AWS 负载均衡器到 EC2 实例防火墙规则

Question

我有一个位于两个可用区的 AWS EC2 负载均衡器。 我正在使用负载平衡器在 ec2 实例上前置 apache 服务器，并且我正在使用 Cognito 对应用程序进行身份验证。

目前，我已经确定了负载均衡器网络接口的私有 IP 地址，并在后端 ec2 实例上创建了防火墙规则，以仅允许来自负载均衡器私有 IP 地址的流量。 但是，这些私有 IP 地址在不断变化。

在我的后端 ec2 实例上设置防火墙规则以仅允许基本上由负载均衡器代理然后由 Cognito 进行身份验证的 HTTP 请求的最佳实践是什么？

Answer 1

我不太清楚防火墙是否理解安全组，因为在 AWS 中安全组被认为是有状态的防火墙。

您不希望直接引用负载均衡器的 IP 地址（我假设您使用的是应用程序负载均衡器），因为这可能会发生变化。 解决方案是将一个安全组分配给负载均衡器，并将另一个安全组分配给运行应用程序的 EC2 实例。 EC2 实例的安全组可以允许来自连接到负载均衡器的安全组的端口 80 上的流量。

由于您使用的是 Cognito，身份验证应该在负载均衡器之前进行，如文档中所述。 本质上，您的客户从 Cognito 请求一个令牌，该令牌可用于在您的应用程序中对其进行身份验证。 您可以使用 NAT 或接口端点允许从您的 VPC/EC2 实例到 Cognito 的传出流量。