AWS PrivateLink
Was ist AWS PrivateLink?
AWS PrivateLink ist eine Netzwerkfunktion von Amazon Web Services (AWS), die die Verbindung zwischen Amazon Virtual Private Cloud (VPC) und anderen Diensten erleichtert und gleichzeitig die Daten vor dem Zugriff aus dem Internet schützt.
AWS PrivateLink ermöglicht es AWS-Kunden, ihre Amazon VPC privat mit unterstützten AWS-Diensten und -Lösungen sowie ihren lokalen Netzwerken zu verbinden, als ob sich diese Dienste, Lösungen und Netzwerke in der VPC befänden. PrivateLink ermöglicht die Kommunikation mit diesen Diensten aus dem privaten Subnetz des Kunden, ohne dass der Kunde Gateways, Network-Adress-Translation-Geräte oder öffentliche IP-Adressen verwenden muss.
Mit PrivateLink kann die Verbindung zwischen einer VPC und den Cloud-Services von AWS hergestellt werden, ohne dass Daten in das öffentliche Internet gelangen. AWS-Partner können Services hosten, die von PrivateLink unterstützt werden, und die Lösungen im AWS Marketplace bereitstellen. Tatsächlich kann AWS PrivateLink für die Verbindung mit folgenden Elementen verwendet werden:
- Services, die über den AWS Marketplace verkauft werden
- andere AWS-Services
- Software-as-a-Service-Anwendungen (SaaS) von Drittanbietern
- Unternehmensanwendungen, die in einer anderen VPC gehostet werden können
Vorteile von AWS PrivateLink
Einer der größten Vorteile von AWS PrivateLink besteht darin, dass es eine private – und damit sichere – Konnektivität zwischen VPCs, AWS-Diensten und lokalen Netzwerken ermöglicht. Dadurch wird verhindert, dass der Datenverkehr eines Unternehmens den Sicherheitsrisiken ausgesetzt wird, die im öffentlichen Internet lauern. So wird beispielsweise das Risiko von Brute-Force-Angriffen und Distributed-Denial-of-Service-Angriffen reduziert.
PrivateLink ermöglicht es Benutzern außerdem, Daten auf private und sichere Weise zu übertragen, was bei kritischen oder sensiblen Daten von entscheidendem Vorteil sein kann. Durch die Verbindung von Diensten über verschiedene AWS-Konten und VPCs hinweg vereinfacht PrivateLink auch die Netzwerkarchitekturen von Unternehmen, wodurch der Aufwand für deren Wartung und Verwaltung reduziert wird. Beispielsweise kann ein Unternehmen über viele AWS-Konten und VPCs verfügen. AWS PrivateLink verbindet Dienste mit diesen vielen Endpunkten, ohne dass ein Administrator Firewall-Regeln, Internet-Gateways oder VPC-Peering einrichten muss.
Die private Konnektivität, die AWS PrivateLink bietet, kann auch Kunden mit Hybrid-Cloud-Bereitstellungen zugutekommen. Um eine sichere Hybrid-Infrastruktur zu realisieren, können Unternehmen lokale Anwendungen und Daten mit von AWS gehosteten SaaS-Anwendungen verbinden. Beim Datenaustausch mit den SaaS-Anwendungen können sie ihren Datenverkehr über private IP-Adressen sichern. Auf diese Weise können Unternehmen sicherere SaaS-Dienste bereitstellen und gleichzeitig die Einhaltung von Vorschriften zur Datensicherheit oder zum Datenschutz gewährleisten, wie zum Beispiel die EU-Datenschutz-Grundverordnung (DSGVO) oder den Payment Card Industry Data Security Standard (PCI DSS).
PrivateLink kann auch Unternehmen dabei unterstützen, Daten in die Cloud zu migrieren. Durch die Kombination von PrivateLink mit AWS Direct Connect oder einem VPN können Cloud-Migration mit einem hohen Maß an Sicherheit beschleunigt werden.
So funktioniert AWS PrivateLink
Die AWS-PrivateLink-Architektur besteht aus mehreren wichtigen Bausteinen:
- das lokale Rechenzentrum der Organisation
- AWS Direct Connect oder ein VPN
- Interface-VPC-Endpunkte
- AWS PrivateLink selbst
AWS Direct Connect und ein VPN sind erforderlich, damit lokale Ressourcen im Rechenzentrum auf Dienste in AWS zugreifen können.
Die VPC-Endpunkte ermöglichen die Verbindung zu AWS-Diensten und -Lösungen, die in AWS PrivateLink integriert sind. Je nach den Anforderungen des Unternehmens können mehrere VPC-Endpunkte vorhanden sein. Ein Endpunkt kann beispielsweise eine Verbindung zu einem AWS-Service herstellen, ein anderer zu einem AWS-Marketplace-Partner-Service. Ein dritter kann private Anwendungen mit APIs von Dienstanbietern verbinden und ein vierter kann eine Verbindung zu einem von einem anderen AWS-Konto gehosteten Service herstellen, der als VPC-Endpunkt-Service bezeichnet wird. Unternehmen können solche Services erstellen und sie anderen AWS-Kunden zur Verfügung stellen.
Benutzer können VPC-Endpunkte auf drei verschiedene Arten erstellen, darauf zugreifen und sie verwalten: über die webbasierte AWS Management Console, über die Befehlszeilenschnittstelle von AWS oder durch die Erstellung von Vorlagen in AWS CloudFormation. Darüber hinaus stellt AWS Software Development Kits bereit, die sich um viele Verbindungsdetails kümmern, sodass sich Unternehmen beim Erstellen oder Verwalten von VPC-Endpunkten nicht um die Berechnung von Signaturen, die Bearbeitung von wiederholten Anfragen oder die Fehlerbehebung kümmern müssen.
Erstellen und Verwendung von AWS PrivateLink
AWS-Kunden können PrivateLink-Verbindungen über die AWS-Managementkonsole erstellen, die auch für den Zugriff auf AWS-PrivateLink-Ressourcen verwendet werden kann.
Um die Technologie einzusetzen, müssen Benutzer einen VPC-Schnittstellenendpunkt erstellen, um eine Schnittstelle mit einem von AWS gehosteten oder Drittanbieterdienst aus dem AWS Marketplace, mit SaaS-Anwendungen oder mit Unternehmensanwendungen außerhalb der VPC herzustellen. Sie müssen außerdem einen Network Load Balancer für die Anwendung in der VPC erstellen und dann sicherstellen, dass die VPC-Endpunktkonfiguration auf diesen Load Balancer verweist. Dadurch wird eine elastische Netzwerkschnittstelle im Subnetz des Verbrauchers mit einer privaten IP-Adresse eingerichtet, über die der Datenverkehr eingeht, um den Zugriff auf einen Dienst zu ermöglichen. Der Verbraucher und der Dienst können sich in derselben VPC befinden oder auch nicht.
Damit lokale Anwendungen eine Verbindung mit unterstützten Diensten herstellen können, wird PrivateLink in AWS Direct Connect integriert, um ein sicheres und privates Netzwerk zu erstellen. AWS PrivateLink lässt sich in VPC-Sicherheitsgruppen und AWS-Richtlinien für das Identity and Access Management (IAM) integrieren.
