AWS VPC 终端节点接口是否需要 Internet 网关

Question

我正在尝试将以下服务连接到具有公有子网和私有子网的 VPC。
任何流量都不应通过公共互联网。

服务

• sqs.ap-southeast-2.amazonaws.com
• ssm.ap-southeast-2.amazonaws.com
• logs.ap-southeast-2.amazonaws.com

通读Interface VPC Endpoints (AWS PrivateLink) ，没有提到IGW（互联网网关）。

但是，通过阅读Tutorial: Sending a Message ...，会预置一个 IGW，并从 EC2 实例所在的子网提供一条路由。

• 当我不配置 IGW 时，没有任何服务可以工作。
• 当我进行配置和 IGW 时，SSM 有效，但 SQS 或 CloudWatch 无效。

问题：

1. 是否需要 IGW？
2. 诸如此类的服务端点需要什么路由或设置？

我已经检查了以下内容：

• 策略：完全访问权限
• 子网：私有、公共
• 路由：公共子网有 0.0.0.0/0 路由到 IGW
• 在私有子网中测试 IGW 路由

感谢任何帮助或指点。

Answer 1

好的，所以正确的答案是服务端点不需要需要 IGW。
但是，并不是所有的命令都有效，下面的命令可以用来测试。

SQS

aws sqs send-message --region {region} --endpoint-url https://sqs.{region}.amazonaws.com/ --queue-url https://sqs.{region}.amazonaws.com/{queue_id}/{queue_name} --message-body "Test"

SSM

aws ssm get-parameter --name {test-param-name}

CloudWatch 日志

aws logs describe-log-streams --log-group-name {test_log_group_name}