amazon-web-services - AWS 服务的 AWS 私有(private)子网安全组导出白名单？

Question

我在私有(private)子网中有一些 EC2 实例需要访问 DynamoDB 和 KMS。由于此时 VPC 端点不支持其中任何一种，因此我需要通过 NAT 网关授予互联网访问权限。

我想将安全组导出规则限制为仅这 2 个服务，但迄今为止我找到的唯一信息是 @ http://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html

有没有其他人能够将安全组导出规则限制为只包含 AWS 服务？

据我所知，EC2 服务条目是 AMAZON 服务条目的一个子集，所以我猜测如果我要包含 EC2 列表中不存在的所有 CIDR block ，那么我将剩下所有其他的AWS 服务 IP？

我知道这些是动态的，因此需要订阅和处理更新。

提前致谢

帕特

Answer 1

一种选择是在安全组中使用 AWS 服务 DNS 名称(例如 dyanamodb.amazonaws.com)，但 SG 不允许这样做。所以你有两个选择:

1. 允许所有出站访问

2. 使用像 squid 代理这样的代理。添加到您的私有(private)子网的路由以将互联网流量路由到代理，并且代理通过 NAT 连接到互联网。在代理中，您可以添加规则以仅允许流向所需服务的流量，并明确拒绝所有其他流量