Lambda 安全组到 S3 和 Secrets Manager

Question

我是 Terraform (TF) 和 AWS 的新手。我创建了一个 TF，它创建了一个 RDS 集群、VPC 和安全组、S3 存储桶、秘密管理器 (SM) 中的秘密，以及一个访问上述所有内容的 lambda。我已将 RDS VPC 和安全组附加到 lambda。所以lambda中的代码可以成功访问RDS。我的问题是我需要一个安全组，它允许 lambda 代码从秘密管理器读取以获取 RDS 用户帐户和 S3 以获取要在 RDS 上执行的 sql 脚本。因此，具有出站到 S3 和机密管理器的安全组。

我如何让 terraform 计算（数据）到 SM 和 S3 的详细信息。然后使用此信息创建安全组以允许 lambda 代码访问 SM 和 S3。

目前我正在强制使用“All to All on 0.0....”，这在生产环境中是不允许的。

Answer 1

因此，具有出站到 S3 和机密管理器的安全组。

最简单的方法是使用 S3 VPC 接口端点，而不是 S3 网关。因此，如果您有两个用于 S3 和 SM 的端点，则它们都将与您必须在代码中创建的 SG 相关联，否则它们将使用默认的一个。

因此，为了简单地限制您的 lambda 对 S3 和 SM 的访问，您只需在 lambda 的 SG 中引用接口的 SG。