如何从其他区域通过私有VPC端点访问Amazon DynamoDB服务？

核心结论 #

DynamoDB的私有VPC端点为区域级资源，不支持直接跨区域访问，直接发起跨区域请求默认会走公网，不符合你的安全要求。可以通过跨区域VPC互联搭配全球表全局端点的方案满足你的容灾+全程内网传输需求。

可行实现方案 #

• 第一步：为你已部署的DynamoDB全球表配置DynamoDB全局端点，该全局端点会自动检测区域服务健康状态，在主区域DynamoDB服务降级时自动将请求路由到备区域的健康副本，符合AWS官方推荐的容灾架构。
• 第二步：实现跨区域VPC内网互通，有两种主流方案可选：
  • 轻量场景：配置主备区域VPC的跨区域对等连接，在两个VPC的路由表中分别添加对端VPC网段的路由规则，所有跨区域流量将走AWS私有骨干网，全程不经过公网。
  • 多区域大规模组网场景：使用AWS Transit Gateway跨区域组网，将主备区域VPC均挂载到Transit Gateway中，统一管理跨区域内网路由。
• 第三步：验证路由合规性，在主区域EC2实例上通过mtr/traceroute工具测试访问备区域DynamoDB端点，确认无公网IP路由节点即可上线。

替代方案（不适配VPC对等场景） #

如果你的架构不允许直接建立跨区域VPC对等，可在备区域部署API Gateway私有端点+Lambda转发层：

• 备区域的Lambda配置访问本区域DynamoDB VPC端点的权限
• 主区域EC2通过PrivateLink访问备区域的API Gateway私有端点，所有流量全程走AWS内网，最终由Lambda转发DynamoDB请求

注意事项 #

• DynamoDB网关型VPC端点仅支持本区域VPC内访问，跨区域访问必须搭配上述VPC互联方案
• 自定义实现故障切换逻辑时建议添加3-5次重试+熔断机制，避免主区域服务短暂抖动导致不必要的切换

内容的提问来源于stack exchange，提问作者Jimmy Vo