AWS 负载均衡器到 EC2 实例防火墙规则

Question

我有一个位于两个可用区的 AWS EC2 负载均衡器。我正在使用负载均衡器在 ec2 实例上前置 apache 服务器，并且正在使用 Cognito 对应用程序进行身份验证。

目前，我已经确定了负载均衡器网络接口的私有 IP 地址，并在我的后端 ec2 实例上创建了防火墙规则，以仅允许来自负载均衡器私有 IP 地址的流量。然而，这些私有 IP 地址在不断变化。

在我的后端 ec2 实例上设置防火墙规则以仅允许基本上由负载均衡器代理然后由 Cognito 进行身份验证的 HTTP 请求的最佳做法是什么？

Answer 1

我不清楚防火墙是否理解安全组，因为在 AWS 中，安全组被认为是有状态的防火墙。

您不希望直接引用负载均衡器的 IP 地址（我假设您使用的是 Application Load Balancer），因为这可能会改变。解决方案是将一个安全组分配给负载均衡器，另一个分配给运行应用程序的 EC2 实例。 EC2 实例的安全组可以允许来自连接到负载均衡器的安全组的端口 80 上的流量。

为引用应用负载均衡器安全组的实例的安全组指定入站规则示例：

由于您使用的是 Cognito，因此应在负载均衡器之前进行身份验证，如 docs 中所述。本质上，您的客户从 Cognito 请求一个令牌，该令牌可用于在您的应用程序中对他们进行身份验证。您可以使用 NAT 或接口端点允许从您的 VPC/EC2 实例到 Cognito 的传出流量。