从 S3 VPC 终端节点安装 AWS Cloudwatch 代理

Question

为了确保我们在 AWS 上的资源安全，我们正在尝试阻止我们的 EC2 实例访问互联网，除非我们明确需要它。我们有一个 EC2 实例 (Ubuntu) 正在运行，我们想在其上安装 AWS cloudwatch agent。执行此操作的默认方法是使用 wget 从 s3 内部地址下载安装文件（如链接文章中所示）。

我们现在想用 VPC 端点替换我们的 EC2 实例对 Internet 的公共访问。我为我们所在区域的全局 S3 访问和 S3 访问创建了一个接口端点。理想情况下，EC2 实例现在将通过我们的终端节点连接到 S3 存储桶，以从 AWS 地址下载资源。

我现在如何使用 wget 从我的 EC2 实例访问文件？ 该文章列出了全局 s3 访问的 url 选项和区域 S3 访问的另一个 url，但我无法获得连接使用任何一个。以下是我尝试过的一些 url 示例：

wget https://accesspoint.s3-global.amazonaws.com/amazoncloudwatch-agent/ubuntu/amd64/latest/amazon-cloudwatch-agent.deb

wget https://s3.vpce-123456.s3.eu-central-1.vpce.amazonaws.com/amazoncloudwatch-agent-eu-central-1/ubuntu/amd64/latest/amazon-cloudwatch-agent.deb

wget https://amazoncloudwatch-agent-eu-central-1.vpce-123456.s3.eu-central-1.vpce.amazonaws.com/ubuntu/amd64/latest/amazon-cloudwatch-agent.deb

请注意，accesspoint.s3-global.amazonaws.com 是全局 s3 服务端点（自动）创建的内部私有 DNS 条目，*.vpce-123456.s3.eu-central-1.vpce.amazonaws.com 是区域 S3 服务端点创建的其中一个 DN 条目的示例。

Answer 1

确保您已更新子网的路由表。添加将流量路由到端点网关的规则（因为我们正在谈论 S3）。