如何创建分层 AWS 安全组？

Question

我想在 AWS 中创建一个 2 级安全组层次结构。

1. 位置组- 特定于不同位置的 IP 地址组（例如“办公室”、“家庭”、“客户 1”等）。这些基组中的每一个都授予每个 IP 访问所有流量（端口 0-65535）的权限
2. 环境组- 然后我尝试将这些基本位置组添加到我的更高级别的环境组（例如“测试”、“产品”、“报告数据库”等）。我将在 EC2 中为我的不同实例使用环境组。因此，例如，服务器“uat_01”将引用“test”环境组，例如，它将反过来授予对“office”的访问权限。

这是我为安全组 sg-f2d8 设置的入站规则......（办公室）

我正在使用端口范围添加基本组以访问 HTTP（或 HTTPS 或 MySQL 等，根据需要），并使用带有组标识符的“自定义”配置引用基本组，例如“sg-f2d8。 ……”

在安全组面板中，一切正常，但我无法从选定的 IP 获得访问权限。

请帮忙！有人告诉我 EC2 安全组可以通过这种方式引用基组，但我似乎无法弄清楚！

谢谢！

Answer 1

当您将安全组作为入站规则的源（或出站规则的目标）时，您是在引用与该组关联的资源（即您创建的属于所述组的 ec2 实例）并没有真正允许流量该组将允许（这是对 aws-security 组的一种常见误解）。通过以这种方式引用它们，安全组之间也没有传递性。

现在，为了实现您想要实现的目标，我能想到的唯一解决方法是创建风格家庭测试、办公室测试、家庭产品的组，并将您认为合适的源 ip 放入每个组。归根结底，这些只是“1 级”安全组。

正式的答案是不，您不能创建分层的 aws sec 组。