17、AWS网络安全：安全组、NACLs与公共服务保护

AWS网络安全：安全组、NACLs与公共服务保护

1. 安全组（Security Groups）

1.1 安全组简介

安全组类似于传统网络中的防火墙，是一组可应用于网络接口（ENI）的简单规则。这些规则会对每个传入数据包进行评估，且是一次性评估所有规则。若安全组中的任何规则适用于传入数据包，该数据包就能继续传输到实例。需要注意的是，安全组不能明确拒绝数据包继续传输。

安全组是一种灵活的实体，在ENI层面发挥作用。若将ENI从一个云实例移除并应用到另一个实例，与该ENI关联的安全组也会应用到新的云实例上。任何具有ENI的服务，如AWS Lambdas、负载均衡器、AWS关系数据库服务（RDS）实例、EC2实例，甚至VPC端点，都可以关联安全组。

1.2 安全组的基本构成

最简单的安全组规则涉及传入或传出的IP源、端口和协议（TCP或UDP）。我们可以为Lambdas、RDS集群、EC2实例和EKS集群确定哪些IP范围可以与该ENI背后的服务进行通信，以及在哪个端口进行通信。默认情况下，除非存在允许通信的规则，否则安全组不允许任何没有对应规则的请求（传入或传出）。

1.3 安全组引用（链接）和设计

安全组允许将其他安全组作为规则的一部分，而非使用IP地址。这样就可以根据请求主机所属的安全组来识别请求，并精细地允许对资源的访问。这种方式使得在允许或拒绝实例访问时，无需引用已知微服务的IP地址，而是通过安全组来引用其他服务。由于安全组只允许流量通过，因此非常适合微服务。

设计安全组可按以下步骤进行：
1. 为每个微服务创建一个安全组，并取一个易于使用的名称。