如何限制出站 EC2 只能访问 S3？

Question

我想限制来自 EC2 实例的出站安全组。实例只需要访问一个 S3 存储桶。我刚刚了解到 S3 使用端口 HTTPS (443)。我可以设置该规则以允许与任何 ip 的任何连接，只要它是 HTTPS，但是否有可能只允许 EC2 实例访问 S3？是否有任何连接到 S3 存储桶的 ip 或者我可以设置一个？

Answer 1

您可能希望在此处使用 VPC 端点。

http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/vpc-endpoints.html

“VPC 终端节点使您能够在您的 VPC 和另一个 AWS 服务之间创建私有连接，而无需通过 Internet、NAT 实例、VPN 连接或 AWS Direct Connect 进行访问。终端节点是虚拟设备。它们是水平扩展的、冗余的，以及高度可用的 VPC 组件，这些组件允许您的 VPC 中的实例与 AWS 服务之间进行通信，而不会对您的网络流量造成可用性风险或带宽限制。”

Answer 2

是否可以只允许EC2实例访问S3？是否有任何 IP 连接到 S3 存储桶，或者我可以设置一个吗？

S3 使用许多 IP。我怀疑很难列出所有这些人的名单。此外，不存在 IP 到存储桶的映射，您无法为存储桶指定 IP。S3 是 AWS 运行的一项托管服务，他们可以完全控制该服务的 IP 地址使用情况。

如果您需要在此级别进行过滤，最简单的方法是使用具有默认拒绝 ACL 的转发代理（如鱿鱼），然后仅允许访问 S3 域。