如何通过其他区域的私有 VPC 终端节点访问 Amazon DynamoDB 服务？答案

【问题标题】：How to access Amazon DynamoDB service through a private VPC endpoint from another region?如何通过其他区域的私有 VPC 终端节点访问 Amazon DynamoDB 服务？
【发布时间】：2021-10-28 15:19:54
【问题描述】：

我们有 2 个区域，主要区域和次要区域，其中配置了 VPC，以便该 VPC 中的 EC2 实例向私有 VPC 终端节点发出请求，该终端节点将从该区域为 DynamoDB 提供服务。我们的 Amazon DynamoDB 表是全局表。出于安全原因，我们的目标是让我们的请求保留在 Amazon 网络中。

我们有一个计划任务，该任务将在我们主要区域的 EC2 实例上运行。我们希望通过在主要区域 DynamoDB 服务降级的情况下将 DynamoDB 请求故障转移到次要区域来使其更具弹性。这是 AWS 在 Availability and Durability 部分推荐的。

我查看了这些文档：Endpoints for Amazon DynamoDB 和 Using Amazon VPC Endpoints to Access DynamoDB，但它们似乎没有提供任何解决方案。是否甚至可以从另一个区域向私有 VPC 端点发出请求？

目标是通过不将请求发送到 Internet 来实现多区域弹性和良好的安全性。

【问题讨论】：

标签： amazon-web-services amazon-dynamodb vpc-endpoint

【解决方案1】：

很遗憾，https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-ddb.html 的文档无法做到这一点：

终端节点目前不支持跨区域请求 - 确保您在与 DynamoDB 表相同的区域中创建终端节点。

还记录在这里：https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-gateway.html#vpc-endpoints-limitations

端点连接不能扩展到 VPC 之外。您的 VPC 中 VPN 连接、VPC 对等连接、transit gateway、AWS Direct Connect 连接或 ClassicLink 连接另一端的资源无法使用终端节点与终端节点服务中的资源进行通信。

【讨论】：

您是否知道任何其他允许多个区域之间的请求并保留在亚马逊网络中的模式？
@JimmyVo 如果您使用的是 DynamoDB，请查看全局表，它是多区域、多活动数据库。 docs.aws.amazon.com/amazondynamodb/latest/developerguide/…
是的，我的表已经是全局表了。这就是为什么我知道我的主要区域的应用程序可以从次要区域访问 DynamoDB 并且不会出现任何数据问题。问题是如何将请求保留在 Amazon 网络中。