amazon-web-services - 如何在 VPC 上下文中将我的 AWS::EC2::DBSecurityGroup 连接到我的 AWS::RDS::DBSecurityGroup？

Question

我有这个 AWS::EC2::SecurityGroup:

    "InstanceSecurityGroup" : {
        "Type" : "AWS::EC2::SecurityGroup",
        "Properties" : {
            "GroupDescription" : "Enable HTTP access on the configured port",
            "VpcId" : { "Ref" : "VpcId" },
            "SecurityGroupIngress" : [ {
                "IpProtocol" : "tcp",
                "FromPort" : { "Ref" : "WebServerPort" },
                "ToPort" : { "Ref" : "WebServerPort" },
                "SourceSecurityGroupId" : { "Ref" : "LoadBalancerSecurityGroup" }
            } ]
        }
    }

我有这个 AWS::RDS::DBSecurityGroup

    "DBSecurityGroup": {
        "Type": "AWS::RDS::DBSecurityGroup",
        "Properties": {
            "DBSecurityGroupIngress": { "EC2SecurityGroupName": { "Ref": "InstanceSecurityGroup"} },
            "GroupDescription"      : "Frontend Access"
        }
    }

当我尝试调出这个堆栈时，我得到:

Invalid security group , groupId=, groupName= sg-a381fdc6.

编辑 1:阅读更多内容表明我需要 AWS::RDS::DBSecurityGroup 与我的 VPC 关联，因此我更改为:

    "DBSecurityGroup": {
        "Type": "AWS::RDS::DBSecurityGroup",
        "Properties": {
            "EC2VpcId" : { "Ref" : "VpcId" },
            "DBSecurityGroupIngress": { "EC2SecurityGroupName": { "Ref": "InstanceSecurityGroup"} },
            "GroupDescription"      : "Frontend Access"
        }
    }

当我调出堆栈时，我得到

请参阅授权 DBSecurityGroup 入口的文档。对于 VPC，需要 EC2SecurityGroupId。要仅授权此请求的源地址(而不授权其他地址)，请传递 205.251.233.35/32 作为 CIDRIP 参数。

EC2SecurityGroupId 是安全组的 ID，而不是其名称，并且该 ID 是在我的控制之外分配的，因此我不知道在此处输入什么值。

如何在 VPC 上下文中将我的 AWS::EC2::DBSecurityGroup 连接到我的 AWS::RDS::DBSecurityGroup？

Answer 1

问题是您的 { "Ref": "InstanceSecurityGroup"} 不保存 id，只保存名称。要保留 EC2SecurityGroupId，请使用 Fn::GetAtt .

您的 DBSecurityGroup 模板应如下所示(请注意 Ref 如何被 Fn::GetAtt 替换:

"DBSecurityGroup": {
"Type": "AWS::RDS::DBSecurityGroup",
"Properties": {
   "EC2VpcId"              : { "Ref" : "VpcId" },
   "DBSecurityGroupIngress": { "EC2SecurityGroupId": { "Fn::GetAtt" : [ "InstanceSecurityGroup", "GroupId" ] } },
   "GroupDescription"      : "Frontend Access"
}