Как получить инстансы AWS VPC EC2 для просмотра API AWS?

Мы развертываем инфраструктуру внутри AWS VPC с помощью CloudFormation.

Мы используем группы с автоматическим масштабированием для запуска экземпляров VPC-EC2 (поэтому мы не вызываем экземпляры напрямую; этим занимаются ASG).

Внутри PVC экземпляры EC2 имеют только частный IP; они не могут видеть внешний мир без дальнейшей работы.

Когда эти экземпляры запускаются, у нас возникают некоторые задачи начальной загрузки, которые требуют взаимодействия с различными API-интерфейсами AWS. У нас также есть некоторые текущие задачи, для выполнения которых требуется трафик API AWS.

Как вы решаете эту очевидную проблему куриного яйца?

Мы читали о:

Экземпляры NAT - но это не очень нравится, потому что это еще один уровень нашего стека.
назначение эластичных IP-адресов каждому экземпляру VPC, который должен взаимодействовать, но а) все они это делают, и б) поскольку мы используем ASG, мы не знаем, каким экземплярам назначать EIP во время подготовки, и в) мы нужно было что-то настроить для мониторинга этих ASG и назначения EIP, когда экземпляры завершаются и заменяются
запуск экземпляра (фактически пары с балансировкой нагрузки, вероятно, охватывающей зоны доступности) для работы в качестве прокси AWS-API для всего трафика API

Думаю, мне интересно, есть ли какой-то черный ход, который мы можем открыть, который позволяет нашим экземплярам VPC EC2 получить доступ к конечным точкам API AWS, но ничего больше, для настройки с низкой сложностью, которая не добавляет еще один уровень сетевых переходов в нашу инфраструктуру для обслуживания запросов.

Вы рассмотрели основные способы заставить экземпляр VPC в частной подсети разговаривать с внешним миром.

Маршрутизируйте интернет-трафик для частной подсети из VPN-туннеля, подключенного к вашему офису, который затем может предоставить доступ к остальной части Интернета. Не идеально, так как для этого требуется постоянный VPN-туннель и дополнительный переход через ваш офис.

Я бы предложил использовать экземпляры NAT, это рекомендуемая настройка для получения доступа в Интернет к машинам внутри частных подсетей. Они настраиваются для каждой подсети, поэтому вашим машинам не нужно знать свою конфигурацию при запуске. Просто убедитесь, что используете экземпляр m1.large или более крупный, чтобы получить более высокую пропускную способность сети (по сравнению с m1.small).

По состоянию на апрель 2015 года AWS предлагает простое решение этой проблемы: Конечные точки VPC

Конечная точка VPC позволяет создать частное соединение между вашим VPC и другим сервисом AWS, не требуя доступа через Интернет, через экземпляр NAT, VPN-соединение или AWS Direct Connect. Конечные точки - это виртуальные устройства. Это горизонтально масштабируемые, избыточные и высокодоступные компоненты VPC, которые обеспечивают обмен данными между экземплярами в ваших сервисах VPC и AWS, не создавая рисков доступности или ограничений пропускной способности для вашего сетевого трафика.