當僅由 Lambda 功能使用時，我是否應該將 AWS Elasticsearch 域放入 VPC

Question

我正在使用 AWS Elasticsearch 服務來運行一個公開可用的 ES 域，該域由部署在任何 VPC 之外的 Lambda 函數調用。 我已經配置了一個附加到 ES 域的資源策略，以限制僅訪問我的 Lambda 函數假定的 IAM 角色。 鑒於策略和對我的域的所有請求都需要簽名的事實，在我的場景中將 ES 域放置在 VPC 中是否有任何額外的安全優勢？

我知道在 VPC 中，我的 ES 域甚至無法從 Internet 訪問，從安全角度來看，這肯定是一個好處。 另一方面，這需要將我所有的 Lambda 函數放在同一個 VPC 中，這會帶來很多我希望避免的配置和性能挑戰。

我的理解如下：如果我們認為 DynamoDB、S3、SNS、SQS 或其他 AWS 無服務器服務是安全的，並且它們使用相同的 IAM 安全性 model，我也應該認為我的 ES 配置是安全的。 當然，您總是可以錯誤地配置域並使其對所有人公開可用，但對於 S3 存儲桶也是如此，它不會阻止人們將私有文件保存在那里。

我錯過了什么嗎？ 盡管存在與 Lambda 功能配置相關的所有挑戰，您是否在我的思考過程中看到任何安全漏洞，這些漏洞應該說服我將 ES 域放在 VPC 中？

Answer 1

通過在 VPC 中擁有 ElasticSearch 集群，您可以大大降低數據泄露的風險，而不僅僅是依賴域策略。

通過這樣做，您將需要考慮以下事項：

• 您需要將NAT 網關或NAT 實例添加到您的 VPC 私有子網，以允許 Lambda 的 Internet 連接。
• 如果您想在沒有 NAT 的情況下為您的 Lambda 連接到 AWS 服務，您需要為每項服務配置VPC 終端節點。

Elasticsearch 服務還支持通過簽名的 HTTP 請求進行身份驗證。

AWS 文檔中有一個關於Amazon Elasticsearch 服務中的安全性的部分，該部分應提供額外的輸入。