amazon-web-services - 从 VPC 内的另一个 cloudformation 模板引用 SecurityGroup

Question

我有一个 VPC(通过 cloudformation 创建)，它为该 VPC 中创建的所有堆栈创建一些通用的共享基础设施，例如ssh Jumphost 和 ssh Jumphost 的安全组。

我有一个单独的 cloudformation 模板，可以在现有 VPC 内创建 Web+App+DB 堆栈。

如何允许从第一个模板中定义的通用 ssh 跳转主机将入站 ssh 22 发送到堆栈模板中的实例？

根据文档，在 VPC 内部，我需要指定 SourceSecurityGroupId，它必须具有实际的 VPC ID 或使用 Ref 函数来查找此模板中定义的安全组。

如何从另一个模板引用同一 VPC 内的现有 SG？

编辑:

通过 NAT 实例出站有同样的问题。 NAT 实例在 VPC 级别提供，但每个堆栈都需要其安全组来允许对仅 NAT 实例的出站访问。

Answer 1

更新: self 最初的回答以来，这已经发生了变化。另请参阅 Vor 下面的答案，建议使用 custom resources and Lambda允许跨堆栈引用。

原始答案

不支持引用另一个堆栈中的资源，因此您无法使用Ref()。您可以使用 SourceSecurityGroupId (按照您的建议)并将其作为 parameter 传递。 ，和/或您可以使用 SourceSecurityGroupName 。但 Cloudformation 无法以编程方式引用其他堆栈。

我喜欢使用 Python、boto 和 troposphere library 编写 Cloudformation 模板。解决代码中的此类问题。