AWS Ec2 Access 是私有 VPC

Question

这更多是架构问题，而不是编码问题。 如果我在错误的地方请原谅我 我有一个在私有 VPC 中运行的 Ec2 实例，我们将来会在那里 将部署 PII 数据，但绝不意味着我们可以通过互联网访问它。 但是我们需要在 docker 中安装 ETL 工具（Airflow、docker、nifi、python 等） 当然需要从我当地的公司 vpc ssh 进入。

我认为有两种方法

    1. To create an another EC2 in public subnet and install all our tool there 
       and call the VPC EC2 from this one. 
       So that I can move the PII data to S3 through private Endpoint.
    
    Cons: Does not it still raise the security concern as the EC2(ETL) is still
    in internet where from one can access the PII data in second ec2.

另一种选择

2. To create the Ec2 in public and install all tools and then 
    finally change it into private VPC.
    Cons: in case if tool crash or there is any change needed then will have to 
    move it back to public which again does not look proper way of handling it.

我试图搜索互联网以获取有关它的任何教程或培训。 但是找不到。

任何建议都将受到高度赞赏。

Answer 1

如果你不想，你根本不需要使用互联网。我假设无法访问互联网是指这是两种方式 - 无法从互联网访问实例，实例也无法连接互联网（即没有 NAT 或任何其他代理）。

有几种方法可以做到这一点。一种方法如下：

1. 准备自定义 AMI，其中包含您需要的所有安装包和软件。
2. 创建没有任何公共子网的私有 VPC。
3. 将 VPC 接口端点添加到 S3、AWS System Manager、ECR（用于存储您的私有 docker 映像）和您可能需要的其他 AWS 服务的 VPC，例如知识管理系统。
4. 从私有 VPC 中的自定义 AMI启动您的实例。
5. 使用 SSM 会话管理器“SSH”到实例，无需任何 Internet 访问。

Answer 2

我认为这两种方法本质上都是次优的

如果您只想避免将计算实例暴露在互联网上，并且您的设置是基于 docker 的，只需使用 ECS 或 Sonatype Nexus（在另一台服务器上）设置您自己的 docker 存储库，然后上传您的 docker那里的图像并让该节点使用该 ECS/Nexus 作为其 docker 注册表。

这样，您可以在保持安全合规性的同时免费访问所有作为 docker 镜像公开的资源。