AWS - 访问托管在外部AWS账户上的私有网站

Question

背景

我们公司购买了一款SaaS产品，它托管在供应商的AWS环境中。该产品有一个仪表盘网站，目前只能在供应商的AWS环境中访问。供应商严格控制对其AWS环境的访问。

现在，我的用户可以使用供应商提供的Amazon Workspaces访问该仪表盘。但是，Workspaces为我公司提供了有限数量的账户。我的公司希望使这个仪表盘在整个公司范围内广泛使用，并不受Workspaces账户数量的限制。

问题

我的公司也拥有自己的AWS账户，但目前与供应商的VPC/AWS环境没有任何关联。我们是否可以在自己的AWS中构建一些东西（可能使用PrivateLink连接到供应商的VPC？），以确保我的用户可以通过我们自己的AWS环境安全地访问供应商的仪表盘？如果有可能做到这一点，两边需要使用哪些AWS服务？

我的目标是确保这个仪表盘不会暴露在互联网上，同时所有公司用户都可以查看它，而无需使用Workspace证书。

- xzk

---

这可能会帮助你 https://dev59.com/f2Yq5IYBdhLWcg3wtCko - Avinash Dalvi

你不需要使用PrivateLink，只需要一个基本的VPC对等连接设置，但任何解决方案都需要在供应商端进行网络更改。 - jordanm

如果您想完全避免供应商，您可以通过工作区实例进行SSH隧道。 - jordanm

@jordanm 谢谢您的建议。首先，供应商的VPC有多个应用程序，这些应用程序不适用于我们公司的AWS网络的外部访问。我们与供应商达成的协议仅涉及仪表板共享。VPC对等连接将向我们公开该VPC中的所有内容，我认为供应商不会同意。我可以再次询问，但机会很小。其次，工作区由供应商提供。我们所有人都只有登录用户名和密码，仅此而已。我们无法通过SSH登录它。 - xzk

Answer 1

根据您的评论，您希望使用AWS Private Link来解决此问题。

通过这样做，唯一共享的资源是访问服务的端点。

这也可以通过VPN访问，这应该可以授予您在本地的访问权限。

- Chris Williams

---

感谢您的建议！ :) 如果我们使用私有链接，端点是否可以向我们公开整个仪表板？从我们的角度来看，我们如何使用该端点以呈现仪表板？ - xzk

你好，当你创建它时，你有能力创建一个私有DNS名称：https://docs.aws.amazon.com/vpc/latest/userguide/endpoint-service.html#vpc-service-private-dns。通过访问这个DNS名称，你可以访问你的仪表板。一个小注意点是，应用程序需要在NLB后面进行负载均衡。 - Chris Williams

Answer 2

如果我正确理解了您的问题，那么您正在寻找类似于如何使用接口VPC端点访问另一个AWS帐户中的API网关私有REST API？的内容。该链接包括获取在另一个帐户中访问私有REST端点的步骤。

它使用VPC接口端点，它们本身是建立在PrivateLink之上的。

您还可以查看端点服务，其中包含更多场景。

- rph