AWS Elasticsearch vpc 端點和私有 vpc 域

Question

我試圖弄清楚 VPC 端點如何與使用 VPC 本身創建的私有托管區域中的私有內部域一起工作。

例如：

我有一個 VPC ( vpc_1 ) 並且我有一個 Elasticsearch (es) 集群在這個 VPC 中運行。

我已經用 vpc_1 配置了一個 route53 私有托管區域。

我無法為像 es.mydomain.local 這樣的內部域擁有別名 A 記錄，該記錄將在服務內部解析 Elasticsearch。

但是，我可以添加指向 vpc 端點的 CNAME。 這種方法的問題是，VPC 端點有自己的 SSL 證書，我無法使用新域。 https://es.mydomain.local連接到我的 ES 集群。

我可以將我的請求標記為不安全，然后調用 ie。 curl https://es.mydomain.local --insecure但這對於生產工作負載是不可持續的。

老實說，我認為無論如何我都不需要 HTTPS 來進行內部負載，因為集群在設計上不是公開的。 但是，這是我無法控制的，因為默認情況下 vpc 端點是 https。

AWS 建議我在 ES 集群前面放一個負載均衡器，然后使用別名。 這有效，但與在 route53 上使用此方法相比是一種成本高昂的方法。

有沒有人有類似情況的經驗？

Answer 1

AWS 最近添加了您正在尋找的功能：

注意：屏幕截圖藍色區域中的注釋 - 您仍然需要創建 CNAME 記錄。 完全傳播也需要一些時間（分鍾）。

---

此外，如果您使用 terraform，您可能希望對此問題進行投票，該問題應該添加對定義自定義端點的支持： https : //github.com/hashicorp/terraform-provider-aws/issues/16059