为什么拥有相同的安全组以及如何在VPC中使用相同的安全组？

Question

我想在EFS中创建AWS，并且在文档中说，我只能将它附加到与VPC具有相同安全组的实例。< / p>

如何了解我VPC的安全组？

假设它是default并且我的实例具有不同的安全组，由不同的向导在不同的时间创建。怎么可能，该实例属于VPC但具有与VPC不同的安全组？

Answer 1

Amazon Elastic File System（EFS）是一项区域性服务。如果在特定区域中创建EFS（例如：us-east-1），则可以在同一个us-east-1区域中的不同可用区域中创建多个EC2实例，以访问EFS以读取和写入数据。

特定区域中的所有EC2实例（例如：us-east-1）必须属于VPC和子网。（除非您使用EC2-Classic）。 VPC映射到区域，A子网映射到可用区。您可以在VPC的可用区中设置安装目标，以便EC2实例可以通过安装目标连接到EFS并共享同一文件系统。

查看AWS文档中的以下图片。

现在，我们如何确保我们的EFS只能由某些EC2实例访问，而不是所有子网中的所有实例？

这是安全组派上用场的地方。我们可以将安全组分配给EFS安装点，以便只有附加给定安全组的EC2可以通过安装目标访问EFS。位于不同安全组中的任何其他EC2实例都无法访问EFS。这是我们限制对EFS的访问的方式。

因此，当您将EFS安装到EC2实例时，我们必须将EFS的相同安全组添加到EC2实例。

  

Amazon EC2实例和装载目标都具有关联的安全组。这些安全组充当控制它们之间流量的虚拟防火墙。如果在创建装载目标时未提供安全组，则Amazon EFS会将VPC的默认安全组与其关联。

     

无论如何，要在EC2实例和装载目标（以及文件系统）之间启用通信，必须在这些安全组中配置以下规则：

     

  

• 与安装目标关联的安全组必须允许从要安装文件系统的所有EC2实例对NFS端口上的TCP协议进行入站访问。

  

• 安装文件系统的每个EC2实例都必须具有一个安全组，允许对NFS端口上的安装目标进行出站访问。

  

详细了解EFS安全组here。

希望这有帮助。