如何根据其中运行的容器动态修改正在运行的ECS实例的安全组？答案

【问题标题】：How to dynamically modify the security group of a running ECS instance based on the container running in it?如何根据其中运行的容器动态修改正在运行的ECS实例的安全组？
【发布时间】：2025-11-21 18:45:01
【问题描述】：

我正在尝试从我的 ECS 集群部署不同类型的 docker 容器。根据容器的类型，我需要允许某些入站和出站端口公开。如何修改部署容器的现有 ECS 实例安全组，并以动态方式添加此附加安全组规则？我正在寻找一个自动化的解决方案；如果容器移动到不同的实例，我需要恢复 ECS 实例的原始安全组。

我查看了 awsvpc 网络模式以动态创建一个安全组并将其分配给 ENI，但是我需要一个公共 ip 和一个特定端口来公开每个 ECS 实例。基于 NAT 的网络通过在私有子网中部署 ECS 实例以将其公开给公众不会适用于我的用例。
awsvpc 可以为 Fargate 部署提供公共 IP，但是对于我的用例（恰好是有状态容器和 EFS 挂载），fargate 不会有太大帮助。

【问题讨论】：

标签： amazon-web-services docker aws-lambda amazon-ecs aws-security-group

【解决方案1】：

我认为您可能想重新访问 awsvpc 网络模式。正如您在此处解释的那样，它听起来可以满足您的需求。在 awsvpc 模式下，会为您的任务分配一个新的 ENI，并映射到任务的网络命名空间。从您的任务的角度来看，您看起来像是在主机模式网络中运行；您的容器将可以直接访问您的网络。您将使用现有的安全组，该组将允许您的任务容器公开的端口的入站流量。

或者，如果您确实需要根据任务放置来操作安全组，您应该考虑使用 lambda 函数通过适当的操作来响应 ECS CloudWatch 事件。这记录在https://docs.aws.amazon.com/AmazonECS/latest/developerguide/cloudwatch_event_stream.html

【讨论】：

我的用例不允许我创建默认安全组来允许容器任务的入站/出站公共访问。在 awsvpc 中创建的安全组与 ENI 相关联，因此在 ECS 实例级别，我无法为流量打开端口。当然，我会考虑第二个选项。