amazon-web-services - 将安全组的参数化列表添加到另一个安全组入口

Question

我想创建一个 CloudFormation 模板，该模板创建一个安全组资源，允许从其他安全组的变量列表进入。该模板将采用 List<AWS::EC2::SecurityGroup::Id> 类型的参数。 。我将此参数命名为 SourceSecurityGroupIds对于这个例子。然后，它将使用以下内容创建安全组资源:

{
    "LogServerSecurityGroup": {
        "Type": "AWS::EC2::SecurityGroup",
        "Properties": {
            "GroupDescription": "XYZ security group",
            "VpcId": "vpc-abcxyz",
            "SecurityGroupIngress": [
                {
                    "IpProtocol": "tcp",
                    "FromPort": 1234,
                    "ToPort": 1234,
                    "SourceSecurityGroupId": { "Ref": "SourceSecurityGroupIds" }
                }
            ]
        }
    }
}

当然，SourceSecurityGroupId SecurityGroupIngress的属性(property)不需要 list 。有办法让它工作吗？

更新 - 2019 年 2 月 27 日

回想起来，正确的方法是创建一个 LogSourceSecurityGroup ，并仅允许来自该安全组的入口。然后，将该安全组添加到任何应该能够与日志服务器通信的 EC2 实例等。

Answer 1

我知道现在已经晚了，所以你已经弄清楚了，但我刚刚遇到了同样的问题，并且我能够解决它。您需要创建一个“安全组入口”资源，该资源会将规则添加到现有安全组，因此它会像:

{
    "LogServerSecurityGroup": {
        "Type": "AWS::EC2::SecurityGroup",
        "Properties": {
            "GroupDescription": "XYZ security group",
            "VpcId": "vpc-abcxyz"
        }
    },
    "LogServerSecurityGroupIngress" : {
        "Type" : "AWS::EC2::SecurityGroupIngress",
        "Properties" : { 
            "GroupId" : {"Ref" : "LogServerSecurityGroup"},
            "IpProtocol" : "tcp",
            "FromPort" : "1234",
            "ToPort" : "1234",
            "SourceSecurityGroupId" : {"Ref" : "SourceSecurityGroupIds"}
        }

   }
}

您可以在此处找到更多信息: https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-properties-ec2-security-group-ingress.html#cfn-ec2-security-group-ingress-groupid