出于安全性考虑，是否可以通过Direct Connect运行AWS CLI命令？

Question

我正在与AWS合作，需要一些支持。

我的团队配置了直接连接，我们现在可以享受从我们的公司网络到AWS上的VPC的私有连接。

管理层正在询问是否有可能通过Direct Connect而不是通过公共互联网执行aws cli命令。事实上，我们有很多脚本和很多命令，比如aws ec2 describe-instances等等。我猜这些调用了亚马逊网络服务公开的EC2服务的public REST API。

他们询问这些电话是否有可能不通过公共互联网。

我见过VPC端点？他们是解决方案吗？

Answer 1

关于这个问题的答案，请参考@jarmod的answer below，但请继续阅读，了解为什么我认为这听起来像XY problem。

根本没有理由让管理层感到担忧。

使用AWS CLI访问服务的Third-party auditors assess the security and compliance of AWS services as part of multiple AWS compliance programs.不会改变该服务的合规性-- AWS有compliance programs，它几乎涵盖了全球所有的IT合规框架。

抛开合规性不谈，AWS CLI不存储任何客户数据(不应存在数据保护问题)，并安全地传输数据(除非您手动覆盖此设置)。

用户指南highlights如下：

除了代表用户与

服务交互所需的凭证之外，AWS CLI本身不会存储任何客户数据。默认情况下，从运行AWS CLI和AWS服务端点的客户端计算机传输的所有数据都是通过HTTPS/连接发送所有内容的加密。

您无需执行任何操作即可启用HTTPS/TLS。它始终处于启用状态，除非您使用--no-verify-ssl命令行选项为单个命令显式禁用它。

如果这还不够，您还可以在通过enforcing a minimum version of TLS 1.2 to be used by the CLI与亚马逊网络服务通信时添加更高的安全性。

应该针对更大的攻击载体，比如：

存储credentials

• Permanent访问令牌的设备的物理可访问性与与credentials

关联的temporary credentials

• IAM策略之间的物理可访问性

AWS CLI是安全的。

Answer 2

有关如何使用S3执行此操作，请参阅How can I access my Amazon S3 bucket over Direct Connect?。

基本上：

启动并建立后，专线路由器通告所有全球公共IP前缀，包括亚马逊S3前缀。流向亚马逊S3的流量通过专线公共虚拟接口进行路由。公共虚拟接口通过AWS与您的数据中心或公司网络之间的专用网络连接进行路由。

根据AWS Direct Connect FAQs，您可以将其扩展到其他亚马逊服务

包括亚马逊弹性计算云(EC2)、亚马逊虚拟私有云(VPC)、亚马逊简单存储服务(S3)和亚马逊DynamoDB在内的所有亚马逊网络服务都可以与专线连接一起使用。