amazon-ec2 - 从另一个 AWS 账户编辑 EC2 安全组

Question

我在 AWS 上有 2 个账户。在第一个帐户上，我创建了一个带有“dbSG”安全组的永久 EC2 实例(仅允许通过特定端口和 IP 进行连接)。

当我使用 CloudFormation 模板在第二个帐户中创建实例时，它应该:

• 将此实例 IP 添加到“dbSG”安全组并允许通过特定端口进行连接。
• 通过此端口连接到第一个实例。

在第二个帐户中创建实例时，我可以在 UserData 中使用 AssumeRole 并修改“dbSG”以允许来自该实例的连接吗？如果可以的话，如何一步步完成？

Answer 1

对于 EC2-Classic

ec2 authorize-security-group-ingress 的 CLI 帮助有以下示例:

To add a rule that allows inbound HTTP traffic from a security group in another account

This example enables inbound traffic on TCP port 80 from a source security group (otheraccountgroup) in a different AWS account (123456789012). If the command succeeds, no output is returned.

Command:

aws ec2 authorize-security-group-ingress --group-name MySecurityGroup --protocol tcp --port 80 --source- group otheraccountgroup --group-owner 123456789012

因此，假设您知道“appSG”的安全组 ID，以及来自“db”帐户的凭据:

aws ec2 authorize-security-group-ingress --group-name
dbSG --protocol tcp --port 1234 --source-group
appSG --group-owner XXX-APP-ACCOUNT-ID

通过 CloudFormation:https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-properties-ec2-security-group-rule.html#cfn-ec2-security-group-rule-sourcesecuritygroupownerid

不幸的是，这似乎不适用于 VPC 中的实例，而仅适用于 EC2-Classic。

---

对于 EC2-VPC:用户数据 方式

在“db”账户中，将角色添加到您的 CF 模板，指定允许另一个 AWS 账户中的特定角色承担此类角色的信任策略:

(将 XXX-... 替换为您自己的值)

'RoleForOtherAccount': {
  'Type': 'AWS::IAM::Role',
  'Properties': {
    'AssumeRolePolicyDocument': {
      'Version': '2012-10-17',
      'Statement': [{
        'Effect': 'Allow',
        'Principal': {
          'AWS': "arn:aws:iam::XXX-OTHER-AWS-ACCOUNT-ID:role/XXX-ROLE-NAME-GIVEN-TO-APP-INSTANCES"
        },
        'Action': ['sts:AssumeRole']
      }]
    },
    'Path': '/',
    'Policies': [{
      'PolicyName': 'manage-sg',
      'PolicyDocument': {
        'Version': '2012-10-17',
        'Statement': [
          {
            'Effect': 'Allow',
            'Action': [
              'ec2: AuthorizeSecurityGroupIngress'
            ],
            'Resource': '*'
          }
        ]
      }
    }]
  }
}

然后，在“app”实例上，您可以添加以下用户数据脚本(通过 CloudFormation: https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-properties-ec2-instance.html#cfn-ec2-instance-userdata)

#!/bin/bash

# get current public IP address via EC2 meta-data
MY_IP=$(wget -qO- http://instance-data/latest/meta-data/public-ipv4)

# assume the "db" account role and get the credentials
CREDENTIALS_JSON=$(aws sts assume-role --role-arn XXX-ARN-OF-ROLE-IN-DB-ACCOUNT --role-session-name "AppSessionForSGIngress" --query '{"AWS_ACCESS_KEY_ID": Credentials.AccessKeyId, "AWS_SECRET_ACCESS_KEY": Credentials.SecretAccessKey, "AWS_SESSION_TOKEN": Credentials.SessionToken }')

# here you should find a way to extract AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY and AWS_SESSION_TOKEN from the above $CREDENTIALS_JSON, then export them or pass as values replacing YYY below

# authorize the IP
aws --region XXX-DB-REGION --access-key-id YYY --secret-access-key YYY --session-token YYY ec2 authorize-security-group-ingress --group-id sg-XXX --protocol tcp --port 1234 --cidr $MY_IP/32

“app”实例的 IAM 角色必须允许调用 sts:AssumeRole。

警告:如果您停止并重新启动实例，其公共(public) IP 将发生变化(除非您已分配 ElasticIP)。由于用户数据脚本仅在第一次启动期间执行，因此您的 dbSG 将不会更新。

---

通过 Lambda

您还可以使用由 CloudTrail 或 Config 触发的 Lambda 函数，尽管这有点棘手:Run AWS Lambda code when creating a new AWS EC2 instance

这样，您还可以跟踪对 StopInstance 和 StartInstance 的调用，并以更稳健的方式更新(撤销/授权)dbSG 规则。

---

引用文献:

• https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/user-data.html
• https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html#Principal