AWSプライベートサブネットセキュリティグループAWSサービスの出力ホワイトリスト？

Question

プライベートサブネットに、DynamoDBとKMSにアクセスする必要のあるEC2インスタンスがあります。現時点では、VPCエンドポイントはこれらのいずれもサポートしていないため、NATゲートウェイ経由でインターネットにアクセスする必要があります。

誰がちょうど含まれるセキュリティグループの退出ルールを制限することができた私はこれら2つのサービスにセキュリティグループの退出ルールを制限したいが、私は今までに発見した唯一の情報はhttp://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html

@ですAWSサービス？

私はEC2サービスエントリがAMAZONサービスエントリのサブセットであることから、EC2リストに存在しないすべてのCIDRブロックを含めるべきかどうかを推測しています。他のAWSサービスIP？

私はこれらが動的であることを知っているため、更新を購読して処理する必要があります。事前に

おかげ

パット

Answer 1

1つのオプションは、セキュリティグループに（例えばdyanamodb.amazonaws.com用）AWSサービスのDNS名を使用することですが、SGはそれを許可していません。

1. は、すべてのアウトバウンドアクセス

2. 使用squidプロキシなどのプロキシを許可：だから、2つのオプションがあります。プライベートサブネットにルートを追加して、インターネットトラフィックをプロキシにルーティングします。プロキシはNAT経由でインターネットに接続されます。プロキシでは、目的のサービスにのみトラフィックを許可するルールを追加し、他のすべてのトラフィックについては明示的に拒否することができます。