首次设置 AWS EB 时创建的默认安全组是什么？

Question

我对似乎已自动添加到我的 AWS 安全组列表中的几个组所扮演的角色感到困惑，我收集到的连接是默认配置，我想知道它们是如何工作的（以及它们呢？可以安全更改）。具体有三个是神秘的：

• launch-wizard-1 具有入站规则 SSH、TCP、22、0.0.0.0/0。
• default 被描述为“默认 VPC 安全组”，它对所有流量和使用自身作为源的所有端口都有一个入站规则。
• default_elb_... 描述为“在创建 ELB 期间未指定安全组时使用的 ELB 创建的安全组 - 修改可能会影响到未来 ELB 的流量”，它具有允许来自所有 IP 地址的 HTTP 的入站规则

前两个似乎没有连接到任何其他安全组，而后者是我的 Elastic Beanstalk 环境的每个安全组中入站 HTTP 规则的来源。

这三个小组是做什么的？我可以改变它们吗？或者改变与他们的联系？

例如，后一个规则似乎具有允许从任何地方到我所有 EB 环境的 HTTP 流量的效果。我可以更改此规则以限制 IP（到所有环境）吗？我可以将规则“取消挂钩”作为来自给定 EB 环境的源（例如，将其替换为具有一系列 IP 的源）吗？

Answer 1

看起来您已经了解什么是安全组：应用于 EC2 实例的有状态防火墙。

当您从 Web 控制台手动启动 EC2 虚拟机时，AWS 将为您提供重用现有安全组或创建新安全组的选项。当您新建一个时，默认规则是 SSH（端口 22）和默认安全组名称“launch-wizard-#”。

不幸的是，由于多个 EC2 实例可以使用一个安全组，因此在您删除虚拟机时不会清理它们。因此，如果您删除了创建 launch-wizard-1 的 VM，它不会删除安全组。

进入“VPC 的默认安全组”。创建 VPC 时，会同时创建一个默认安全组。当 EC2 实例在 VPC 子网中启动时，如果未指定另一个安全组，则会为其分配默认安全组。 (http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_SecurityGroups.html#DefaultSecurityGroup)。

那么，允许它与自己对话的规则意味着什么？默认情况下，所有入站流量都被安全组拒绝。此“自言自语”入站规则表明，如果两个 VM 都分配了此规则，则它们将被允许在所有端口上相互通信。你应该使用这个默认组吗？不可以。创建行使最小权限规则的唯一安全组（仅向需要它们的实例开放您需要的端口）。

不幸的是，我没有太多弹性豆茎经验，所以这是我的答案转向假设的地方。在我玩过 beanstalk 的那一点点，我记得它在你的帐户中创建了辅助资源。您的弹性负载均衡器 (ELB) 似乎就是这种情况。如描述所示，当 Elastic Beanstalk 需要启动新的负载均衡器时，负载均衡器将使用此默认组，除非您指定另一个组。我相信此链接记录了您将如何执行此操作 (http://docs.aws.amazon.com/elasticbeanstalk/latest/dg/using-features.managing.elb.html)。

在所有情况下，我都建议不要使用默认安全组，而是使用针对该实例的安全需求独有的单个防火墙规则。

你能改变或删除这些吗？

• launch-wizard-1：是的，你可以删除或修改这个组。既然你提到他没有被使用过，那就去核爆他吧。
• 默认：VPC 对它创建的一些默认资源很挑剔。我在我的帐户上测试过它，我无法删除它。您当然可以修改它，但我建议您不要使用它。
• default_elb：如果我没记错的话，elastic beanstalk 使用 cloudformation 来创建额外的资源，例如 ELB 安全组。您可以修改此安全组，但它会在 cloudformation 定义和现实之间造成不一致。对于您的具体问题，您可以更改允许 IP 的范围，但如果您在私有 IP 上编写规则，并且将环境部署到单独的 VPC，您将无法跨环境。