如何使用 AWS 安全组仅将某些 EC2 实例列入白名单？

【问题标题】：How do I use AWS security groups to whitelist only certain EC2 instances?如何使用 AWS 安全组仅将某些 EC2 实例列入白名单？
【发布时间】：2012-08-03 01:57:10
【问题描述】：

我对 AWS 安全组的理解是，它本质上是一个白名单。

除非明确允许，否则一切都会被阻止。

假设我设置了一些具有自动缩放功能的 EC2 实例。

在自动缩放的背景下，我不一定知道那些未来的 IP 会是什么。

假设我有一组 EC2 实例，用于 mysql 或 mongodb 等数据库。

我只想让我的应用程序服务器能够访问我的数据库服务器。

有没有办法为 EC2 实例创建标签并根据安全组允许任何具有特定标签的 EC2 实例？

这在现实世界中通常是如何完成的？

提前致谢

【问题讨论】：

标签： amazon-ec2

【解决方案1】：

看起来您可以将安全组用作分类器，并将安全组“id”用于“源”字段。

例如：

假设您有一个属于“网络”安全组 (sg-12345) 的网络服务器集群

假设您有一个属于“db”安全组 (sg-23456) 的数据库服务器集群

您可以让“db”安全组允许端口 3306 到 sg-12345，只要在“web”安全组中启动新实例，它们就可以访问端口 3306 上的“db”

【讨论】：

这能正常工作吗？我永远无法让这个（允许访问某些安全组）正常工作。
要使 sg-XXXXXX 表示法起作用，您需要通过服务器私有 aws ip 进行访问。（即，不是公共弹性 ip）。 forums.aws.amazon.com/thread.jspa?messageID=414060
您也可以使用公共 dns 主机名。
只有当您通过它们的公共主机名或通过它们的私有 IP 地址访问这些实例时，上述内容才会起作用。当您明确使用实例的公共 IP 地址时，这将不起作用。