aws-cloudformation - 将规则插入之前手动创建的 SG 中

Question

我会解释一下这个场景:

我创建了一个云信息模板，基本上包含以下资源:

• 服务器SG
• serverAutoScallingGroup
• 服务器启动配置
• serverIAMInstProf
• 服务器IAM策略
• 服务器IAM角色

“serverLaunchConfig”启动一个名为“MyServer”的实例，这种实例有一个私有(private)子网，并且在该子网中有一个先前手动创建的 NAT 服务器。cloudformation 模板工作正常，但 cnf-init 不起作用，因为我的实例安全组 (serverSG) 没有在 NAT 安全组 (natSG) 中创建允许互联网访问的规则，因此“MyServer”不工作有互联网接入。

我的问题:

我需要在 natSG(手动创建)中插入一条规则，允许 serverSG(创建的 cloudformation)访问互联网，以执行正确的引导。是否有任何技巧可以做到这一点(使其工作)，或者 cloudformation 无法执行此任务？

Answer 1

cfn-init 在这里是错误的工具。为了向现有安全组添加规​​则，您需要使用 AWS::EC2::SecurityGroupIngress对于入站规则和 AWS::EC2::SecurityGroupEgress出站规则

仅当您想要在实例内运行的操作系统 内部进行某些自定义时，才应使用

cfn-init 脚本。您想要做的是与 AWS 基础设施交互，而不是与实例的操作系统交互。