Создать группу безопасности AWS EC2, открытую только для внутренних экземпляров VPC и одной внешней службы

Question

У меня есть один экземпляр Elastic Beanstalk, который функционирует как панель инструментов, отображающая HTML-диаграмму администратора и данные, полученные из базы данных. Это и база данных находятся в пределах определенного VPC.

Также в VPC у меня есть еще одно приложение Elastic Beanstalk, которое работает как клиент веб-сокета, сохраняя данные из внешней службы в базу данных. Это корма для приема пищи на диаграмме ниже.

В каналах проглатывания есть конечные точки HTTP-остатка, которые могут ударить с панели управления администратора, которые запускают/останавливают фиды подачи.

Проблема, с которой я сталкиваюсь, заключается в том, как закрыть каналы проглатывания из-за пределов VPC. Мне бы хотелось, чтобы он подключался только к приложениям панели управления Active Dashboard.

Но я также хочу, чтобы они могли подключаться к внешней службе через сетевые сокеты.

Answer 1

Это должно соответствовать вашим требованиям:

Админ Панель Сервер: Security Group A

• Входящее правило, разрешающее трафик на любой порт (ы) ваша панель подается на, вероятно, порт 80 и/или 443.
• Стандартные исходящие правила

Проглатывание Ленты сервера: Security Group B

• Нет входящих правил (смотрите примечание ниже)
• правила по умолчанию исходящие

Сервер базы данных: Security Group C

• Входящее правило разрешить экземпляры, принадлежащие группе безопасности A, доступ к порту базы данных
• Входящего правила, чтобы экземпляры, принадлежащие к доступу Security Group B в порт базы данных
• правил по умолчанию исходящих

Примечание:

От the documentation:

группа безопасности с сохранением состояния - если вы отправляете запрос из вашего экземпляра , трафик ответа для этого запроса может протекать в независимо от того, входящих в группу безопасности. Отклики на разрешенный входящий трафик разрешены, вне зависимости от исходящих правил.

Это должно позволить службе «Пропускать каналы» создать соединение с внешней службой и получать ответы на это соединение без каких-либо правил входящих, назначенных экземпляру «Пропущенные каналы».