如何保护端点免受 aws-alb-ingress-controller 上的公共访问？

Question

有没有一种方法可以保护端点免受公共访问和/或只有 IP 列表才能访问它，就像在带有代码片段服务器注释的 nginx-ingress-controller (NLB) 上一样？

谢谢

Answer 1

Nginx-ingress有注释whitelist-source-range

您可以通过注释指定允许的客户端 IP 源范围nginx.ingress.kubernetes.io/whitelist-source-range。该值是逗号分隔的CIDR列表，例如10.0.0.0/24,172.10.0.1。

对于 LoadBalancer 中的访问控制，您可以使用以下注释： alb.ingress.kubernetes.io/inbound-cidrs

指定允许访问LoadBalancer的CIDR。

例子：

alb.ingress.kubernetes.io/inbound-cidrs: 10.0.0.0/24

alb.ingress.kubernetes.io/security-groups 如果指定了该注释将被忽略 。

它还alb.ingress.kubernetes.io/security-groups指定要附加到 LoadBalancer 的安全组。

当此注释不存在时，控制器将自动创建 2 个安全组：第一个安全组将附加到 LoadBalancer 并允许inbound-cidrs访问listen-ports. 第二个安全组将附加到 EC2 实例，并允许来自为 LoadBalancer 创建的第一个安全组的所有 TCP 流量。

例子：

alb.ingress.kubernetes.io/security-groups: sg-xxxx, nameOfSg1, nameOfSg2