amazon-web-services - 是否可以使负载均衡器 (ELB) 只能由 SNS 访问？

Question

我正在 AWS 中创建内部应用程序负载均衡器。我希望它只能通过 SNS 访问/访问，并阻止所有其他请求。

我尝试查找 AWS 使用的 SNS IP(因此我只能将这些 IP 列入白名单)，但没有可靠的范围。

有什么办法可以做到这一点吗？

PS。我正在使用云信息

Answer 1

您可以订阅 HTTP 终端节点Amazon SNS 主题。

您可以使用负载均衡器的 DNS 名称作为端点，以便将消息发送到负载均衡器。负载均衡器需要位于公有子网中，因为 Amazon SNS 位于 Internet 上。

您还需要通过 SNS 发送到端点的链接确认订阅。 (参见Using Amazon SNS for System-to-System Messaging with an HTTP/S Endpoint as a Subscriber)

要“限制”向负载均衡器发送流量的能力，以便只有 Amazon SNS 可以发送请求，您可以在负载均衡器上配置安全组。但是，Amazon SNS 未在 AWS IP Address Ranges 中的 ip-ranges.json 文件中列出。 ，因此您不知道允许哪些 IP 地址作为入站流量。

您可以尝试一下，看看 SNS 使用哪些 IP 地址，然后分配更大的 CIDR 范围，但这并不能保证您知道所有可能的 IP 地址。因此，您唯一的希望是不限制访问，但要冒其他系统/人员向负载均衡器发送流量的风险。

另类设计

您可以重新设计您的应用程序以使用 Amazon SQS 队列，而不是通过负载均衡器从 Amazon SNS 将消息发送到您的应用程序(可能在 Amazon EC2 实例上运行):

• 将 Amazon SQS 队列订阅到 Amazon SNS 主题
• 让您的应用轮询 SQS 队列中的消息(而不是等待通过 HTTP 和负载均衡器接收消息)