Quali sono i gruppi di sicurezza predefiniti creati quando ho configurato AWS EB per la prima volta?

Question

Sono perplesso dal ruolo svolto da diversi gruppi che sembrano essere stati aggiunti automaticamente al mio elenco di gruppi di sicurezza AWS, connessi in ciò che raccolgo è la configurazione di default e mi chiedo come funzionano (e che dire di loro è sicuro di cambiare). In particolare ci sono tre che sono misterioso:

• launch-wizard-1 che ha una regola di SSH in entrata, TCP, 22, 0.0.0.0/0.
• default descritto come "gruppo di sicurezza VPC predefinito" che ha una regola in entrata per tutto il traffico e tutte le porte che utilizza stesso come origine.
• default_elb_... descritto come "ELB ha creato gruppo di protezione utilizzato quando non è specificato alcun gruppo di protezione durante la creazione ELB - modifiche potrebbero avere un impatto traffico al Elbs future", che ha una regola in entrata che permette HTTP da tutti gli indirizzi IP

I primi due non sembra essere connesso a nessun altro gruppo di sicurezza, mentre il secondo è l'origine di a per una regola HTTP in entrata in ogni dei gruppi di sicurezza per i miei ambienti Elastic Beanstalk.

Cosa fanno questi tre gruppi? Posso cambiarli? O cambiare le connessioni a loro?

Ad esempio, quest'ultima regola sembra avere l'effetto di consentire il traffico HTTP da qualsiasi luogo a tutti i miei ambienti EB. Posso cambiare questa regola per limitare gli IP (a tutti gli ambienti)? Posso "sganciare" la regola come sorgente da un determinato ambiente EB (ad esempio sostituendola come sorgente con un intervallo di IP)?

Answer 1

Sembra che tu abbia un controllo su cosa sia un gruppo di sicurezza: un firewall di stato che viene applicato alle istanze EC2.

Quando si avvia manualmente una macchina virtuale EC2 dalla console Web, AWS offre l'opzione di riutilizzare un gruppo di sicurezza esistente o crearne uno nuovo. Quando ne crei uno nuovo, la regola predefinita è SSH (porta 22) e un nome predefinito del gruppo di sicurezza di "launch wizard" # ".

Sfortunatamente, poiché un gruppo di sicurezza può essere utilizzato da più istanze EC2, non vengono ripulite quando si elimina una macchina virtuale. Quindi, se hai eliminato la VM con cui è stato creato launch-wizard-1, non elimina il gruppo di sicurezza.

Sul "gruppo di sicurezza predefinito per VPC". Quando crei il tuo VPC, viene creato un gruppo di sicurezza predefinito insieme ad esso. Quando le istanze EC2 vengono avviate in una sottorete VPC, avranno il gruppo di sicurezza predefinito a loro assegnato se un altro non è specificato. (http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_SecurityGroups.html#DefaultSecurityGroup).

Quindi, cosa significa questa regola che consente di parlare da solo? Per impostazione predefinita, tutto il traffico in entrata viene negato da un gruppo di sicurezza. La regola in entrata 'parla a se' indica che se a due macchine virtuali è stata assegnata questa regola, sarà loro permesso di comunicare tra loro su tutte le porte. Dovresti usare questo gruppo predefinito? No. Creare gruppi di sicurezza univoci che esercitino la regola del privilegio minimo (solo aprire le porte necessarie alle istanze che ne hanno bisogno).

Sfortunatamente, non ho molta esperienza di beanstalk elastico, quindi è qui che la mia risposta si rivolge alle ipotesi. Nel poco che ho giocato con il beanstalk, ricordo che ha creato risorse ausiliarie nel tuo account. Questo sembra essere il caso con il tuo Elastic Load Balancer (ELB).Come indica la descrizione, quando Elastic Beanstalk deve avviare un nuovo servizio di bilanciamento del carico, il servizio di bilanciamento del carico utilizzerà questo gruppo predefinito a meno che non ne venga specificato un altro. Credo che questo link documenti come si farebbe questo (http://docs.aws.amazon.com/elasticbeanstalk/latest/dg/using-features.managing.elb.html).

In tutti i casi, si consiglia di non utilizzare i gruppi di sicurezza predefiniti a favore delle singole regole del firewall, esclusive delle esigenze di sicurezza di tale istanza.

È possibile modificare o eliminare questi?

• lancio-wizard-1: Sì, è possibile eliminare o modificare questo gruppo. Dato che hai menzionato che non è utilizzato, vai avanti e bombardalo.
• default: VPC è pignolo su alcune delle risorse predefinite che crea. L'ho provato sul mio account e non posso cancellarlo. Ovviamente puoi modificarlo, ma ti consiglio invece di non usarlo.
• default_elb: Se ricordo correttamente, il beanstalk elastico utilizza la tecnologia cloud per creare risorse aggiuntive, come un gruppo di sicurezza ELB. È possibile modificare questo gruppo di sicurezza, ma creerà incoerenze tra la definizione della realtà cloud e la realtà. Per la tua domanda specifica, puoi modificare l'intervallo di IP consentiti, ma se stai scrivendo regole su un IP privato non sarai in grado di attraversare ambienti se gli ambienti sono distribuiti per separare i VPC.