Как ограничить доступ к AWS Load Balancer, чтобы только другой конкретный AWS Load Balancer мог иметь Входящий доступ?

Question

В настоящее время у нас есть API и веб-сайт, работающие на AWS Elastic Beanstalk, оба с балансировщиком нагрузки. Сейчас мы пытаемся выяснить, как ограничить весь входящий трафик с помощью API-балансировщика нагрузки, чтобы балансировщик нагрузки веб-сайта был единственной точкой доступа к API. Мы пытались работать с группами безопасности, но мы никогда не сможем сделать это правильно.

Мы уже удалили весь входящий доступ к API, и это ограничило весь доступ, но мы просто не можем получить доступ к веб-сайту. .

Наша конечная цель - создать систему, в которой API никогда не будет доступен извне, но у Веб-сайта есть полный доступ к нему через вызовы HTTPS.

Надеюсь, что вы, ребята, можете нам помочь,заранее спасибо!

Answer 1

Ваш сайт работает на экземпляре EC2, который доступен только через ELB. Сервер API работает в частной подсети и доступен через внутренний ELB. Вы хотите, чтобы ваш сайт имел доступ к серверу API. Следующие шаги должны решить проблемы, с которыми вы сталкиваетесь:

1. Настройте балансировщик нагрузки API как внутренний, чтобы он не был доступен из вашего VPC.

2. Примените следующие правила группы безопасности, чтобы разрешить экземпляру приложения доступ к серверу API.

WebApp (EC2) SG

80/443 sg-xxxelb (внешний ELB SG)

внешний ELB SG

80/443 0.0.0.0/0

ВашСервер API должен быть доступен только экземпляру WebApp.

Внутренний (API-сервер) ELB SG

443 sg-xxxec2 (SG экземпляра WebApp EC2).