(wù)間的通信。為了實(shí)現(xiàn)零信任身份驗(yàn)證和授權(quán)，使用AWS Identity and Access Management(IAM)。創(chuàng)建服務(wù)時(shí)，選擇AWS IAM作為身份驗(yàn)證類型。

　　選擇僅允許經(jīng)過身份驗(yàn)證的訪問策略模板，因此服務(wù)請求需要使用簽名版本4進(jìn)行簽名，這與AWS API使用的簽名協(xié)議相同。通過這種方式，服務(wù)之間的請求由其IAM證書進(jìn)行身份驗(yàn)證，并且不必管理密鑰來保護(hù)它們的通信。

　　或者，可以更 地使用身份驗(yàn)證策略，該策略僅提供對某些服務(wù)或服務(wù)特定URL路徑的訪問權(quán)限。例如，可以將以下身份驗(yàn)證策略應(yīng)用于訂單服務(wù)，為Lambda函數(shù)提供這些權(quán)限：

　　對庫存服務(wù)/stock URL路徑的只讀訪問權(quán)限(GET方法)。

　　對配送服務(wù)/delivery URL路徑的完全訪問權(quán)限(任何HTTP方法)。

　　使用Amazon VPC Lattice，快速配置電子商務(wù)應(yīng)用程序服務(wù)之間的通信，包括安全和監(jiān)控�，F(xiàn)在，可以專注于業(yè)務(wù)邏輯，而不是管理服務(wù)之間的通信方式。

　　Amazon VPC Lattice現(xiàn)已在以下亞馬遜云科技區(qū)域推出：美國東部(俄亥俄州)、美國東部(弗吉尼亞州北部)、美國西部(俄勒岡州)、亞太地區(qū)(新加坡)、亞太地區(qū)(悉尼)、亞太地區(qū)(東京)和歐洲地區(qū)(愛爾蘭)。

　　亞馬遜云科技設(shè)計(jì)Amazon VPC Lattice的目的是允許隨著時(shí)間的推移逐步加入更多團(tuán)隊(duì)。您組織中的每個(gè)團(tuán)隊(duì)都可以選擇是否以及何時(shí)使用Amazon VPC Lattice。其他應(yīng)用程序可以使用HTTP和HTTPS等標(biāo)準(zhǔn)協(xié)議連接到Amazon VPC Lattice服務(wù)。通過使用Amazon VPC Lattice，您可以專注于應(yīng)用程序邏輯，通過對實(shí)例、容器和無服務(wù)器計(jì)算的一致支持來提高生產(chǎn)力和部署靈活性。

　　使用Amazon VPC Lattice簡化連接、保護(hù)和監(jiān)控服務(wù)的方式。

   投稿郵箱：chuanbeiol@163.com   詳情請?jiān)L問川北在線：http://fishbao.com.cn/