как разрешить доступ к задаче ECS для RDS

У меня есть задача ECS, выполняемая из функции лямбда. Эта задача будет выполнять некоторые базовые операции SQL (например, SELECT, INSERT, UPDATE) на экземпляре RDS с MySQL. Каким образом можно управлять доступом из задачи ECS в RDS?как разрешить доступ к задаче ECS для RDS

В настоящее время я подключаюсь к RDS, используя правило группы безопасности, где порт 3306 разрешает соединение с определенного IP-адреса (где находится экземпляр EC2).

Я собираюсь переместить эту функциональность из EC2 в задачу ECS. Я просмотрел политики IAM, но, похоже, действия управляют операциями AWS CLI RDS и, вероятно, не являются решением здесь. Благодаря!

источник

2016-09-09 scagnetti

Как вы управляете RDS-доступом из экземпляра EC2 в настоящее время? Вы должны как-то указывать имя пользователя/пароль MySQL. Вы правы в том, что IAM не используется для управления доступом к экземпляру сервера MySQL. –

У меня есть соединение mysqlclient (python library), где я предоставляю un/pw. Эта часть соединения останется прежней в моей задаче ECS. Я также ограничиваю доступ к этому экземпляру EC2 своим IP-адресом, который является той частью, которую я пытаюсь решить в моей реализации ECS. Хотя, если есть какой-то способ, я могу решить это с помощью роли IAM, что было бы здорово. – scagnetti

Роли IAM и группы безопасности - это две совершенно разные вещи, которые служат для разных целей. Вы должны открыть группу безопасности, чтобы разрешить любому сетевому трафику доступ к серверу RDS. Вместо белого IP-адреса вы должны «белить» входящую группу безопасности.

Например, если сервер RDS находится в группе безопасности 1, а сервер ECS находится в группе безопасности 2, вы можете ввести идентификатор группы безопасности 2 в правило входящего доступа группы безопасности 1. Тогда вы не приходится беспокоиться о том, что серверы меняют IP-адреса.

источник

2016-09-09 20:38:28

У меня возникла проблема, когда я хотел бы сделать то же самое, но кластеры ECS находятся в разных регионах, все подключаются обратно к записи в мастер-RDS Db Instance в ap-south-2. Я прочитал, что вы не можете назначать группы безопасности из другого региона в качестве входящей группы. У вас есть предложение, как вы можете достичь этого Знака? – Chris

@Chris Если вы используете пиринги VPC кросс-региона, вы можете выполнить белый список IP-диапазона частной подсети. –

Спасибо, Марк, я посмотрю. Ценить это. – Chris

как разрешить доступ к задаче ECS для RDS

ответ

Смежные вопросы