如何使用boto3找到EC2跳转主机ssh端口转发到RDS？

Question

我想使用 Python 和 boto3 编写一个脚本，让我 psql 到使用 EC2 作为代理的指定 RDS 实例，例如使用ssh -L 端口转发或隧道。

我有一堆 RDS 和 EC2 实例。一个 RDS 实例可能被多个 EC2 实例使用。这是使用安全组和一个入站规则来实现的，该规则将两个安全组（用于 EC2 和 RDS）连接到数据库端口 (5432) 上的流量。

我可以使用 boto3 来获取 EC2 和 RDS 实例的信息，包括安全组。但我不知道我需要 ssh 哪个 EC2 实例来充当给定 RDS 实例的代理。

如何将 EC2 服务器配置为通过 ssh 进行外部连接的代理/跳转服务器？我应该选择哪个 EC2 实例？

Answer 1

这是一个 UNTESTED sn-p，应该接近工作，与实际工作代码分离：

import boto3

def find_jump_host(rds_name):
    rds_client = boto3.client('rds')
    ec2_client = boto3.client('ec2')
    ec2 = boto3.resource('ec2')

    rds_instances = rds_client.describe_db_instances()['DBInstances']
    for rds_instance in rds_instances:
        if rds_instance.get('DBInstanceIdentifier') == rds_name:
            break

    vpc_groups = rds_instance.get('VpcSecurityGroups', [])
    vpc_group_ids = [group.get('VpcSecurityGroupId', None) for group in vpc_groups]
    vpc_group_ids = [id_ for id_ in vpc_group_ids if id_ is not None]

    security_groups = [ec2.SecurityGroup(id_).ip_permissions for id_ in vpc_group_ids]
    group_ids = set(pair.get('GroupId')
                    for link in security_groups
                    for pair in link.get('UserIdGroupPairs', []))

    ec2_instances = ec2_client.describe_instances()
    reservations = ec2_instances['Reservations']

    for reservation in reservations:
        for instance in reservation.get('Instances', []):
            if instance['State']['Name'] == 'stopped':
                continue

            for group in instance.get('SecurityGroups', []):
                if group.get('GroupId') in group_ids:
                    break

    for instance in reservation['Instances']:
        print("Public IP", instance.get('PublicIpAddress', '<no public IP>'))
        print("Private IP", instance['PrivateIpAddress'])
        print("Public DNS name", instance['PublicDnsName'])
        print()

请注意，这会做出一些随意的决定，例如选择第一个可能的预订。此外，某些主机可能不适合您的设置中的跳转主机（例如，您可能没有 ssh 访问权限）。所以这需要适应你所处的特定环境。

Answer 2

这里仍然缺少许多信息。请添加详细信息，以便其他人可以修改您的问题。

首先，可以在here 找到 ssh-tunneling/port-forwarding 的答案。只需将端口从 mysql 3306 更改为您的 RDS psql 端口。

其次，如果您想使用从本地 PC 到 EC2 ssh 代理的连接，这是唯一可能的：

1. EC2 服务器有一个公共连接的 IP 地址，或者
2. 您与位于 VPC 私有子网上的 EC2 服务器建立了 VPN 连接