17、AWS网络安全：安全组、NACL及边缘服务防护策略

AWS网络安全：安全组、NACL及边缘服务防护策略

1. 安全组概述

安全组类似于传统网络中的防火墙，是一组可应用于网络接口的简单规则。这些规则会对每个传入数据包进行评估，且所有规则会同时进行评估。若安全组中的任何规则适用于传入数据包，该安全组将允许数据包继续传输到实例。不过，安全组无法明确拒绝数据包进一步传输。

安全组是一种灵活的实体，在弹性网络接口（ENI）级别工作。若将ENI从一个云实例移除并应用到另一个实例，与该ENI关联的安全组也会应用到新的云实例。任何具有ENI的服务，如AWS Lambda、负载均衡器、AWS关系数据库服务（RDS）实例、EC2实例，甚至VPC端点，都可以关联安全组。

最简单的安全组规则涉及传入或传出的IP源、端口和协议（TCP或UDP）。我们可以为任何Lambda、RDS集群、EC2实例和EKS集群确定哪些IP范围允许与该ENI背后的服务进行通信，以及在哪个端口进行通信。默认情况下，除非存在允许通信的规则，否则安全组不允许任何没有对应规则的请求（传入或传出）。

对于基于容器的EKS微服务，AWS现在能够为一些Pod添加安全组，类似于EC2实例。如果特定节点上的Pod希望使用与它们运行所在节点不同的安全组，也可以为EKS使用自定义网络。

1.1 注意事项

对于EKS，重要的是允许使用端口443和10250进行最小限度的入站和出站流量。

2. 安全组引用（链接）和设计

安全组允许将其他安全组作为规则的一部分，而非使用IP地址。这样可以根据请求主机所属的安全组来识别请求，并精细地允许对资源的访问。

这意味着在尝试允许或拒绝访问实